ADLDS缺失部分事件日志条目问题排查求助

• 检查ADLDS实例的审核策略：打开ADLDS ADSI编辑，连接到目标实例，找到第二个OU的属性，进入「安全」→「高级」→「审核」，确认已添加目标用户的「读取」操作审核规则，且勾选「成功」事件。
• 验证注册表项的实例针对性：若部署多个ADLDS实例，需确认HKLM\SYSTEM\CurrentControlSet\Services\<目标ADLDS实例名>\Parameters下的15 Field Engineering值已设为1，避免误修改默认AD的注册表分支。
• 核对权限与查询范围匹配度：确认第二个用户的只读权限是否覆盖其实际查询的LDAP路径范围，比如权限是否仅赋予OU本身、未包含OU内对象，或查询对象不在权限范围内，导致操作未触发审核。
• 检查事件日志筛选规则：临时清除事件查看器的筛选器，在「应用程序和服务日志」→「ADLDS」日志中全量搜索事件ID1644，排除筛选规则误过滤的可能。
• 确认ADLDS日志级别设置：通过ADLDS实例管理工具的「日志」选项卡，检查是否启用详细目录访问日志，且级别设置足够捕获LDAP查询操作。

内容的提问来源于stack exchange，提问作者Elmar N.