5889(S) COM+ カタログからオブジェクトが削除されました。
5889(S): COM+ カタログからオブジェクトが削除されました。
サブカテゴリ: その他のオブジェクト アクセス イベントの監査
イベントの説明:
このイベントは、COM+ カタログ内のオブジェクトが削除されたときに生成されます。
何らかの理由でこのイベントはシステムの整合性の監査サブカテゴリに属していますが、このイベントの生成はこのサブカテゴリで有効になります。
注 推奨事項については、このイベントのセキュリティ監視の推奨事項を参照してください。
イベント XML:
- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>5889</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12290</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2015-09-23T20:44:42.948569400Z" />
<EventRecordID>344998</EventRecordID>
<Correlation />
<Execution ProcessID="516" ThreadID="4756" />
<Channel>Security</Channel>
<Computer>DC01.contoso.local</Computer>
<Security />
</System>
- <EventData>
<Data Name="SubjectUserSid">S-1-5-21-3457937927-2839227994-823803824-1104</Data>
<Data Name="SubjectUserName">dadmin</Data>
<Data Name="SubjectUserDomainName">CONTOSO</Data>
<Data Name="SubjectLogonId">222443</Data>
<Data Name="ObjectCollectionName">Applications</Data>
<Data Name="ObjectIdentifyingProperties">ID = {1D34B2DC-0E43-4040-BA7B-2F1C181FD86A} AppPartitionID = {41E90F3E-56C1-4633-81C3-6E8BAC8BDD70}</Data>
<Data Name="ObjectProperties">Name = COMApp-New ApplicationProxyServerName = ProcessType = 2 CommandLine = ServiceName = <null> RunAsUserType = 1 Identity = Interactive User Description = IsSystem = N Authentication = 4 ShutdownAfter = 3 RunForever = N Password = \*\*\*\*\*\*\*\* Activation = Local Changeable = Y Deleteable = Y CreatedBy = AccessChecksLevel = 1 ApplicationAccessChecksEnabled = 1 cCOL\_SecurityDescriptor = <Opaque> ImpersonationLevel = 3 AuthenticationCapability = 64 CRMEnabled = 0 3GigSupportEnabled = 0 QueuingEnabled = 0 QueueListenerEnabled = N EventsEnabled = 1 ProcessFlags = 0 ThreadMax = 0 ApplicationProxy = 0 CRMLogFile = DumpEnabled = 0 DumpOnException = 0 DumpOnFailfast = 0 MaxDumpCount = 5 DumpPath = %systemroot%\\system32\\com\\dmp IsEnabled = 1 AppPartitionID = {41E90F3E-56C1-4633-81C3-6E8BAC8BDD70} ConcurrentApps = 1 RecycleLifetimeLimit = 0 RecycleCallLimit = 0 RecycleActivationLimit = 0 RecycleMemoryLimit = 0 RecycleExpirationTimeout = 15 QCListenerMaxThreads = 0 QCAuthenticateMsgs = 0 ApplicationDirectory = SRPTrustLevel = 262144 SRPEnabled = 0 SoapActivated = 0 SoapVRoot = SoapMailTo = SoapBaseUrl = Replicable = 1</Data>
</EventData>
</Event>
必要なサーバー ロール: なし。
最小 OS バージョン: Windows Server 2008, Windows Vista。
イベント バージョン: 0。
フィールドの説明:
サブジェクト:
- セキュリティ ID [タイプ = SID]: 「オブジェクトの削除」操作を要求したアカウントの SID。イベント ビューアーは自動的に SID を解決し、アカウント名を表示しようとします。SID を解決できない場合、イベントにソース データが表示されます。
注 セキュリティ識別子 (SID) は、トラスティ (セキュリティ プリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメイン コントローラーなどの権限によって発行され、セキュリティ データベースに保存される一意の SID があります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーの SID を取得し、そのユーザーのアクセストークンに配置します。システムは、アクセストークン内の SID を使用して、以降のすべての Windows セキュリティとのやり取りでユーザーを識別します。SID がユーザーまたはグループの一意の識別子として使用された場合、それが別のユーザーまたはグループを識別するために再利用されることはありません。SID の詳細については、セキュリティ識別子を参照してください。
アカウント名 [タイプ = UnicodeString]: “オブジェクトの削除”操作を要求したアカウントの名前。
アカウントドメイン [タイプ = UnicodeString]: サブジェクトのドメインまたはコンピュータ名。形式は以下のように異なります：
ドメイン NETBIOS 名の例：CONTOSO
小文字の完全なドメイン名：contoso.local
大文字の完全なドメイン名：CONTOSO.LOCAL
LOCAL SERVICE や ANONYMOUS LOGON などのよく知られたセキュリティプリンシパルの場合、このフィールドの値は “NT AUTHORITY” です。
ローカルユーザーアカウントの場合、このフィールドにはこのアカウントが属するコンピュータまたはデバイスの名前が含まれます。例：“Win81”。
