Событие 4771 (неверный пароль при входе) Не отображает правильный клиент

Question

У нас возникают проблемы с часто блокируемыми аккаунтами.

У нас 4771 событие {Bad Password} на нашем главном DC. Проблема: в событии клиентская машина отображается неправильно. Вместо этого в качестве имени хоста клиента отображается другой DC:

Только в редких случаях отображается фактическое имя хоста клиента. В чем может быть причина?

Answer 1

То, что вы видите, — это вход в систему, который происходит на другом контроллере домена, а затем — как и при всех попытках ввода неверного пароля в Active Directory — исходный сервер входа перенаправляет аутентификацию на контроллер домена с ролью эмулятора PDC FSMO для повторной проверки пароля — чтобы убедиться, что не было смены пароля, которая еще не была реплицирована, так как PDCeдолженполучать приоритетные уведомления о любых изменениях пароля.

В редких случаях отображается фактическое имя хоста клиента, поскольку PDCe является исходным сервером входа в систему для этого запроса и ему не нужно проверять подтверждение у других DC.