Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Directory Service.evtx
JournalRisque : Prudence
  • Windows Server

Directory Service.evtx C:\Windows\System32\winevt\Logs\Directory Service.evtx

Directory Service.evtx : journal des services de domaine Active Directory d'un contrôleur de domaine (démarrage, réplication, base, liaisons LDAP).

Mis à jour le Par AltF4 Formation

À quoi ça sert

Directory Service.evtx est le journal d’AD DS sur un contrôleur de domaine, et il n’existe nulle part ailleurs. C’est le premier endroit à ouvrir pour un service d’annuaire qui ne démarre pas, une réplication en panne, une base ntds.dit en difficulté ou des liaisons LDAP non sécurisées.

Ce qu’il contient

  • Le démarrage et l’arrêt des services d’annuaire (événements 1000 et 1004).
  • Les avertissements et erreurs de réplication et de base : 1311 (le KCC détecte un problème de topologie), 2042 (trop de temps depuis la dernière réplication, au-delà de la durée de vie des objets supprimés), 1394 (plus de blocage d’écriture dans la base, après un disque plein).
  • La sécurité LDAP : 2886 (signature LDAP non exigée), 2887 (résumé quotidien des liaisons sans signature ni chiffrement) et 2889 (le détail, client par client).
  • Des événements de diagnostic détaillés, si le niveau de diagnostic NTDS a été relevé.

Le 2889 n’apparaît que si la valeur 16 LDAP Interface Events de HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics est à 2. Les niveaux élevés produisent beaucoup d’événements : remettez la valeur à 0 après l’enquête.

Risques et bonnes pratiques

  • Il documente la santé de l’annuaire. Exportez-le avant toute purge.
  • Centralisez-le avec les journaux Sécurité, DNS Server et DFS Replication de chaque contrôleur de domaine.
  • Les événements citent des noms de comptes, de machines et d’objets : traitez les copies comme sensibles.
  • Un journal qui se remplit vite signale un problème, comme une réplication en échec ou un client mal configuré. Traitez la cause plutôt que d’augmenter la taille.

Commandes utiles

Fenêtre de terminal
# Dernières erreurs et avertissements du journal (en administrateur)
Get-WinEvent -FilterHashtable @{LogName='Directory Service'; Level=2,3} -MaxEvents 30 |
    Select-Object TimeCreated, Id, ProviderName, Message


# Liaisons LDAP sans signature : 2887 (résumé) et 2889 (détail)
Get-WinEvent -FilterHashtable @{LogName='Directory Service'; Id=2887,2889} -MaxEvents 20


# Activer le détail des liaisons LDAP (2889) ; remettre à 0 ensuite
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics' -Name '16 LDAP Interface Events' -Value 2


# Configuration du journal
wevtutil gl "Directory Service"

Format

Fichier XML binaire (.evtx), géré par le service Journal des événements Windows.

Rotation et archivage

La taille maximale et le comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe. Pour un instantané : wevtutil epl "Directory Service" C:\Temp\DirectoryService.evtx.

Comment le lire

Observateur d’événements > Journaux des applications et des services > Directory Service. Filtrez par source (par exemple ActiveDirectory_DomainService) et par niveau. Pour un fichier exporté, utilisez Get-WinEvent -Path.

Signaler une erreur