xaudit 命令 — 修改系统 Access Control 列表

xaudit 命令可在系统访问控制列表 (SACL) 中添加项。当指定用户或组尝试获取对资源的访问权限时，该列表中的每个项都会导致记录一条审核消息。 xaudit‑ 命令可从 SACL 中删除项，并且对资源类型 FILE、PRINTER、REGKEY、DISK、COM 或 SHARE 有效。

此命令有以下格式：

xaudit className resourceName \

[failure(auditMode)]	\
[gid(groupName)] \
[success(auditMode)] \
[uid(userName)]

className

指定资源所属的资源类型的名称。

failure(auditMode)

记录尝试对资源进行的未经授权的访问。

auditmode 的有效值取决于它所属的资源类型：

注意：只有 NTFS 文件可以具有审核模式

DISK 和 COM：changePermissions、delete、modify、query、read、synchronize、takeOwnership。
FILE：changePermissions、delete、execute、read、takeOwnership 和 write。
PRINTER：changePermissions、delete、print 和 takeOwnership。
REGKEY：delete、enumerate、link、notify、queryValue、readControl、setValue、subkey 和 write。

对于所有资源类型：none 和 all。

gid(groupName)

指定正在审核其对资源的访问权限的组。指定多个组时，请用空格或逗号分隔组名。

resourceName

指定正在修改其系统 Access Control 列表 (SACL) 的资源记录的名称。

success(auditMode)

记录对资源的授权访问。

auditmode 的有效值取决于它所属的资源类型：

注意：只有 NTFS 文件可以具有审核模式

DISK 和 COM：changepermissions、delete、modify、query、read、synchronize、takeownership。
FILE：changePermissions、delete、execute、read、takeOwnership 和 write。
PRINTER：changePermissions、delete、print 和 takeOwnership。
REGKEY：delete、enumerate、link、notify、queryValue、readControl、setValue、subkey 和 write。

对于所有资源类型：none 和 all。

uid(userName)

指定要审核其资源访问权限的用户。如果指定多个用户，请用空格或逗号分隔用户名。要指定在 Windows NT 数据库中定义的所有用户，请将 userName 指定为星号 (*)。

更多信息：