강등 된 도메인 컨트롤러가 여전히 사용자를 인증하는 이유는 무엇입니까?
사용자가 도메인 계정으로 워크 스테이션에 로그온 할 때마다이 강등 된 DC가이를 인증합니다. 보안 로그에는 로그온, 로그 오프 및 특수 로그온이 표시됩니다. 새로운 DC의 보안 로그에는 일부 컴퓨터 로그온 및 로그 오프가 표시되지만 도메인 사용자와는 아무런 관련이 없습니다.
배경
- server1 (Windows Server 2008) : 최근 강등 된 DC 파일 서버
- server3 (Windows Server 2008 R2) : 새로운 DC
- server4 (Windows Server 2008 R2) : 새로운 DC
로그
보안 로그 이벤트 : http://imgur.com/a/6cklL .
server1의 두 가지 샘플 이벤트 :
Audit Success,3/31/2014 11:06:14 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\auser
Account Name: auser
Account Domain: MYDOMAIN
Logon ID: 0x8b792ce
Logon GUID: {54063226-E9B7-D357-AD58-546793C9CA59}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.143
Source Port: 52834
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
[ ... ]
Audit Success,3/31/2014 11:06:06 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\anotheruser
Account Name: anotheruser
Account Domain: MYDOMAIN
Logon ID: 0x8b74ea5
Logon GUID: {7E74986A-7A4D-B6E0-5D6F-D8CF78E8C718}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.203
Source Port: 53027
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
server3의 감사 정책 변경 이벤트 샘플 ( "성공 추가"로 표시된 변경 사항이있는 로그에 감사 정책 변경 이벤트 도 있음 ) :
System audit policy was changed.
Subject:
Security ID: SYSTEM
Account Name: SERVER3$
Account Domain: MYDOMAIN
Logon ID: 0x3e7
Audit Policy Change:
Category: Account Logon
Subcategory: Kerberos Authentication Service
Subcategory GUID: {0cce9242-69ae-11d9-bed3-505054503030}
Changes: Success removed
시도한 솔루션
- DNS 항목 수정 server1 이 강등 된
dcdiag /test:dns후 처음에 오류를 리턴했습니다 . 예를 들어 정방향 조회 영역에 오래된 이름 서버 항목이있었습니다. 결국 DNS 관리자를 열고 문제 항목을 수동으로 제거하고 LDAP 및 Kerberos 항목이 새 서버를 가리 켰는 지 확인했습니다. 예를 들어 __ldap.Default-First-Site .__ sites.dc .__ msdcs.mydomain.local_은 server3.mydomain.local을 가리 킵니다 . - 와 DNS 항목을 확인
nslookup. server3 및 server4에nslookup -type=srv _kerberos._udp.mydomain.local대한 항목을 반환합니다 . server1 에 대해서는 아무것도 없습니다 . - 메타 데이터 정리 사용 후
ntdsutil설명 메타 데이터를 정리하기 위해 이 TechNet 문서에 의ntdsutil명령list servers in site만 반환 두 항목 모두보기 확인 :- 0-CN = SERVER4, CN = 서버, CN = 기본 사이트, CN = 사이트, CN = 구성, DC = mydomain, DC = 로컬
- 1-CN = SERVER3, CN = 서버, CN = 기본 사이트, CN = 사이트, CN = 구성, DC = mydomain, DC = 로컬
- Active Directory 사이트 및 서비스에서 server1 을 삭제 합니다. server1의 수준을 내린 후에 는 더 이상 글로벌 카탈로그로 표시되지 않았지만 Active Directory 사이트 및 서비스에 남아 있음을 알았습니다. 이 Microsoft KB 기사 의 지침에 따라 삭제했습니다 .
- 에 작업 마스터 역할을 전송 서버 3 . 운영 마스터 역할은 켄을 약간 뛰어 넘었지만 오늘 아침에
ntdsutil모두 server3 으로 전송했습니다 . 오류는 없었지만 재부팅 및 테스트 결과 server1 이 여전히 모든 인증을 수행하고있는 것으로 나타났습니다 . - DNS에 다시 등록하고 netlogon을 다시 시작 합니다. 포럼 게시물은 실행중인 것을 제안
ipconfig /registerdns하고net stop netlogon && net start netlogon새로운 서버에 관련된 문제를 해결하기 위해. 도움이되지 않는 것 같습니다. - 새 도메인 컨트롤러에서 GPO를 수상하면 로그온 및 계정 로그온 이벤트를 감사 할 수 있습니다.
다른 리드
- 이 일련의 포럼 게시물 에 동일한 문제가 설명되어 있습니다. 해상도가 없습니다.
- 이 질문에는 Experts Exchange에 대해서도 설명되어 있습니다. 답변으로 표시된 주석은 "[sic] DC가 더 이상 없으면 인증 요청을 처리 할 수있는 방법이 없습니다"라고 읽습니다. 그건 내 반응 것이지만, 실행
dcdiag에 server1 서 확인한다하면 해당 서버 1은 직류 자체를 고려하지 않습니다. 그러나 여전히 모든 사람을 인증하는 유일한 서버입니다.
무슨 일이야?