【急ぎ】VB2008でWINDOWS SERVER 2008にイベントログの書き込みについて

vistaの管理者として、プログラム実行してみたら、自分自身のローカルイベントログに書き込めました。が、vistaの管理者として実行して、リモートのserver2008に書き込めなかったです。

ちゃっぴさんの書き込み (2008-12-23 00:08) より:

引用:
vistaの管理者として、プログラム実行してみたら、自分自身のローカルイベントログに書き込めました。が、vistaの管理者として実行して、リモートのserver2008に書き込めなかったです。

Windows Vista から Windows Sever 2008 の event log に書き込みに行くときに当然認証があるわけでして、Windows Vista に logon している account が Windows Sever 2008 でも有効な account であれば自動的にその account で network logon して動作するわけです。

つまり、Windows Sever 2008 に logon した資格情報では ACL で弾かれているんではないかと。

Windows 2003 では下記 registry entry に ACL が書かれてました。

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventlogApplicationCustomSD

Event Logging Security

ところが、Windows Server 2008 になって対応する registry entry がめっさ変わっていた。。。

HKLMSOFTWAREMicrosoftWindowsCurrentVersionWINEVTChannels%ChannelName%ChannelAccess

ここに対応する channel の ACL が SDDL 形式で書かれています。

ってゆうかまともな reference 無いよ〜！
詳細はもちょっと調査が必要。

ちゃっぴさんの書き込み (2008-12-23 00:08) より:

引用:
vistaの管理者として、プログラム実行してみたら、自分自身のローカルイベントログに書き込めました。が、vistaの管理者として実行して、リモートのserver2008に書き込めなかったです。

Windows Vista から Windows Sever 2008 の event log に書き込みに行くときに当然認証があるわけでして、Windows Vista に logon している account が Windows Sever 2008 でも有効な account であれば自動的にその account で network logon して動作するわけです。

つまり、Windows Sever 2008 に logon した資格情報では ACL で弾かれているんではないかと。

Windows 2003 では下記 registry entry に ACL が書かれてました。

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventlogApplicationCustomSD

Event Logging Security

ところが、Windows Server 2008 になって対応する registry entry がめっさ変わっていた。。。

HKLMSOFTWAREMicrosoftWindowsCurrentVersionWINEVTChannels%ChannelName%ChannelAccess

ここに対応する channel の ACL が SDDL 形式で書かれています。

ってゆうかまともな reference 無いよ〜！
詳細はもちょっと調査が必要。

About Windows Event Log より
Sometimes components and applications must record URLs and document names in the events. When this is required, such events should not be written into the Windows channels (System and Application), because these channels are readable by all authenticated users. Instead the event publisher application should write them into private Operational or Analytic channels. Such channels should have ACLs that allow reading of the events only to administrators. You may need to provide an appropriate disclosure to notify users of the fact that private information is made available to the administrators.

ちゃっぴさんの書き込み (2008-12-25 22:58) より:
Windows Vista SP1 では下記 registry entry が存在しませんでしたが、新規に作成してやることで ACL を変更可能であることが確認できました。

HKLMSYSTEMCurrentControlSetServicesEventlogApplicationCustomSD

正式な documents は見つけられなかったため、default 状態の ACL は不明ですが、おそらく Windows Server 2003 と同様だと思われます。

ただ、Windows Vista 以降では下記 documents にも書かれているように専用の channel を作成して、そこで ACL を制御することが推奨されています。

引用:

About Windows Event Log より Sometimes components and applications must record URLs and document names in the events. When this is required, such events should not be written into the Windows channels (System and Application), because these channels are readable by all authenticated users. Instead the event publisher application should write them into private Operational or Analytic channels. Such channels should have ACLs that allow reading of the events only to administrators. You may need to provide an appropriate disclosure to notify users of the fact that private information is made available to the administrators.

[ メッセージ編集済み 編集者: ちゃっぴ 編集日時 2008-12-26 00:52 ]