2

У меня есть эта проблема, я просто не могу найти источник. Моя учетная запись AD продолжает блокироваться. Используя статус блокировки и просматривая журнал netlogon, я выяснил, какой это компьютер. Я знаю, какой процесс блокирует меня: spoolsv.exe. Spoolsv.exe работает как система, а не как я, но я получаю эту запись в журнале.

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          3/28/2014 9:45:01 AM
Event ID:      4648
Task Category: Logon
Level:         Information
Keywords:      Audit Success
User:          N/A
Computer:      computer.MYDOMAIN.NET
Description:
A logon was attempted using explicit credentials.

Subject:
    Security ID:        NULL SID
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x79F5
    Logon GUID:     {00000000-0000-0000-0000-000000000000}

Account Whose Credentials Were Used:
    Account Name:       accountbeinglocked@mydomain.net
    Account Domain:     
    Logon GUID:     {00000000-0000-0000-0000-000000000000}

Target Server:
    Target Server Name: FILESERVER.MYDOMAIN.NET
    Additional Information: FILESERVER.MYDOMAIN.NET

Process Information:
    Process ID:     0x544
    Process Name:       C:\Windows\System32\spoolsv.exe

Network Information:
    Network Address:    -
    Port:           -

This event is generated when a process attempts to log on an account by explicitly specifying that account’s credentials.  This most commonly occurs in batch-type configurations such as scheduled tasks, or when using the RUNAS command.
Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>4648</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8020000000000000</Keywords>
    <TimeCreated SystemTime="2014-03-28T13:45:01.502850800Z" />
    <EventRecordID>308669</EventRecordID>
    <Correlation />
    <Execution ProcessID="784" ThreadID="5280" />
    <Channel>Security</Channel>
    <Computer>computer.MYDOMAIN.NET</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-0-0</Data>
    <Data Name="SubjectUserName">-</Data>
    <Data Name="SubjectDomainName">-</Data>
    <Data Name="SubjectLogonId">0x79f5</Data>
    <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TargetUserName">accountbeinglocked@mydomain.net</Data>
    <Data Name="TargetDomainName">
    </Data>
    <Data Name="TargetLogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TargetServerName">FILESERVER.MYDOMAIN.NET</Data>
    <Data Name="TargetInfo">FILESERVER.MYDOMAIN.NET</Data>
    <Data Name="ProcessId">0x544</Data>
    <Data Name="ProcessName">C:\Windows\System32\spoolsv.exe</Data>
    <Data Name="IpAddress">-</Data>
    <Data Name="IpPort">-</Data>
  </EventData>
</Event>

Я понятия не имею, как это исправить. Спасибо за любую помощь, которую вы можете оказать мне.

2 ответа2

1

Пытаться

psexec -i -s -d cmd
cmdkey /list

Это показывает, что если в системной учетной записи хранятся какие-либо учетные данные, удалите их с помощью cmdkey /delete:target

например

cmdkey /delete:192.168.1.2
1

Обычно это из кэшированных учетных данных, используемых для доступа к сетевому ресурсу (как отмечено в комментариях)

Вы можете удалить аутентифицированные учетные данные из:

Панель управления \ Все элементы панели управления \ Учетные записи пользователей

нажмите на имя пользователя 1.Слева вы увидите Управление вашими учетными данными. Из этого выберите имя ресурса / ресурса и удалите

Вам нужно будет найти все системы, использующие учетные данные.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .