У меня есть домен Windows уровня 2008 года, на котором установлено 5 контроллеров домена 2008 (не R2) (в планах - переход на R2 или, возможно, 2012 год в следующие 9-12 месяцев, но этот проект сначала должен работать), и я необходимо включить события службы проверки подлинности Kerberos в журнале событий безопасности для интегрированной в AD системы веб-фильтрации.
Очевидно, параметр аудита «Служба проверки подлинности Kerberos» является новым в 2008 R2 и отсутствует в интерфейсе GPO 2008 года.
Эта статья TechNet Кажется, это указывает на то, что я должен иметь возможность включить параметр в моей «Политике контроллера домена по умолчанию» с рядового сервера 2008 R2, и он будет применяться к серверам 2008 года:
Если этот параметр политики настроен, генерируются следующие события. События появляются на компьютерах под управлением Windows Server 2008 R2, Windows Server 2008, Windows 7 или Windows Vista.
Идентификатор события Сообщение о событии
4768 Запрошен билет проверки подлинности Kerberos (TGT).
4771 Ошибка предварительной проверки подлинности Kerberos.
4772 Ошибка запроса билета проверки подлинности Kerberos.
Однако я пробовал это, и 4 из моих 5 контроллеров домена применяют настройку нормально, но один из них не регистрирует события аудита в журналах безопасности.
Есть ли лучший способ сделать это на сервере 2008 (не R2)? Есть ли что-нибудь очевидное, что могло бы быть включено (или отключено) на этом чудаковатом DC, что заставляет его не принимать настройку R2? Есть ли другие идеи, что нужно проверить?
Я не вижу ничего необычного в журналах событий на неисправном контроллере домена. Любые идеи или помощь приветствуются. Заранее благодарим за любую помощь, которую вы все можете предложить.
РЕДАКТИРОВАТЬ: Вот ссылка на мой предыдущий вопрос где я спросил, как включить этот параметр в Server 2008. Этот вопрос устарел, поэтому я задаю его следующее логическое расширение здесь.
Мне до сих пор не удалось выяснить, почему эти изменения политики не вносятся на 1 из 5 контроллеров домена, но я смог обойти эту проблему, выполнив следующие auditpol команда на нем:
auditpol /set /category:"account logon" /subcategory:"kerberos Authentication Service" /success:enable
После обновления GP и перезагрузки DC этот параметр все еще застревает, поэтому я думаю, он нигде не перезаписывается, поэтому я считаю это хорошим.
Спасибо всем, кто прочитал это, и, возможно, это поможет другим в подобных ситуациях.