SQL フェールオーバー クラスターで 2 台の Windows 2008 R2 SP1 サーバーが稼働しています。そのうちの 1 台で、セキュリティ ログに次のイベントが記録されています。30秒ごとに空白の部分は実際には空白です。同様の問題を経験した方、またはこれらのイベントの原因の追跡に協力した方はいらっしゃいますか? 私が知る限り、他のイベント ログには関連するものは何も表示されていません。
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: SERVERNAME$
Account Domain: DOMAINNAME
Logon ID: 0x3e7
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x238
Caller Process Name: C:\Windows\System32\lsass.exe
Network Information:
Workstation Name: SERVERNAME
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
上記のすべてのイベントに続く2番目のイベント
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: An Error occured during Logon.
Status: 0xc000006d
Sub Status: 0x80090325
Process Information:
Caller Process ID: 0x0
Caller Process Name: -
Network Information:
Workstation Name: -
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Microsoft Unified Security Protocol Provider
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
編集更新: 追加する情報がもう少しあります。このマシンにネットワーク モニターをインストールし、Kerberos トラフィックのフィルターを実行したところ、セキュリティ監査ログのタイムスタンプに対応する次のものが見つかりました。
Kerberos AS_Request Cname: CN=SQLInstanceName Realm:domain.local Sname krbtgt/domain.local
DC からの返信: KRB_ERROR: KDC_ERR_C_PRINCIPAL_UNKOWN
次に、応答した DC のセキュリティ監査ログを確認したところ、次のことがわかりました。
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
Network Information:
Client Address: ::ffff:10.240.42.101
Client Port: 58207
Additional Information:
Ticket Options: 0x40810010
Result Code: 0x6
Ticket Encryption Type: 0xffffffff
Pre-Authentication Type: -
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
したがって、SQL マシンにインストールされている証明書に関連しているようですが、その証明書の何が問題なのか、その理由はまだわかりません。期限切れなどではありません。
答え1
Microsoft ネットワーク モニターを使用して、この問題の原因となっているトラフィックを見つけ、この SQL サーバーと AD2 サーバー間のトラフィックを発見しました。SQL サーバーは、SQL インスタンス名のコンピューター アカウントに対して Kerberos AS_REQ を送信していました。AD サーバーは、KDC_ERR_C_PRINCIPAL_UNKNOWN で応答します。AD2 サーバーのセキュリティ ログを確認したところ、次のような失敗監査が見つかりました。
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
これは何らかの証明書要求のようです。次に、SysInternals Process Monitor を使用して、同じタイムスタンプを持つカスタム サービスからのトラフィックを見つけました。すべての証明書ストアを照会しましたが、何も見つかりませんでした。
このサービスを無効にすると、セキュリティ イベントが停止します。