# จัดการการล้างเหตุการณ์ตรวจสอบ AD

Canonical: https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/audit/cleanup-audit-events/

Language: th-TH

Updated: 2026-11-15T04:10:35.169057Z

การล้างเหตุการณ์ตรวจสอบจะลบรายละเอียดเหตุการณ์ย้อนหลังที่เข้าเงื่อนไขและเนื้อหาต้นฉบับที่เกี่ยวข้องใน Ping64 ตามหมวดเหตุการณ์และจำนวนวันเก็บรักษา โดยไม่ลบสถิติรวมที่สร้างไว้แล้ว จำนวนสถิติจึงอาจต่างจากรายละเอียดที่ยังดูได้ การล้างนี้กระทำต่อข้อมูลแพลตฟอร์ม ไม่ใช่การลบบันทึกความปลอดภัยของตัวควบคุมโดเมน และไม่สามารถกู้คืนบันทึกที่สูญหายได้

**การล้างจะลบข้อมูล** กฎมีผลต่อบันทึกที่เข้าเงื่อนไขในหลายโดเมนขององค์กรปัจจุบัน ไม่ใช่เฉพาะโดเมนที่กำลังดู ก่อนดำเนินการต้องตรวจสอบทุกโดเมน หมวดเหตุการณ์และข้อกำหนดเก็บรักษาที่ได้รับผล การยกเลิกงานไม่คืนบันทึกที่ลบไปแล้ว หากต้องเก็บหลักฐาน ให้ยืนยันข้อมูลสำรองที่ใช้ได้และแนวทางกู้คืนตามนโยบายองค์กรก่อน อย่าสมมติว่าแพลตฟอร์มกู้คืนอัตโนมัติ

## เตรียมก่อนดำเนินการ

1.  ตรวจสอบสิทธิ์ใช้งานการจัดการโดเมน AD และสิทธิ์ผู้ดูแลในการดูและแก้ไขกฎ การเริ่มหรือยกเลิกงานด้วยตนเองต้องมีสิทธิ์ดำเนินการเพิ่มเติม ยืนยันข้อกำหนดเก็บข้อมูลเพื่อการตรวจสอบ การปฏิบัติตามข้อกำหนดและการสอบสวนของทุกโดเมนกับเจ้าของข้อมูล
2.  ใช้[การเก็บและดูเหตุการณ์ความปลอดภัย](https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/audit/security-events/)ตรวจสอบวัตถุประสงค์ของบันทึกและหลักฐานต้นฉบับที่ต้องเก็บ รวมทั้งการสอบสวนและข้อกำหนดเก็บรักษาตามกฎหมายที่ดำเนินอยู่ ขอบเขตการล้างและการเก็บเหตุการณ์เป็นคนละการตั้งค่า การหยุดเก็บไม่ได้ป้องกันการล้างข้อมูลย้อนหลังโดยอัตโนมัติ
3.  ดำเนินการเปลี่ยนแปลงที่อนุมัติในช่วงบำรุงรักษา ยืนยันข้อมูลสำรองและแนวทางกู้คืนก่อน และวางแผนตรวจสอบหลังงาน หากยังไม่ทราบผลกระทบหรือหลักฐานที่ต้องเก็บ อย่าเปิดกฎหรือส่งงานล้าง

## ตั้งกฎเก็บรักษาตามหมวด

1.  ในการจัดการโดเมน AD เปิด **Audit Event Cleanup** ตรวจสอบหมวดเหตุการณ์ จำนวนปัจจุบัน จำนวนที่คาดว่าหมดอายุ สถานะล้างและ **Retention Days** แต่ละรายการ หมวดรวมถึงการยืนยันตัวตน การจัดการบัญชีผู้ใช้ การตรวจสอบ DNS และหมวดอื่นตามรายการจริง
2.  เปิด **Enable cleanup** เฉพาะหมวดที่อนุมัติและตั้งวันเก็บรักษาของแต่ละหมวดตั้งแต่ 1 ถึง 3650 วัน กฎเริ่มต้นปิดและเก็บ 180 วัน แต่การตั้งค่าเดิมอาจต่างกัน ให้ตรวจสอบบนหน้าจอ หมวดที่ไม่เปิดจะไม่ถูกล้างตามกฎนั้น
3.  ตรวจสอบสวิตช์และวันของทุกหมวดแล้วเลือก **Save rules** หากบันทึกไม่สำเร็จเพราะผู้ดูแลอื่นแก้ไขพร้อมกัน ให้รีเฟรช ตรวจสอบค่าล่าสุดและผลกระทบ แล้วแก้ไขตามขั้นตอนอนุมัติ อย่าเขียนทับโดยไม่ตรวจสอบ

