Отключение учетной записи в active directory?

Question

[Артем]

Добрый день, такая проблема есть 2 учетки с правами администратора, одна у меня вторая у другого человека, вторая учетка начала отключаться сама по себе
логи
- System

- Provider

[ Name] Microsoft-Windows-Security-Auditing
[ Guid] {54849625-5478-4994-a5ba-3e3b0328c30d}

EventID 4725

Version 0

Level 0

Task 13824

Opcode 0

Keywords 0x8020000000000000

- TimeCreated

[ SystemTime] 2025-05-14T20:02:35.060561000Z

EventRecordID 100830527

Correlation

- Execution

[ ProcessID] 896
[ ThreadID] 940

Channel Security

Computer ad.local

Security


- EventData

TargetUserName Admin
TargetDomainName MEHMASH
TargetSid S-1-5-21-4012831958-3827398344-2411988586-500
SubjectUserSid S-1-5-18
SubjectUserName ad
SubjectDomainName ad
SubjectLogonId 0x3e7

Comments

[Rsa97]

На вкладке General в свойствах события должна быть запись Subject. Это данные того, кто запросил запрет учётки.

[Артем]

Отключена учетная запись пользователя.

Субъект:
Идентификатор безопасности: СИСТЕМА
Имя учетной записи: SRVVRT1$
Домен учетной записи:
Идентификатор входа: 0x3E7

Целевая учетная запись:
Идентификатор безопасности: Admin
Имя учетной записи: Admin
Домен учетной записи: MEHMASH

выходит что инициатор блокировки СИСТЕМА?

[Роман Безруков]

Rsa97,

SubjectUserSid S-1-5-18

система внезапно запросила :)

[Артем]

Роман Безруков, Это уже повторный случай за два дня, что делать?

[Роман Безруков]

Артем, а почему сведения в событиях разные?
в первом случае - система и домен, во втором - система и SRVVRT1$ (видимо, недоменный сервер)

что делать?

что делать я уже написал

можно оставить УЗ отключенной и посмотреть что сломается, а второму админу сделать новую учетку

плюс вспоминайте какие изменения вносились в инфраструктуру AD в последние дни - обновления, политики, шалости ИБ и т.д.

[Артем]

Роман Безруков, да насчет имени это я убрал просто, изменений не было, к учетке не привязано ни служб ни приложений, опять сейчас отключилась

[Артем]

Роман Безруков, дело двинулось чуть дальше, если делать принудительное обновление политик т.е gpupdate /force то учетка вырубается, чем вызвано такое поведение?

[Роман Безруков]

Артем,

если делать принудительное обновление политик т.е gpupdate /force то учетка вырубается

я уже неоднократно писал об этом:

вспоминайте какие изменения вносились в инфраструктуру AD в последние дни - обновления, политики, шалости ИБ и т.д.

у вас учетка Admin отключается системой - возможно, какая-то политика это делает...

Answer 1

[Роман Безруков]

Ищем источник блокировки учетной записи пользовате...

Comments

[Артем]

Это не блокировка! Это именно отключение

[Артем]

EventID 4725 если обратите внимание

[Роман Безруков]

Артем, причины отключения могут быть аналогичными перечисленным в статье...
у вас учетка Admin отключается системой - возможно, какая-то политика это делает...
можно оставить УЗ отключенной и посмотреть что сломается, а второму админу сделать новую учетку