Você pode ativar o recurso Alterações no Serviço de Diretório, que foi introduzido no Windows 2008. Isso tem o benefício adicional de registrar os valores atuais e anteriores de um atributo quando ocorre uma modificação.
Aviso: se você definir essa configuração na Diretiva de Grupo, isso será abordado na nova seção de auditoria como "Acesso ao DS". Você deve usar as novas configurações de auditoria ou a seção de auditoria mais antiga, mas não ambas. Quando as configurações na nova seção de auditoria são usadas, quaisquer configurações na seção antiga podem ser ignoradas.
Nova localização:
Configuração do computador > Configurações do Windows > Configurações de segurança > Configuração Avançada de Política de Auditoria
Localização antiga:
Configuração do computador > Configurações do Windows > Configurações de segurança > Políticas locais > Política de Auditoria.
É possível configurar isso usando o comando auditpol.exe, no entanto, se esse método for usado, ele deverá ser executado como um script de inicialização do computador para garantir que as configurações entrem em vigor quando o computador for reiniciado. Este é o comando:
auditpol /set /subcategory:"directory service changes" /success:enable
Você também precisa ativar a auditoria em usuários e computadores do AD:
-
Executar usuários e computadores do Active Directory.
-
Clique com o botão direito do mouse na unidade organizacional (UO) (ou em qualquer objeto) para o qual você deseja habilitar a auditoria e clique em Propriedades.
-
Clique na guia Segurança, clique em Avançado e, em seguida, clique na guia Auditoria.
-
Clique em Adicionar e em Digite o nome do objeto a ser selecionado, digite Usuários autenticados (ou qualquer outra entidade de segurança) e clique em OK.
-
Em Aplicar em, clique em Objetos de usuário descendente (ou em qualquer outro objeto).
-
Em Acesso, marque a caixa de seleção Bem-sucedido para Gravar todas as propriedades.
-
Clique em OK até sair da folha de propriedades para a OU ou outro objeto.
Mais informações:
Guia passo a passo da auditoria do AD DS
link
Quais versões do Windows oferecem suporte à configuração avançada da diretiva de auditoria?
link
"Usar as configurações básicas de política de auditoria em Diretivas locais \ Diretiva de auditoria e as configurações avançadas em Configuração de diretiva de auditoria avançada podem causar resultados inesperados. Portanto, os dois conjuntos de configurações de diretiva de auditoria não devem ser combinados. Se você usar as configurações da Política de Auditoria Avançada, ative a auditoria: Forçar configurações da subcategoria de política de auditoria (Windows Vista ou posterior) a substituir a configuração de diretiva de diretiva de auditoria em Diretivas Locais \ Opções de Segurança, o que evitará conflitos entre configurações semelhantes forçando a auditoria básica de segurança a ser ignorada. "