## ดูตัวอย่างและล้างด้วยตนเอง

1.  หลังบันทึกกฎ เลือก **Clean up now** ต้องมีกฎที่เปิดอย่างน้อยหนึ่งรายการจึงสร้างตัวอย่างที่ใช้ได้ หากมีการแก้ไขที่ยังไม่บันทึกให้บันทึกและตรวจสอบก่อน การเปิดตัวอย่างยังไม่ลบข้อมูล
2.  ใน **Confirm immediate cleanup** ตรวจสอบแต่ละหมวด จำนวนวัน เวลาตัดยอด จำนวนที่คาดว่าจะลบและยอดรวม ตัวอย่างใช้ข้อมูลและกฎ ณ เวลาที่สร้าง ส่วนขอบเขตงานถูกกำหนดอีกครั้งเมื่อส่งงาน จำนวนจริงจึงอาจต่างกัน อย่าถือว่าจำนวนประมาณเป็นรายการลบที่ล็อกแล้ว
3.  หากผลกระทบอยู่ในขอบเขตที่อนุมัติและยืนยันการสำรองและกู้คืนแล้ว ให้เลือก **Confirm cleanup** มิฉะนั้นให้ยกเลิกและประเมินใหม่ การส่งสำเร็จหมายถึงส่งงานแล้ว ไม่ใช่ลบเสร็จแล้ว
4.  เปิด **Cleanup runs** ดูสถานะและรายละเอียด ตรวจสอบจำนวนที่สแกนและลบ ข้อผิดพลาดและผลจริงของแต่ละหมวด งานอาจรอ ทำงาน ลองใหม่ ล้มเหลว ล้มเหลวบางส่วน เสร็จหรือถูกยกเลิก อย่าส่งงานเดิมซ้ำก่อนทราบสถานะสุดท้าย

## ล้างอัตโนมัติและยกเลิก

1.  หากต้องการล้างเป็นประจำ เปิด **Automatic cleanup settings** เปิด **Enable daily automatic cleanup** ตั้ง **Daily execution time** และบันทึก ระบบใช้เวลาท้องถิ่นของเซิร์ฟเวอร์ จึงต้องตรวจสอบเขตเวลา แผนบำรุงรักษาและกฎที่เปิดก่อน ค่าเริ่มต้นปิดการล้างอัตโนมัติ ส่วนการตั้งค่าเดิมให้ตรวจสอบบนหน้าจอ
2.  งานอัตโนมัติใช้กฎหมวดที่เปิด ณ เวลาสร้างงาน หลังแก้ไขหรือปิดกฎให้ตรวจสอบทั้งกฎและการตั้งค่าอัตโนมัติ อย่าสมมติว่าปิดการตั้งค่าแล้วงานที่ส่งไปก่อนถูกยกเลิก
3.  งานที่รอ กำลังทำงานหรือรอลองใหม่สามารถเลือกยกเลิกใน **Cleanup runs** และยืนยันหยุด หลังส่งคำขอให้ติดตามสถานะสุดท้ายและจำนวนที่ลบ งานทำเป็นชุด การยกเลิกไม่คืนข้อมูลที่ลบแล้วและไม่รับประกันว่าชุดที่กำลังทำจะหยุดทันที

## ตรวจสอบและแก้ปัญหา

-   หากตัวอย่างไม่มีผลที่คาดไว้ ให้ตรวจสอบว่าเปิดอย่างน้อยหนึ่งหมวด วันเก็บและเวลาตัดยอดถูกต้อง และมีบันทึกย้อนหลังที่เข้าเงื่อนไข บางบันทึกอาจยังไม่เข้าเงื่อนไข อายุเพียงอย่างเดียวไม่รับประกันว่าจะถูกลบ
-   หากงานล้มเหลวทั้งหมดหรือบางส่วน ให้ดูผลและข้อผิดพลาดรายหมวด ตรวจสอบว่าลบข้อมูลไปแล้วหรือไม่ แล้วแก้ปัญหาตามขั้นตอนองค์กร อย่าทำซ้ำหรือลดเวลาเก็บเพื่อขยายการลบก่อนเข้าใจผลจริง
-   หลังเสร็จ ให้ค้นหา[เหตุการณ์ความปลอดภัย](https://www.nsecsoft.com/th/docs/ping64-identity-access/ad-domain/audit/security-events/)อีกครั้งตามจำเป็นและเทียบกับบันทึกงาน สถิติรวมอาจยังอยู่ รายละเอียดบนแพลตฟอร์มที่หายไปไม่ได้หมายความว่าบันทึกต้นฉบับของตัวควบคุมถูกลบ หรือมีข้อมูลสำรองที่กู้คืนได้เสมอ