У меня возникают проблемы с загрузкой Windows Server 2008 в журнал, когда учетные записи пользователей домена заблокированы. Все мои контроллеры домена - это Windows Server 2008 R1.
Я могу найти события Audit Failure (ID 4771) для неправильного имени пользователя / пароля, но не тогда, когда учетная запись заблокирована после слишком большого количества неправильных попыток. Пока что я обнаружил из чтения в Интернете, что групповая политика «Аудит блокировки учетной записи» (находится в Конфигурации компьютера> Политики> Настройки Windows> Параметры безопасности> Конфигурация расширенной политики аудита> Политики аудита> Вход / выход) должна быть установлена на Сбой, поэтому что он регистрирует сбои, но все еще не регистрируется.
Я настроил эту политику в рамках политики домена по умолчанию и политики контроллеров домена по умолчанию, поскольку здесь по умолчанию включено множество политик учетных записей / паролей, обычно я не трогаю эти объекты групповой политики.
После тестирования я вижу, что событие с идентификатором 4625 регистрируется в локальных журналах событий клиента, но не на контроллере домена. Опять же, я вижу событие 4771 неверного имени пользователя / пароля на контроллерах домена (я также проверил все журналы контроллеров домена), но не 4625.
Примечание. Когда я настроил событие Audit Account Lockout в групповой политике, я настроил его с помощью инструментов RSAT на своей рабочей станции. Когда я пытаюсь настроить его локально на контроллере домена, этот конкретный параметр недоступен. Моя рабочая станция - Windows 8.1, а Server - 2008 R1. Я не уверен, имеет ли это значение, но я использовал свою рабочую станцию для настройки групповых политик до этого, я не могу настроить на DC, и они работали.
Спасибо.
Крейг, вы правы, это 4740, однако я искал его раньше и ничего не получил. В клиенте Windows 7 это 4625.
Я нашел проблему. Политика блокировки учетной записи аудита, о которой я упоминал, была настроена только на «сбой». Как только я включил «успех», он регистрировал блокировки с ID 4740. Я думал, что ранее тестировал «успех», но после фильтрации журнала для 4740 я обнаружил только сегодняшние события. Журнал в Windows 7, должно быть, сбил меня с толку, поскольку он показывает 4625 с "отказом" и блокировкой учетной записи в качестве категории.
Спасибо.