Windows 10のAuditPolとは？監査ポリシーを管理するコマンドラインツールの使い方と有効化手順

Windows 10/8/7 および Windows Server には、Audit Policy Program（AuditPol.exe）というコマンドラインツールが標準で搭載されています。このツールは System32 フォルダーに格納されており、カテゴリレベルでは設定できない細かい「サブカテゴリ」単位での監査ポリシーの管理・監査を可能にします。

カテゴリレベルで監査ポリシーを設定すると、新しいサブカテゴリ単位の監査ポリシー機能は上書きされてしまいます。Windows Vista 以降で導入された新しいレジストリ値 SCENoApplyLegacyAuditPolicy を使用すると、グループポリシーを変更することなく、サブカテゴリ単位で監査ポリシーを管理できるようになります。このレジストリ値を設定することで、グループポリシーやローカルセキュリティポリシー管理ツールからのカテゴリレベルの監査ポリシー適用を防止できます。

AuditPol を有効にする方法（Windows 10）

このオプションを有効にしたい場合は、まず「ローカルセキュリティポリシー」を開き、「ローカルポリシー」＞「セキュリティオプション」へと移動します。

右側のペインにある「監査: 監査ポリシーのサブカテゴリ設定 (Windows Vista 以降) を強制して、監査ポリシーのカテゴリ設定を上書きする」をダブルクリックします。表示された画面で「有効」を選択し、「適用」→「OK」をクリックして設定を保存します。

AuditPol でできること

AuditPol には複数のスイッチが用意されており、監査設定の表示、設定、クリア、バックアップ、復元などを行うことができます。

具体的には、以下のような操作が可能です。

• システム監査ポリシーの設定と照会
• ユーザーごとの監査ポリシーの設定と照会
• 監査オプションの設定と照会
• 監査ポリシーへのアクセス権限を委任するためのセキュリティ記述子の設定と照会
• 監査ポリシーのレポート作成や、CSV（カンマ区切り）テキストファイルへのバックアップ
• CSV テキストファイルから監査ポリシーの読み込み
• グローバルリソース SACL の構成

コマンドプロンプトを管理者として開き、次のコマンドを実行すると、定義されている監査設定を確認できます。

auditpol /get /category:*

注意すべき点として、AuditPol とローカルセキュリティポリシー（secpol.msc）の両方で監査ポリシー設定を確認した場合、それぞれ異なる結果が表示されることがあります。マイクロソフトのサポート技術情報 KB2573113 には、その理由が次のように説明されています。

AuditPol は承認 API を直接呼び出して、粒度の細かい監査ポリシーの変更を実装します。一方、secpol.msc はローカルグループポリシーオブジェクトを操作するため、変更内容は system32\GroupPolicy\Machine\Microsoft\Windows NT\Audit\Audit.csv に書き込まれます。この .csv ファイルに保存された設定は、変更時点でシステムに直接適用されるわけではなく、ファイルに書き込まれた後、クライアント側拡張機能（CSE）によって後から読み込まれます。次回のグループポリシー更新サイクルで、CSE が .csv ファイル内の変更を適用します。つまり、secpol.msc に表示されるのはローカル GPO に設定された内容であり、secpol.msc 上で確認できるローカル設定と AuditPol の詳細設定を統合して表示する「有効な設定」ビューは存在しません。

さらに詳しい情報については、TechNet の AuditPol のドキュメントを参照してください。