Tại sao bộ điều khiển miền bị hạ cấp vẫn xác thực người dùng?
Bất cứ khi nào người dùng đăng nhập vào máy trạm bằng tài khoản miền, DC bị hạ cấp này sẽ xác thực chúng. Nhật ký bảo mật của nó hiển thị thông tin đăng nhập, đăng xuất và đăng nhập đặc biệt của họ. Nhật ký bảo mật của các DC mới của chúng tôi hiển thị một số thông tin đăng nhập và đăng xuất của máy, nhưng không liên quan gì đến người dùng tên miền.
Lý lịch
- server1 (Windows Server 2008): Gần đây đã hạ cấp DC, máy chủ tệp
- máy chủ3 (Windows Server 2008 R2): DC mới
- máy chủ4 (Windows Server 2008 R2): DC mới
Nhật ký
Sự kiện Nhật ký bảo mật: http://imgur.com/a/6cklL .
Hai sự kiện mẫu từ server1 :
Audit Success,3/31/2014 11:06:14 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\auser
Account Name: auser
Account Domain: MYDOMAIN
Logon ID: 0x8b792ce
Logon GUID: {54063226-E9B7-D357-AD58-546793C9CA59}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.143
Source Port: 52834
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
[ ... ]
Audit Success,3/31/2014 11:06:06 AM,Microsoft-Windows-Security-Auditing,4624,Logon,"An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: MYDOMAIN\anotheruser
Account Name: anotheruser
Account Domain: MYDOMAIN
Logon ID: 0x8b74ea5
Logon GUID: {7E74986A-7A4D-B6E0-5D6F-D8CF78E8C718}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name:
Source Network Address: 192.168.20.203
Source Port: 53027
Detailed Authentication Information:
Logon Process: Kerberos
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
Sự kiện Thay đổi chính sách kiểm toán mẫu từ máy chủ3 (cũng có các sự kiện Thay đổi chính sách kiểm toán trong nhật ký với các thay đổi được đánh dấu "Đã thêm thành công"):
System audit policy was changed.
Subject:
Security ID: SYSTEM
Account Name: SERVER3$
Account Domain: MYDOMAIN
Logon ID: 0x3e7
Audit Policy Change:
Category: Account Logon
Subcategory: Kerberos Authentication Service
Subcategory GUID: {0cce9242-69ae-11d9-bed3-505054503030}
Changes: Success removed
Giải pháp đã cố gắng
- Sửa các mục DNS.
dcdiag /test:dnslúc đầu trả về lỗi sau khi server1 bị hạ cấp. Ví dụ, có các mục máy chủ tên lỗi thời trong các khu vực tra cứu chuyển tiếp của chúng tôi. Tôi đã kết thúc việc mở Trình quản lý DNS và xóa các mục sự cố theo cách thủ công, cũng đảm bảo rằng các mục nhập LDAP và Kerberos được trỏ đến các máy chủ mới. Ví dụ: __ldap.Default-First-Site .__site.dc .__ msdcs.mydomain.local_ trỏ đến server3.mydomain.local . - Xác minh các mục DNS với
nslookup.nslookup -type=srv _kerberos._udp.mydomain.localtrả về các mục cho server3 và server4 Nói về server1 . - Làm sạch siêu dữ liệu. Sau khi sử dụng
ntdsutilđể dọn sạch siêu dữ liệu như được mô tả trong bài viết TechNet này ,ntdsutillệnh chỉlist servers in sitetrả về hai mục nhập, cả hai đều trông ổn:- 0 - CN = SERVER4, CN = Máy chủ, CN = Mặc định-Trang web đầu tiên, CN = Trang web, CN = Cấu hình, DC = mydomain, DC = local
- 1 - CN = SERVER3, CN = Máy chủ, CN = Mặc định-Trang web đầu tiên, CN = Trang web, CN = Cấu hình, DC = mydomain, DC = local
- Xóa server1 khỏi các dịch vụ và trang web Active Directory. Sau khi hạ cấp server1 , tôi nhận thấy nó vẫn ở trong Active Directory Site and Services, mặc dù nó không còn được liệt kê như một danh mục toàn cầu. Tôi đã xóa nó theo các hướng dẫn trong bài viết Microsoft KB này .
- Chuyển các vai trò chủ hoạt động sang máy chủ3 . Vai trò chủ hoạt động là một chút ngoài ken của tôi, nhưng tôi đã sử dụng
ntdsutilđể chuyển tất cả chúng đến server3 sáng nay. Không có lỗi, nhưng khởi động lại và kiểm tra cho thấy server1 vẫn đang thực hiện tất cả xác thực. - Đăng ký lại với DNS và khởi động lại netlogon . Một bài đăng diễn đàn đề nghị chạy
ipconfig /registerdnsvànet stop netlogon && net start netlogontrên các máy chủ mới để giải quyết vấn đề liên quan. Nó dường như không giúp được gì. - Đảm bảo rằng GPO chiến thắng trên các bộ điều khiển miền mới cho phép kiểm tra các sự kiện đăng nhập tài khoản và đăng nhập.
Dẫn khác
- Vấn đề tương tự được mô tả trong loạt bài viết diễn đàn này . Không có giải pháp.
- Nó cũng được mô tả trong câu hỏi này trên Trao đổi chuyên gia . Nhận xét được đánh dấu là một câu trả lời có nội dung: "Nếu [sic] của nó không còn là DC nữa, thì không có cách nào nó có thể xử lý bất kỳ yêu cầu xác thực nào." Đó sẽ là phản ứng của tôi, nhưng chạy
dcdiagtrên server1 xác nhận rằng server1 không coi mình là DC. Tuy nhiên, đây vẫn là máy chủ duy nhất xác thực mọi người.
Những gì đang xảy ra ở đây?