30秒ごとのシステムアカウントログオンの失敗
SQLフェールオーバークラスターで実行されている2つのWindows 2008 R2 SP1サーバーがあります。それらの1つで、セキュリティログに次のイベントが記録されます秒ごと。空白の部分は実際には空白です。誰かが同様の問題を見たり、これらのイベントの原因を追跡するのを手伝ったりしましたか？他のイベントログには、関連することがわかりません。
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: SERVERNAME$
Account Domain: DOMAINNAME
Logon ID: 0x3e7
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x238
Caller Process Name: C:\Windows\System32\lsass.exe
Network Information:
Workstation Name: SERVERNAME
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
上記のすべてのイベントに続く2番目のイベント
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: An Error occured during Logon.
Status: 0xc000006d
Sub Status: 0x80090325
Process Information:
Caller Process ID: 0x0
Caller Process Name: -
Network Information:
Workstation Name: -
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Microsoft Unified Security Protocol Provider
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
編集更新：追加する情報が少しあります。このマシンにネットワークモニターをインストールし、Kerberosトラフィックのフィルターを実行したところ、セキュリティ監査ログのタイムスタンプに対応する次のものが見つかりました。
Kerberos AS_Request Cname：CN = SQLInstanceName Realm：domain.local Sname krbtgt/domain.local
DCからの返信：KRB_ERROR：KDC_ERR_C_PRINCIPAL_UNKOWN
次に、DCのセキュリティ監査ログを確認しましたが、次のように応答しました。
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
Network Information:
Client Address: ::ffff:10.240.42.101
Client Port: 58207
Additional Information:
Ticket Options: 0x40810010
Result Code: 0x6
Ticket Encryption Type: 0xffffffff
Pre-Authentication Type: -
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
したがって、SQLマシンにインストールされている証明書に関連しているように見えますが、それでも、その証明書に問題がある理由や何が悪いのか、手掛かりがありません。期限切れではありません。
Microsoftネットワークモニターを使用して、これを引き起こしているトラフィックと、このSQLサーバーとAD2サーバーの間のトラフィックを見つけました。 SQLサーバーは、SQLインスタンス名のコンピューターアカウントのKerberos AS_REQを送信していました。 ADサーバーはKDC_ERR_C_PRINCIPAL_UNKNOWNで応答します。 AD2サーバーのセキュリティログを確認したところ、次のようなエラー監査が見つかりました。
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
証明書のリクエストのようです。次に、SysInternals Process Monitorを使用して、同じタイムスタンプのカスタムサービスからのトラフィックを見つけました。すべての証明書ストアを照会していて、何も見つかりませんでした。
このサービスを無効にすると、セキュリティイベントが停止します。