Hi Community,
vor einer Woche haben wir einen neuen Exchange 2010 (zusätzlich zum alten E2K3) in die Organisation aufgenommen (Single Domäne, nur ein Standort, nichts kompliziertes). Mittlerweile habe ich eine Handvoll Postfächer zum Testen auf den neuen Server verschoben.
Seit gestern erfordern die Outlooks der umgezogenen Postfächer sporadisch immer wieder die Anmeldeinformationen der Benutzer erneut einzugeben. Die Clients sind alle AD Client, die Outlooks alle Version 2007, die Betriebssysteme Windows 7 und XP.
Das einzige was ich gestern aktiv am Exchange aktiv geändert habe, war die Eingabe der externen URL für das virtuelle Verzeichnis der Webservices:
Set-WebServicesVirtualDirectory SERVER\* -ExternalURL https://F.Q.D.N/EWS/Exchange.asmx
und im Anschluss den IIS neu gestartet (iisreset).
Im Eventlog des Exchange steht dann zB folgende Meldung in der Sicherheit der Ereignisanzeige:
Protokollname: Security
Quelle: Microsoft-Windows-Security-Auditing
Datum: 28.03.2013 13:21:28
Ereignis-ID: 4625
Aufgabenkategorie:Anmelden
Ebene: Informationen
Schlüsselwörter:Überwachung gescheitert
Benutzer: Nicht zutreffend
Computer: UNIVERSE.DOMAIN.local
Beschreibung:
Fehler beim Anmelden eines Kontos.
Antragsteller:
Sicherheits-ID: SYSTEM
Kontoname: UNIVERSE$
Kontodomäne: DOMAIN
Anmelde-ID: 0x3e7
Anmeldetyp: 8
Konto, für das die Anmeldung fehlgeschlagen ist:
Sicherheits-ID: NULL SID
Kontoname: hanakam
Kontodomäne: universe.domain.local
Fehlerinformationen:
Fehlerursache: Unbekannter Benutzername oder ungültiges Kennwort.
Status: 0xc000006d
Unterstatus:: 0xc0000064
Prozessinformationen:
Aufrufprozess-ID: 0x4058
Aufrufprozessname: C:\Windows\System32\inetsrv\w3wp.exe
Netzwerkinformationen:
Arbeitsstationsname: UNIVERSE
Quellnetzwerkadresse: 192.168.110.65
Quellport: 49387
Detaillierte Authentifizierungsinformationen:
Anmeldeprozess: Advapi
Authentifizierungspaket: Negotiate
Übertragene Dienste: -
Paketname (nur NTLM): -
Schlüssellänge: 0
Dieses Ereignis wird beim Erstellen einer Anmeldesitzung generiert. Es wird auf dem Computer generiert, auf den zugegriffen wurde.
Die Antragstellerfelder geben das Konto auf dem lokalen System an, von dem die Anmeldung angefordert wurde. Dies ist meistens ein Dienst wie der Serverdienst oder ein lokaler Prozess wie "Winlogon.exe" oder "Services.exe".
Das Anmeldetypfeld gibt den jeweiligen Anmeldetyp an. Die häufigsten Typen sind 2 (interaktiv) und 3 (Netzwerk).
Die Felder für die Prozessinformationen geben den Prozess und das Konto an, für die die Anmeldung angefordert wurde.
Die Netzwerkfelder geben die Quelle einer Remoteanmeldeanforderung an. Der Arbeitsstationsname ist nicht immer verfügbar und kann in manchen Fällen leer bleiben.
Die Felder für die Authentifizierungsinformationen enthalten detaillierte Informationen zu dieser speziellen Anmeldeanforderung.
- Die übertragenen Dienste geben an, welche Zwischendienste an der Anmeldeanforderung beteiligt waren.
- Der Paketname gibt das in den NTLM-Protokollen verwendete Unterprotokoll an.
- Die Schlüssellänge gibt die Länge des generierten Sitzungsschlüssels an. Wenn kein Sitzungsschlüssel angefordert wurde, ist dieser Wert 0.
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>4625</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>12544</Task>
<Opcode>0</Opcode>
<Keywords>0x8010000000000000</Keywords>
<TimeCreated SystemTime="2013-03-28T12:21:28.982114700Z" />
<EventRecordID>32056</EventRecordID>
<Correlation />
<Execution ProcessID="676" ThreadID="744" />
<Channel>Security</Channel>
<Computer>UNIVERSE.DOMAIN.local</Computer>
<Security />
</System>
<EventData>
<Data Name="SubjectUserSid">S-1-5-18</Data>
<Data Name="SubjectUserName">UNIVERSE$</Data>
<Data Name="SubjectDomainName">DOMAIN</Data>
<Data Name="SubjectLogonId">0x3e7</Data>
<Data Name="TargetUserSid">S-1-0-0</Data>
<Data Name="TargetUserName">hanakam</Data>
<Data Name="TargetDomainName">universe.domain.local</Data>
<Data Name="Status">0xc000006d</Data>
<Data Name="FailureReason">%%2313</Data>
<Data Name="SubStatus">0xc0000064</Data>
<Data Name="LogonType">8</Data>
<Data Name="LogonProcessName">Advapi </Data>
<Data Name="AuthenticationPackageName">Negotiate</Data>
<Data Name="WorkstationName">UNIVERSE</Data>
<Data Name="TransmittedServices">-</Data>
<Data Name="LmPackageName">-</Data>
<Data Name="KeyLength">0</Data>
<Data Name="ProcessId">0x4058</Data>
<Data Name="ProcessName">C:\Windows\System32\inetsrv\w3wp.exe</Data>
<Data Name="IpAddress">192.168.110.65</Data>
<Data Name="IpPort">49387</Data>
</EventData>
</Event>Was sonst kann das noch auslösen oder wo kann ich nachschauen?
Thx & Bye Tom