ログオンID [タイプ = HexInt64]: 16進数の値で、同じログオンIDを含む最近のイベントとこのイベントを関連付けるのに役立ちます。例：“4624: アカウントが正常にログオンされました。”
オブジェクト：
- COM+ カタログコレクション [タイプ = UnicodeString]: COM+ オブジェクトが削除された COM+ コレクションの名前。以下は説明付きの可能なコレクション値のリストです：
| コレクション | 説明 |
|---|---|
| ApplicationCluster | アプリケーションクラスター内のサーバーのリストを含みます。 |
| ApplicationInstances | 実行中の COM+ アプリケーションの各インスタンスのオブジェクトを含みます。 |
| Applications | ローカルコンピュータにインストールされている各 COM+ アプリケーションのオブジェクトを含みます。 |
| Components | 関連するアプリケーション内の各コンポーネントのオブジェクトを含みます。 |
| ComputerList | コンポーネントサービス管理ツールのコンピュータフォルダーに見つかったコンピュータのリストを含みます。 |
| DCOMProtocols | DCOM が使用するプロトコルのリストを含みます。各プロトコルのオブジェクトを含みます。 |
| ErrorInfo | 複数のオブジェクトを扱うメソッドに関する拡張エラー情報を取得します。 |
| EventClassesForIID | イベントクラスに関する情報を取得します。 |
| FilesForImport | インポート可能なアプリケーションに関する情報を MSI ファイルから取得します。 |
| InprocServers | システムに登録されているインプロセスサーバーのリストを含みます。各コンポーネントのオブジェクトを含みます。 |
| InterfacesForComponent | コレクションが関連するコンポーネントによって公開される各インターフェイスのオブジェクトを含みます。 |
| LegacyComponents | 関連するアプリケーション内の未構成コンポーネントの各オブジェクトを含みます。 |
| LegacyServers | InprocServers コレクションと同一ですが、このコレクションにはローカルサーバーも含まれます。 |
| LocalComputer | アクセスしているカタログのコンピュータレベルの設定情報を保持する単一のオブジェクトを含みます。 |
| MethodsForInterface | コレクションが関連するインターフェイスの各メソッドのオブジェクトを含みます。 |
| Partitions | 各パーティションに含まれるアプリケーションを指定するために使用されます。 |
| PartitionUsers | 各パーティションに含まれるユーザーを指定するために使用されます。 |
| PropertyInfo | 指定されたコレクションがサポートするプロパティに関する情報を取得します。 |
| PublisherProperties | 親の SubscriptionsForComponent コレクションの各パブリッシャープロパティのオブジェクトを含みます。 |
| RelatedCollectionInfo | 呼び出されたコレクションに関連する他のコレクションに関する情報を取得します。 |
| Roles | 関連するアプリケーションに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForComponent | コレクションが関連するコンポーネントに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForInterface | コレクションが関連するインターフェイスに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForMethod | コレクションが関連するメソッドに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForPartition | コレクションが関連するパーティションに割り当てられた各ロールのオブジェクトを含みます。 |
| Root | カタログのトップレベルコレクションを含みます。 |
| SubscriberProperties | 親の SubscriptionsForComponent コレクションの各サブスクライバープロパティのオブジェクトを含みます。 |
| SubscriptionsForComponent | 親の Components コレクションの各サブスクリプションのオブジェクトを含みます。 |
| TransientPublisherProperties | 親の TransientSubscriptions コレクションの各パブリッシャープロパティのオブジェクトを含みます。 |
| TransientSubscriberProperties | 親の TransientSubscriptions コレクションの各サブスクライバープロパティのオブジェクトを含みます。 |
| TransientSubscriptions | 各一時サブスクリプションのオブジェクトを含みます。 |
| UsersInPartitionRole | コレクションが関連するパーティションロール内の各ユーザーのオブジェクトを含みます。 |
| UsersInRole | コレクションが関連するロール内の各ユーザーのオブジェクトを含みます。 |
| WOWInprocServers | 64ビットコンピュータ上の32ビットコンポーネント用にシステムに登録されているインプロセスサーバーのリストを含みます。 |
| WOWLegacyServers | LegacyServers コレクションと同一ですが、このコレクションは64ビットコンピュータ上の32ビットレジストリから取得されます。 |
オブジェクト名 [タイプ = UnicodeString]: 削除されたオブジェクトの名前と識別子を含むオブジェクト固有のフィールドです。これは COM+ カタログコレクション の値に依存します。例えば、COM+ カタログコレクション = Applications の場合、次のようになります。
ID - アプリケーションを表すGUID。このプロパティは、このコレクションのオブジェクトに対して Key プロパティメソッドが呼び出されたときに返されます。
AppPartitionID - アプリケーションパーティションIDを表すGUID。
Note GUIDは「Globally Unique Identifier」の略です。リソース、アクティビティ、またはインスタンスを識別するために使用される128ビットの整数です。
オブジェクトの詳細 [タイプ = UnicodeString]: 削除されたオブジェクト（オブジェクト名）のプロパティのリスト。
項目は次の形式です: Property_Name = VALUE
オブジェクトのプロパティと説明のリストについては、特定の COM+ カタログコレクション の説明を確認してください。
セキュリティ監視の推奨事項
5889(S): COM+ カタログからオブジェクトが削除されました。
Important このイベントについては、付録A: 多くの監査イベントのためのセキュリティ監視の推奨事項 も参照してください。
- すべての変更（特に削除操作）を監視する必要がある特定の COM+ オブジェクトがある場合、対応する オブジェクト名 を持つすべての 5889 イベントを監視してください。