서버 2 개 중 1 개를 통해 잠긴 도메인 계정이 있습니다. 내장 감사 기능은 그 정도를 알려줍니다 (SERVER1, SERVER2에서 잠김).
계정은 5 분 내에 잠기 며, 분당 약 1 건의 요청으로 보입니다.
처음에는 sysinternals에서 procmon을 실행하여 계정 잠금을 해제 한 후 새로운 PROCESS START가 생성되는지 확인했습니다. 의심스러운 것은 없습니다. 내 워크 스테이션에서 procmon을 실행하고 UAC 쉘 (conscent.exe)로 상승 후에는 것을 스택에서처럼 보인다 ntdll.dll그리고는 rpct4.dll당신이 (확실하지) AD에 정식 할 때 호출되는.
DC에 인증 요청을 일으키는 프로세스를 좁히는 방법이 있습니까? 항상 같은 DC이므로 해당 사이트에 서버가 있어야 함을 알고 있습니다. wireshark에서 전화를 찾아 볼 수는 있지만 실제로 어떤 프로세스가 실제로 트리거되는지 좁힐지는 확실하지 않습니다.
서비스, 드라이브 매핑 또는 예약 된 작업이 해당 도메인 계정을 사용하고 있지 않으므로 도메인 자격 증명이 저장되어 있어야합니다. 어떤 서버에서도 해당 도메인 계정에 대한 공개 RDP 세션이 없습니다 (확인했습니다).
추가 메모
예, "성공 / 실패"로그온 감사는 해당 DC에서 활성화됩니다. 계정이 실제로 잠길 때까지 실패 이벤트가 기록되지 않습니다.
또한 파고 쇼 LSASS.exe하게 KERBEROS계정 잠금이 해제되면 문제의 DC에 전화를. vpxd.exevCenter 프로세스 인 이라고 불리는 java가 앞에옵니다 (일반적으로) . 그러나 다른 "server2"를 살펴보면 계정 잠금이 발생할 수 있다는 것입니다. 전화를 보지 않고 lsass.exe아파치 프로세스 만 생성됩니다. 두 사람의 유일한 관계는 SERVER2가 SERVER1의 vSphere 클러스터 (server1이 vSphere OS 임)의 일부라는 것입니다.
DC 오류
따라서 AD에서 알 수있는 것은 사전 인증 Kerberos 오류라는 것입니다. 나는 확인하고 티켓이 없었고 klist어쨌든 플러시를했다. 여전히이 kerberos 오류의 원인을 모릅니다.
Index : 202500597
EntryType : FailureAudit
InstanceId : 4771
Message : Kerberos pre-authentication failed.
Account Information:
Security ID: S-1-5-21-3381590919-2827822839-3002869273-5848
Account Name: USER
Service Information:
Service Name: krbtgt/DOMAIN
Network Information:
Client Address: ::ffff:x.x.x.x
Client Port: 61450
Additional Information:
Ticket Options: 0x40810010
Failure Code: 0x18
Pre-Authentication Type: 2
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
Certificate information is only provided if a certificate was used for pre-authentication.
Pre-authentication types, ticket options and failure codes are defined in RFC 4120.
If the ticket was malformed or damaged during transit and could not be decrypted, then many fields
in this event might not be present.