5890(S) COM+ カタログにオブジェクトが追加されました。
5890(S): COM+ カタログにオブジェクトが追加されました。
サブカテゴリ: その他のオブジェクト アクセス イベントの監査
イベントの説明:
このイベントは、新しいオブジェクトが COM+ カタログ に追加されたときに生成されます。
何らかの理由でこのイベントは システムの整合性の監査 サブカテゴリに属していますが、このイベントの生成はこのサブカテゴリで有効になります。
注 推奨事項については、このイベントの セキュリティ監視の推奨事項 を参照してください。
イベント XML:
- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>5890</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12290</Task>
<Opcode>0</Opcode>
<Keywords>0x8020000000000000</Keywords>
<TimeCreated SystemTime="2015-09-23T19:45:04.239886800Z" />
<EventRecordID>344980</EventRecordID>
<Correlation />
<Execution ProcessID="516" ThreadID="2856" />
<Channel>Security</Channel>
<Computer>DC01.contoso.local</Computer>
<Security />
</System>
- <EventData>
<Data Name="SubjectUserSid">S-1-5-21-3457937927-2839227994-823803824-1104</Data>
<Data Name="SubjectUserName">dadmin</Data>
<Data Name="SubjectUserDomainName">CONTOSO</Data>
<Data Name="SubjectLogonId">222443</Data>
<Data Name="ObjectCollectionName">Roles</Data>
<Data Name="ObjectIdentifyingProperties">ApplId = {1D34B2DC-0E43-4040-BA7B-2F1C181FD86A} Name = CreatorOwner</Data>
<Data Name="ObjectProperties">Description =</Data>
</EventData>
</Event>
必要なサーバー ロール: なし。
最小 OS バージョン: Windows Server 2008、Windows Vista。
イベント バージョン: 0。
フィールドの説明:
サブジェクト:
- セキュリティ ID [タイプ = SID]: 「オブジェクトの追加」操作を要求したアカウントの SID。イベント ビューアーは自動的に SID を解決し、アカウント名を表示しようとします。SID を解決できない場合、イベントにソース データが表示されます。
注 セキュリティ識別子 (SID) は、トラスティ (セキュリティ プリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメイン コントローラーなどの認証機関によって発行され、セキュリティ データベースに保存される一意の SID があります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーの SID を取得し、そのユーザーのアクセストークンに配置します。システムはアクセストークン内の SID を使用して、以降のすべての Windows セキュリティとのやり取りでユーザーを識別します。SID がユーザーまたはグループの一意の識別子として使用された場合、それが再び別のユーザーまたはグループを識別するために使用されることはありません。SID の詳細については、セキュリティ識別子 を参照してください。
アカウント名 [タイプ = UnicodeString]: 「オブジェクト追加」操作を要求したアカウントの名前。
アカウントドメイン [タイプ = UnicodeString]: サブジェクトのドメインまたはコンピュータ名。形式は以下のように異なります：
ドメインのNETBIOS名の例：CONTOSO
小文字の完全なドメイン名：contoso.local
大文字の完全なドメイン名：CONTOSO.LOCAL
LOCAL SERVICEやANONYMOUS LOGONなどのよく知られたセキュリティプリンシパルの場合、このフィールドの値は「NT AUTHORITY」となります。
ローカルユーザーアカウントの場合、このフィールドにはこのアカウントが属するコンピュータまたはデバイスの名前が含まれます。例：「Win81」。
ログオンID [タイプ = HexInt64]: 16進数の値で、最近のイベントと同じログオンIDを含む可能性のあるイベントとこのイベントを関連付けるのに役立ちます。例：「4624: アカウントが正常にログオンされました。」
オブジェクト：
- COM+ カタログコレクション [タイプ = UnicodeString]: 新しいオブジェクトが追加されたCOM+コレクションの名前。以下は、可能なコレクション値とその説明のリストです：
| コレクション | 説明 |
|---|---|
| ApplicationCluster | アプリケーションクラスター内のサーバーのリストを含みます。 |
| ApplicationInstances | 実行中のCOM+アプリケーションの各インスタンスのオブジェクトを含みます。 |
| Applications | ローカルコンピュータにインストールされている各COM+アプリケーションのオブジェクトを含みます。 |
| Components | 関連するアプリケーション内の各コンポーネントのオブジェクトを含みます。 |
| ComputerList | コンポーネントサービス管理ツールのコンピュータフォルダーに見つかったコンピュータのリストを含みます。 |
