İndirgenmiş bir etki alanı denetleyicisi neden hala kullanıcıların kimliğini doğrulıyor?
Kullanıcılar etki alanı hesaplarıyla iş istasyonlarına her giriş yaptığında, bu indirgenmiş DC bunların kimlik doğrulamasını yapar. Güvenlik günlüğü oturum açma, oturum kapatma ve özel oturum açma işlemlerini gösterir. Yeni DC'lerin güvenlik günlüklerinde bazı makine oturumları ve oturum kapatmaları gösterilir, ancak alan adı kullanıcılarıyla hiçbir ilgisi yoktur.
Arka fon
- server1 (Windows Server 2008): Son zamanlarda indirgenmiş DC, dosya sunucusu
- server3 (Windows Server 2008 R2): Yeni DC
- server4 (Windows Server 2008 R2): Yeni DC
Kütükler
Güvenlik Günlüğü Olayları: http://imgur.com/a/6cklL .
Sunucudan iki örnek olay1 :
Audit Success,3/31/2014 11:06:14 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\auser
Account Name: auser
Account Domain: MYDOMAIN
Logon ID: 0x8b792ce
Logon GUID: {54063226-E9B7-D357-AD58-546793C9CA59}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.143
Source Port: 52834
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
[ ... ]
Audit Success,3/31/2014 11:06:06 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\anotheruser
Account Name: anotheruser
Account Domain: MYDOMAIN
Logon ID: 0x8b74ea5
Logon GUID: {7E74986A-7A4D-B6E0-5D6F-D8CF78E8C718}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.203
Source Port: 53027
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
Sunucu3'ten Örnek Denetim İlkesi Değişikliği olayı ( günlükte "Başarı Eklendi" olarak işaretlenmiş değişikliklerle Denetim İlkesi Değişikliği olayları da vardır ):
System audit policy was changed.
Subject:
Security ID: SYSTEM
Account Name: SERVER3$
Account Domain: MYDOMAIN
Logon ID: 0x3e7
Audit Policy Change:
Category: Account Logon
Subcategory: Kerberos Authentication Service
Subcategory GUID: {0cce9242-69ae-11d9-bed3-505054503030}
Changes: Success removed
Denenmiş Çözümler
- DNS girişlerini düzeltme.
dcdiag /test:dnsilk olarak sunucu1 indirildikten sonra hata döndürüldü . Örneğin, ileriye doğru arama bölgelerimizde eski ad sunucusu girişleri vardı. DNS Manager'ı açıp sorunlu girişleri elle kaldırarak LDAP ve Kerberos girişlerinin yeni sunucuları göstermesini sağladım. Örneğin, __ldap.Default-First-Site .__ sites.dc .__ msdcs.mydomain.local_, server3.mydomain.local adresini gösterir . - İle DNS girişleri doğrulanıyor
nslookup. server3 ve server4nslookup -type=srv _kerberos._udp.mydomain.localiçin girişleri döndürür - server1 hakkında hiçbir şey . - Meta verileri temizleme. Bu TechNet makalesinde
ntdsutilaçıklandığı gibi meta verileri temizlemek için kullandıktan sonra , komut her ikisi de iyi görünen yalnızca iki giriş döndürür:ntdsutillist servers in site- 0 - CN = SERVER4, CN = Sunucular, CN = Varsayılan-İlk Site, CN = Siteler, CN = Yapılandırma, DC = alanim, DC = yerel
- 1 - CN = SERVER3, CN = Sunucular, CN = Varsayılan-İlk Site, CN = Siteler, CN = Yapılandırma, DC = alanim, DC = yerel
- Sunucu1'i Active Directory Siteleri ve Hizmetleri'nden silme . Sunucu1 indirgildikten sonra , artık genel katalog olarak listelenmese de Active Directory Siteleri ve Hizmetleri'nde kaldığını fark ettim. Bu Microsoft KB makalesindeki talimatlara göre sildim .
- İşlem yöneticisi rollerini sunucuya aktarma 3 . İşlem yöneticisi rolleri benim ken'min biraz ötesinde, ama bu sabah
ntdsutilhepsini sunucu3'e aktarıyordum . Hata yoktu, ancak yeniden başlatmalar ve testler sunucu1'in hala tüm kimlik doğrulamasını yaptığını gösterdi . - DNS ile tekrar kayıt olmak ve netlogon'u yeniden başlatmak . Bir forum mesajı çalışan önerdi
ipconfig /registerdnsvenet stop netlogon && net start netlogonyeni sunucularda ilgili sorunu çözmek için. Yardım etmedi. - Yeni etki alanı denetleyicilerinde kazanan GPO'nun oturum açma ve hesap oturum açma olaylarının denetlenmesine olanak verdiğinden emin olmak.
Diğer İlanlar
- Aynı sorun bu forum gönderileri dizisinde de açıklanmaktadır . Çözüm yok.
- Bu soruda ayrıca Uzmanlar Borsası'nda da açıklanmaktadır . Yanıt olarak işaretlenen yorumda, "Onun [sic] değeri artık bir DC değilse, herhangi bir kimlik doğrulama isteğini işleme koymanın bir yolu yoktur." Bu tepkim olurdu, ama çalışan
dcdiagüzerinde sunucu1 onaylar sunucu1 DC kendisini dikkate almaz. Yine de herkesin kimliğini doğrulayan tek sunucudur.
Burada neler oluyor?