Ereignis 4771 (Anmeldung mit falschem Kennwort) Zeigt nicht den richtigen Client an

Question

Wir haben Probleme mit häufig gesperrten Konten.

Wir haben 4771 {Bad Password}-Ereignisse auf unserem Haupt-DC. Problem: Innerhalb des Ereignisses wird der Client-Rechner nicht richtig angezeigt. Stattdessen wird ein anderer DC als Client-Hostname angezeigt:

nur in seltenen Fällen wird der tatsächliche Client-Hostname angezeigt. Was könnte die Ursache dafür sein?

Answer 1

Was Sie sehen, ist eine Anmeldung an einem anderen Domänencontroller und dann - wie bei allen falschen Kennwortversuchen in Active Directory - leitet der ursprüngliche Anmeldeserver die Authentifizierung an den DC mit der PDC-Emulator-FSMO-Rolle weiter, um das Kennwort noch einmal zu überprüfen - um sicherzustellen, dass es keine Kennwortänderung gab, die noch nicht repliziert wurde, da der PDCesollenbei Passwortänderungen bevorzugt benachrichtigt werden.

In den seltenen Fällen, in denen ein tatsächlicher Client-Hostname angezeigt wird, liegt dies daran, dass der PDCe zufällig der ursprüngliche Anmeldeserver dieser Anforderung ist und zur Bestätigung keine Rücksprache mit einem anderen DC halten muss.