Sintomas
Considere o seguinte cenário:
-
Ter vários domínios dentro de uma floresta de serviços de domínio do Active Directory (AD DS) a que o Microsoft Forefront Unified Access Gateway (UAG) 2010 pertence.
-
Os utilizadores num domínio subordinado da floresta.
-
Ter o Service Pack 3 para o Forefront Unified Access Gateway 2010 ou conjunto de actualizações 1 para o Forefront Unified Access Gateway 2010 Service Pack 3 instalado.
-
O campo de domínio de conta no evento 4625 apresenta o nome distinto (DN) do domínio principal.
-
Tem de autenticar utilizadores a Forefront UAG.
Neste cenário, poderá notar um aumento do número de tentativas falhadas de início de sessão nos registos de eventos de segurança nos controladores de domínio. Um utilizador que inicie sessão Forefront UAG poderá gerar vários 4625 eventos sempre que iniciarem sessão. Este problema ocorre quando o Forefront UAG tenta procurar os grupos de vários subdomínios. Os eventos registados irão afectar o utilizador iniciar sessão.
Os 4625 eventos semelhantes às seguintes:
Nome de registo: segurançaOrigem: Microsoft-Windows--a auditoria de segurançaData: datahoraID do evento: 4625Categoria de tarefa: início de sessãoNível: informaçõesPalavras-chave: Falha de auditoriaUtilizador: n/dComputador: dc1.contoso.comDescrição:Uma conta de mensagens em fila não conseguiu iniciar sessão.Objecto:ID de segurança: sistemaNome da conta: UAG01$Domínio de conta: CONTOSOID de início de sessão: 0x3e7Tipo de início de sessão: 3Conta para o início de sessão falhou:ID de segurança: S-1-0-0Nome da conta: nome de utilizadorDomínio de conta: DC =contoso, DC = comInformação de falha:Motivo da falha: Nome de utilizador desconhecido ou palavra-passe incorrecta.Estado: 0xc000006dSub estado: 0xc0000064Informações do processo:ID de processo do autor da chamada:Nome do autor da chamada de processos:-Informações de rede:Nome da estação de trabalho: UAG01Endereço de rede de origem: 192.168.0.1Porta de origem: 12345
Causa
Este problema ocorre porque os vários eventos são registados sempre que um utilizador inicia sessão no Forefront UAG. Neste caso, a enumeração de grupos nos quais o utilizador é um membro noutros domínios sub-é tentada. Estas pesquisas poderão resultar numa consulta incorrecta que accione os eventos de início de sessão falhadas.
Resolução
Para resolver este problema, instale o Service Pack 4 para o Microsoft Forefront Unified Access Gateway 2010 e, em seguida, siga os passos descritos na secção "Mais informação".
Estado
A Microsoft confirmou que este é um problema nos produtos da Microsoft listados na secção "Aplica-se a".
Mais informações
Para impedir que o Forefront UAG enumeração de grupos em subdomínios, siga estes passos:
-
Crie o seguinte valor de registo:
Localização da subchave do registo: HKEY_LOCAL_MACHINE\Software\WhaleCom\e-Gap\von\UserMgrNome da DWORD: DoNotFetchSubdomainUserGroupsValor DWORD: 1
-
Aplica o Service Pack 4 para o Forefront Unified Access Gateway 2010.
-
Iniciar a consola de gestão da Microsoft Forefront UAG e, em seguida, clique em Activar para aplicar as alterações à configuração.
-
No painel inferior da mensagem, aguarde que a seguinte mensagem informativa:
Activação concluída com êxito.Nota por predefinição, mensagens informativas não são activadas ou apresentadas. Para activar as mensagens informativas, siga estes passos:
-
Na consola de gestão do Forefront UAG, no menu de mensagens , clique em Filtro de mensagens.
-
Na caixa de diálogo Filtro de mensagens , na área da Janela de mensagem , clique para seleccionar a caixa de verificação de mensagens de informação e, em seguida, clique em OK.
-
Nota Definir esta subchave de registo não tem qualquer efeito sobre o processo de início de sessão funcional e impede que as tentativas falhadas de início de sessão seja aumentado.
Referências
Consulte a terminologia Microsoft utiliza para descrever actualizações de software.
