이벤트 ID 7042(서비스 중지 이유) 로깅을 활성화하는 방법은 무엇입니까?

Question

ID가 7042인 이벤트두 개의 특정 서비스(사용자 지정 앱)가 Windows Server 2022에서 중지되면 이벤트 로그에 기록됩니다. 문제: 하나의 Windows Server가 해당 이벤트를 기록하지 않습니다. 7042 이벤트 로깅을 활성화하는 옵션이나 정책이 있습니까?

Answer 1

저는 Windows 전문가는 아니지만 다른 답변이 없기 때문에 확인해야 할 두 가지 사항을 제안할 수 있습니다.

먼저 Windows 2022가 설명된 Windows 2008과 유사한 서비스 모니터링 접근 방식을 따르는지 확인하세요.여기(또는여기, 또는여기- 소스는 거의 동일합니다.) 감사 구성 원칙은 변경되지 않을 가능성이 높다고 생각하므로 언급된 문서의 명령을 두 서버 모두에서 실행하고 출력을 확인할 수 있습니다.

SC SDSHOW <service_name>

명령 문서는여기.

SC SDSET출력이 다른 경우 문서에 설명된 대로 서버 A에서 문자열을 가져와 명령을 사용하여 서버 B의 서비스에 동일한 DACL/SACL을 적용하는 것을 고려할 수 있습니다.1또는2. 자신이 하고 있는 일을 확실히 이해하시고, DACL을 먼저 확인해 보시기 바랍니다.ConvertFrom-SddlString, 예를 들어 다음과 같이잘못된 DACL로 인해 서비스 중단이 발생할 수 있음! 주의 깊게 계획하고 실행하십시오. 기존 DACL을 덮어쓰기 전에 백업하십시오.

그래도 작동하지 않으면(출력이 동일함) 두 서버 모두에서 전역 감사 옵션을 확인하세요. 오류 메시지에서 이 이벤트는 으로 분류될 수 Success있으며 성공 이벤트 감사는 서버 B에서 활성화되지 않았을 수 있습니다. 따라서 다음을 실행하여 두 서버 모두에서 이러한 옵션도 확인하십시오.

auditpol /get /subcategory:"Other Object Access Events"
auditpol /get /subcategory:"Handle Manipulation"

Success동일한 방식으로 두 서버 모두에 구성된 감사를 확인해야 합니다 . 그렇지 않은 경우 명령을 사용하여 A에 있는 것과 동일한 설정을 서버 B에 적용해 볼 수 있습니다. auditpol /set기사에 설명된 것과 동일한 방식으로 다시 한 번1또는2. 점에 유의하시기 바랍니다성공적인 이벤트에 대한 감사를 활성화하면 로그 수가 상당히 증가할 수 있습니다., 감사 옵션을 변경한 후에는 서버 상태를 면밀히 모니터링하세요.

또한 언급한 것처럼 GPO GUI를 확인해 볼 가치가 있습니다.여기그리고여기:

Computer Configuration -> Policies -> Windows Settings -> Security Settings -> System Services

직접 시도해 본 적은 없지만 아마도 이 섹션이 여전히 제자리에 있고 흥미로운 것이 있을 수 있습니다.