事件 4771（错误密码登录）未显示正确的客户端

Question

我们面临账户频繁被锁定的问题。

我们的主要 DC 上有 4771 个 {密码错误} 事件。问题：在事件中，客户端计算机未正确显示。相反，另一个 DC 显示为客户端主机名：

仅在极少数情况下才会显示实际的客户端主机名。这可能是什么原因造成的？

Answer 1

您所看到的是登录发生在另一个域控制器上，然后随后 - 与 Active Directory 中的所有错误密码尝试一样 - 原始登录服务器将身份验证转发到具有 PDC 仿真器 FSMO 角色的 DC 以仔细检查密码 - 以确保没有尚未复制的密码更改，因为 PDCe应该当密码发生任何变更时优先收到通知。

在极少数情况下会显示实际的客户端主机名，这是因为 PDCe 恰好是该请求的原始登录服务器，并且不必与任何其他 DC 进行确认。