| DCOMProtocols | DCOMで使用されるプロトコルのリストを含みます。各プロトコルのオブジェクトが含まれます。 |
| ErrorInfo | 複数のオブジェクトを扱うメソッドに関する拡張エラー情報を取得します。 |
| EventClassesForIID | イベントクラスに関する情報を取得します。 |
| FilesForImport | インポート可能なアプリケーションに関する情報をMSIファイルから取得します。 |
| InprocServers | システムに登録されているインプロセスサーバーのリストを含みます。各コンポーネントのオブジェクトが含まれます。 |
| InterfacesForComponent | 関連するコンポーネントが公開する各インターフェースのオブジェクトを含みます。 |
| LegacyComponents | 関連するアプリケーション内の未構成の各コンポーネントのオブジェクトを含みます。 |
| LegacyServers | InprocServers コレクションと同一ですが、このコレクションにはローカルサーバーも含まれます。 |
| LocalComputer | アクセスしているカタログのコンピュータのレベル設定情報を保持する単一のオブジェクトを含みます。 |
| MethodsForInterface | 関連するインターフェースの各メソッドのオブジェクトを含みます。 |
| Partitions | 各パーティションに含まれるアプリケーションを指定するために使用されます。 |
| PartitionUsers | 各パーティションに含まれるユーザーを指定するために使用されます。 |
| PropertyInfo | 指定されたコレクションがサポートするプロパティに関する情報を取得します。 |
| PublisherProperties | 親のSubscriptionsForComponent コレクションの各パブリッシャープロパティのオブジェクトを含みます。 |
| RelatedCollectionInfo | 呼び出されたコレクションに関連する他のコレクションに関する情報を取得します。 |
| Roles | 関連するアプリケーションに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForComponent | 関連するコンポーネントに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForInterface | 関連するインターフェースに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForMethod | 関連するメソッドに割り当てられた各ロールのオブジェクトを含みます。 |
| RolesForPartition | 関連するパーティションに割り当てられた各ロールのオブジェクトを含みます。 |
| Root | カタログのトップレベルコレクションを含みます。 |
| SubscriberProperties | 親のSubscriptionsForComponent コレクションの各サブスクライバープロパティのオブジェクトを含みます。 |
| SubscriptionsForComponent | 親のComponents コレクションの各サブスクリプションのオブジェクトを含みます。 |
| TransientPublisherProperties | 親のTransientSubscriptions コレクションの各パブリッシャープロパティのオブジェクトを含みます。 |
| TransientSubscriberProperties | 親のTransientSubscriptions コレクションの各サブスクライバープロパティのオブジェクトを含みます。 |
| TransientSubscriptions | 各一時的なサブスクリプションのオブジェクトを含みます。 |
| UsersInPartitionRole | 関連するパーティションロール内の各ユーザーのオブジェクトを含みます。 |
| UsersInRole | 関連するロール内の各ユーザーのオブジェクトを含みます。 |
| WOWInprocServers | 64ビットコンピュータ上の32ビットコンポーネント用にシステムに登録されているインプロセスサーバーのリストを含みます。 |
| WOWLegacyServers | LegacyServers コレクションと同一ですが、このコレクションは64ビットコンピュータ上の32ビットレジストリから取得されます。 |
オブジェクト名 [タイプ = UnicodeString]: 新しいオブジェクトの名前と識別子を含むオブジェクト固有のフィールドです。これは COM+ カタログコレクション の値に依存します。例えば、COM+ カタログコレクション = Applications の場合、以下のようになります。
ID - アプリケーションを表す GUID。このプロパティは、このコレクションのオブジェクトに対して Key プロパティメソッドが呼び出されたときに返されます。
AppPartitionID - アプリケーションパーティションIDを表す GUID。
注 GUID は「Globally Unique Identifier」の略です。これはリソース、アクティビティ、またはインスタンスを識別するために使用される128ビットの整数です。
オブジェクトの詳細 [タイプ = UnicodeString]: 新しいオブジェクト（オブジェクト名）のプロパティのリスト。
項目は次の形式を持ちます: Property_Name = VALUE
オブジェクトのプロパティと説明のリストについては、特定の COM+ カタログコレクション の説明を確認してください。
セキュリティ監視の推奨事項
5890(S): COM+ カタログにオブジェクトが追加されました。
重要 このイベントについては、付録A: 多くの監査イベントのためのセキュリティ監視の推奨事項 も参照してください。
- 特定の COM+ コレクション内で新しい COM+ オブジェクトの作成を監視する必要がある場合、対応する COM+ カタログコレクション フィールド値を持つすべての 5890 イベントを監視してください。