Windows 11如何启用审核对象访问_Windows 11安全策略中监控文件和文件夹访问

必须启用“审核对象访问”策略并为文件或文件夹配置SACL才能记录操作行为；先通过secpol.msc启用全局审核，再在属性安全高级中添加SACL，专业版可用gpedit.msc扩展配置，最后用事件查看器筛选ID 4663验证。

如果您希望在Windows 11中记录用户对特定文件或文件夹的打开、修改、删除等操作行为，则必须启用“审核对象访问”策略并为对应对象配置系统访问控制列表（SACL）。以下是实现该监控功能的具体方法：

一、启用本地审核策略中的“审核对象访问”

该步骤在系统级别开启对象访问事件的捕获能力，是后续针对具体文件夹生效的前提。未启用此策略时，即使为文件夹设置了审计项，也不会生成安全日志。

1、按 Win + R 打开运行对话框，输入 secpol.msc 并回车，启动本地安全策略控制台。

2、在左窗格依次展开【本地策略】→【审核策略】。

3、在右窗格双击【审核对象访问】。

4、勾选【定义这些策略设置】复选框，同时选中【成功】和【失败】复选框。

5、点击【确定】保存设置。

二、为指定文件或文件夹配置SACL审计项

启用全局策略后，还需为具体目标对象手动添加SACL条目，明确指定哪些用户/组、在何种操作（如读取、写入、删除）下触发日志记录。该配置不继承，必须逐个设置。

1、在文件资源管理器中定位目标文件或文件夹，右键选择【属性】。

2、切换到【安全】选项卡，点击【高级】按钮。

3、在弹出窗口中切换到【审核】选项卡，点击【添加】。

4、点击【选择主体】，输入要监控的用户账户名（例如 TestUser）或组名（如 Everyone），点击【确定】。

5、在【应用于】下拉菜单中选择作用范围（如“仅此文件夹”、“此文件夹、子文件夹和文件”）。

6、在下方权限列表中，勾选需审计的操作类型，例如：读取数据/列出目录、写入数据/添加文件、删除子文件夹和文件等。

7、分别勾选【成功】和【失败】复选框，确保两类操作均被记录。

标签： 审核对象访问 windows 计算机 资源管理器 win windows 11