Учетные данные провайдера хоста WMI

Question

Много раз в час WmiPrvSE.exe блокирует пользователя в домене. Заходя в журнал событий на сервере, который блокирует пользователя, он показывает, что WmiPrvSE.exe использует явные учетные данные, а не учетную запись локальной системы. Исследуя процессы и сервисы, они все говорят, что используют учетную запись локальной системы. Тем не менее, блокировка продолжает происходить от этого процесса.

Есть ли способ удалить учетные данные пользователя из процесса, чтобы предотвратить это в дальнейшем? Я удалил все следы пользователя с сервера (профили пользователей, сохраненные учетные данные и т.д.).

Answer 1

Прежде всего, проверьте симптом в чистой среде загрузки, чтобы выяснить, вызвана ли проблема сторонней службой.

https://support.microsoft.com/en-sg/help/929135/how-to-perform-a-clean-boot-in-windows

Мы могли бы попытаться использовать инструмент Process Explorer для анализа службы "WmiPrvSE.exe".

https://technet.microsoft.com/en-us/sysinternals/processexplorer.aspx