如何辨别谁做出了这一改变？

Question

我如何知道谁对以下事件日志条目进行了更改？

呼叫者用户名是什么/谁？

XXXXTE-MAIL（不带 $）是域控制器的计算机名称。此条目来自此域控制器的事件日志。

Answer 1

域控制器执行了该操作。这是 SDProp 进程的一部分，该进程会重置受保护组成员帐户的安全描述符。

http://blogs.technet.com/b/askds/archive/2009/05/07/five-common-questions-about-adminsdholder-and-sdprop.aspx

https://technet.microsoft.com/en-us/magazine/2009.09.sdadminholder.aspx

http://windowsitpro.com/security/demystifying-adminsdholder-object