Hallo und danke fürs Lesen. Bevor ich anfange, möchte ich sagen, dass dies auf Maschinen passiert, die NICHT in einer Domäne sind. Ich weiß, dass es andere beantwortete Fragen dazu gibt, warum dies auf einer Maschine passieren könnte, die mit einer Domäne verbunden ist, aber dies passiert, wenn sich die Maschine nur in einer ARBEITSGRUPPE befindet.
Ich habe dies auf mindestens 5 oder 6 verschiedenen Servern bemerkt und habe keine Ahnung, warum. Ich habe ein lokales Benutzerkonto – in der Gruppe „Administratoren“ – unter dem mehrere Dienste ausgeführt werden. Irgendwann – und ich kann keinen Zusammenhang erkennen, wie lange es dauert (manchmal Tage, Wochen, sogar Monate) – beginnt der Dienst, Fehler zu verursachen. Wenn ich nach dem Grund suche, stelle ich fest, dass dieses lokale Konto nicht mehr Teil der Gruppe „Administratoren“, sondern jetzt Teil der Gruppe „Benutzer“ und „Leistungsmonitor-Benutzer“ ist. Manchmal wird es auch einer Gruppe „Leistungsprotokoll-Benutzer“ hinzugefügt.
Ich habe dies auf den Betriebssystemen Windows Server 2016 und 2019 sowie Windows 10 Pro beobachtet. Was jetzt zweimal passiert ist, ist, dass das Ganze erneut passiert, NACHDEM ich den Benutzer aus diesen Gruppen entfernt und ihn WIEDER zur lokalen Administratorgruppe hinzugefügt habe. Ich habe dies vor dem Posten gegoogelt und kann nichts zu diesem Phänomen finden. Warum passiert das und wie kann ich es verhindern? Danke.
Antwort1
Versuchen Sie, weitere Informationen zu den Ereignissen zu finden.
Der Microsoft-Artikel Kontoverwaltung prüfen beschreibt die folgenden beiden Ereignis-IDs:
636 : A member was added to a local group.
637 : A member was removed from a local group.
Überprüfen Sie, ob diese Ereignisse bereits in der Ereignisanzeige unter „Windows-Protokolle > Sicherheit“ gefunden werden.
Wenn die Ereignisse nicht vorhanden sind, überprüfen Sie, ob Sie sie mithilfe des Gruppenrichtlinien-Editors ( gpedit.msc) unter aktivieren müssen Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy. Die zu aktivierende Richtlinie heißt „Kontoverwaltung überwachen“ und ist im obigen Link beschrieben.
Die Informationen in den Ereignissen können dabei helfen, den Prozess zu identifizieren, der diesen Vorgang ausführt.