none
特定サーバに対して特定ユーザのエラーが頻発している RRS feed

  • 質問

  • 環境はMicrosoft Windows Server 2003 R2 Standard Edition ServicePack2です。

    下記問題が発生しており、エラー解決方法について、ご存知の方がいらっしゃいましたら、ご回答をお願いいたします。

    ①問題内容
    10分~20分ごとに、特定サーバに対して特定ユーザのエラーがイベントビューアのアプリケーションログ、システムログに排出されている。

    ②これまでに実行した操作。
    ・事象が発生している該当ユーザアカウントで該当サーバに対して再ログイン・ログオフ作業を行ったが、現象解決されず。

    ・該当サーバにアクセスする端末の再起動を実施したが、現象解決されず。
    ([ネットワークドライブの割り当て]-チェックボックス「ログオン時に再接続する」にチェックが入っていないことも確認。)

    ・該当サーバの再起動を実施予定。
    (現在は実施しておりません。)

    ③問題発生時状況
    本事象は該当ユーザアカウントで該当サーバにリモートデスクトップでアクセスした後に発生が開始され、現在も頻発しております。
    また、本事象が発生する前々日にADアカウント(該当ユーザを含む)のパスワードリセットを行っております。
    該当ユーザはパスワード変更を行った上で、該当サーバにログイン・ログオフしておりました。

    ④問題が起きた際に表示されたエラーメッセージ
    ■イベントビューアのアプリケーションログ
    ・イベントID:1006
    ソース:Userenv
    分類:なし
    種類:エラー
    説明:XXXX(ドメイン名)ドメインにバインドできません。(資格情報が無効です。)グループポリシーの処理は中止されました。

    ・イベントID:1030
    ソース:Userenv
    分類:なし
    種類:エラー
    説明:グループ ポリシー オブジェクトの一覧を照会できません。このエラーの理由を説明するようなメッセージをポリシー エンジンが記録していないかどうか、イベント ログを確認してください。

    ■イベントビューアのシステムログ
    ・イベントID:40960
    ソース:LSASRV
    分類:SPNEGO(Negotiator)
    種類:警告
    説明:サーバー LDAP/XXXXXXX/XXXXXXX@XXXXXXX(ドメイン参加している該当のサーバ名)の認証エラーを検出しました。認証プロトコルKerberosからのエラーコードは"実行しようとしたログオンは無効です。ユーザー名または認証情報に誤りがあります。(0xc000006d)"でした。

    ・イベントID:40960
    ソース:LSASRV
    分類:SPNEGO(Negotiator)
    種類:警告
    説明:サーバー ldap/XXXXXXX/XXXXXXX@XXXXXXX(ドメイン参加している該当のサーバ名)の認証エラーを検出しました。認証プロトコルKerberosからのエラーコードは"実行しようとしたログオンは無効です。ユーザー名または認証情報に誤りがあります。(0xc000006d)"でした。

    ⑤上述のイベントIDに対応したオンライン技術情報

    イベントビューアのシステムログで排出されたイベントID(40960)に対応した下記情報がありましたが、親と子のドメインの信頼関係をリセットすることは不可能であるため、「解決方法」は実施しておりません。
    http://support.microsoft.com/kb/938702/ja

    宜しくお願い致します。

    2010年10月21日 4:52

回答

  • こんにちは、フォーラムオペレーターの三沢健二です。

    リモートデスクトップ接続とパスワードリセットが関係ありそうですね。
    ターミナル接続のセッションが残ったままになっていないでしょうか?
    (もしくは、セッションが残った状態でパスワードリセットを行った、など)

    - 参考情報
    特定のユーザーで Userenv, Group Policy の警告、エラーが記録される
    http://blogs.technet.com/b/jpntsblog/archive/2010/10/12/userenv-group-policy.aspx


    まずはサーバー再起動をお試しいただければと思いますが、サーバー再起動後もイベント(LSASRV 40960)が発生するのであれば、古いパスワードを使用した認証が行われている可能性が考えられます。
    (例えば、サービスの起動アカウントやアプリケーションに保存された資格情報など)

    その場合は、下記の情報などを参考にしていただき、調査を行っていただければと思います。

    - 参考情報
    アカウントがロックアウトされる
    http://blogs.technet.com/b/jpntsblog/archive/2009/03/19/3215125.aspx
    (「認証要求を投げているコンポーネントを特定する」)


    補足:
    今回発生している現象と KB938702 の現象は、異なる現象ではと推測いたします。
    (LSASRV 40960 は認証失敗のエラーなので、AD 環境ではよく見受けられるエラーです。その原因は多肢に渡ります)


    それでは、こちらの情報が少しでもお役にたてれば幸いです。

    ______________________________________
    マイクロソフト株式会社 フォーラム オペレーター 三沢健二

    • 回答としてマーク 服部清次 2010年11月2日 7:16
    2010年10月27日 4:42
    モデレータ

すべての返信

  • こんにちは、フォーラムオペレーターの三沢健二です。

    リモートデスクトップ接続とパスワードリセットが関係ありそうですね。
    ターミナル接続のセッションが残ったままになっていないでしょうか?
    (もしくは、セッションが残った状態でパスワードリセットを行った、など)

    - 参考情報
    特定のユーザーで Userenv, Group Policy の警告、エラーが記録される
    http://blogs.technet.com/b/jpntsblog/archive/2010/10/12/userenv-group-policy.aspx


    まずはサーバー再起動をお試しいただければと思いますが、サーバー再起動後もイベント(LSASRV 40960)が発生するのであれば、古いパスワードを使用した認証が行われている可能性が考えられます。
    (例えば、サービスの起動アカウントやアプリケーションに保存された資格情報など)

    その場合は、下記の情報などを参考にしていただき、調査を行っていただければと思います。

    - 参考情報
    アカウントがロックアウトされる
    http://blogs.technet.com/b/jpntsblog/archive/2009/03/19/3215125.aspx
    (「認証要求を投げているコンポーネントを特定する」)


    補足:
    今回発生している現象と KB938702 の現象は、異なる現象ではと推測いたします。
    (LSASRV 40960 は認証失敗のエラーなので、AD 環境ではよく見受けられるエラーです。その原因は多肢に渡ります)


    それでは、こちらの情報が少しでもお役にたてれば幸いです。

    ______________________________________
    マイクロソフト株式会社 フォーラム オペレーター 三沢健二

    • 回答としてマーク 服部清次 2010年11月2日 7:16
    2010年10月27日 4:42
    モデレータ
  • 確認 さん、

    こんにちは。
    フォーラム オペレーターの服部 清次です。

    確認 さんがこちらの質問を投稿されてから少し経ちましたが、
    その後の状況はいかがでしょうか?
    弊社の三沢健二の回答はご確認いただけましたでしょうか?

    確認 さんの現在の状況が気になるところなのですが、、、
    今回、参考情報として弊社の三沢の回答を役立てていただけるのではないかと思いましたので、
    勝手ながら、私の方で [回答としてマーク] させていただきました。

    また何か困ったことがありましたら、TechNet フォーラムをご活用ください。
    今後とも、よろしくお願いします。
    それでは、また。


    __________________________________________________
    マイクロソフト株式会社 フォーラム オペレーター 服部 清次

    2010年11月2日 7:18