none
Kontosperrungen nur EventID 4776 RRS feed

  • Allgemeine Diskussion

  • Hallo in die Runde,

    ich habe folgenden Fall: Ein Benutzerkonto wird gesperrt, es werden aber nur EventIDs 4776 protokolliert, keine der üblichen 4771, 4625 etc. In den einzelnen Events wird Workstation immer "WORKSTATION" angezeigt, eine Quell-IP ist nicht auszumachen.

    Im Einsatz ist AD unter 2008 R2, zusätzlich ein Exchange 2016 mit OWA/ActiveSync. Das gesperrte Konto hat Zugang über mobile Endgeräte (Smartphone).

    Ist das "Phänomen" (=nur 4776 vor Sperrung) auf die Kombination Exchange/ActiveSync/AD zurückzuführen? Ich meine das so in verschiedenen Beiträgen gelesen zu haben. Danke im Voraus!

    MfG

    Frank Lichnok

    Dienstag, 30. Januar 2018 09:16

Alle Antworten

  • Hallo Frank,

    welchen Fehlercode wird dir im EventLog angezeigt? Sollte unter Workstation zu finden sein. Zeit er dir nur "Workstation:" oder steht dort wirklich als Wert auch WORKSTATION hinter?

    Ist auf dem Mobile Endgerät ein Enterprise WLAN mit Kerberos Authentifizierung eingerichtet welches auf das AD zugreift?

    In diesem Falle kenne ich es, dass keine Workstation angezeigt wird, wenn das der Sperrungsgrund ist.


    Gruß
    Jesse

    Note: Posts are provided without warranty.

    Dienstag, 30. Januar 2018 11:59