Service Account 因過期認證資訊導致持續被鎖定

Question

Service Account 因過期認證資訊導致持續被鎖定

Kelvin Chan 60

某個 Service Account 持續發生 Account Lockout。經初步調查，懷疑某台 Secondary Server 上仍存在一個舊的 Windows Scheduled Task，該 Task 使用已過期的帳號密碼／Credential，導致系統持續以舊認證嘗試執行 Task，進而觸發 AD 帳號鎖定。請問應如何從 Task Scheduler 及相關 Event Logs 進行 Audit，以找出是哪個 Scheduled Task、執行帳號及 Logon Attempt 導致 Lockout？另外，應檢查哪些 Windows Event ID 或 Task Scheduler Operational Logs，才能進一步確認觸發來源？

0 則留言

由問題作者接受的回答

0 個其他答案

您的回答

Answer 1

您好 Kelvin Chan，

根據您目前的調查結果，使用已過期密碼執行的舊 Scheduled Task，確實是造成 Service Account 持續發生 Account Lockout 的常見原因之一。

若要找出實際觸發 Lockout 的來源，建議先從 Domain Controller 的 Security Logs 開始，搜尋 Event ID 4740（Account Lockout）。該事件通常會提供觸發帳號鎖定的 Computer Name。確認來源伺服器後，再檢查相同時間點附近的 Event ID 4625（Failed Logon）以及 Event ID 4771 / 4776，以進一步確認使用的 Authentication Type 及相關帳號。

在疑似發生問題的 Server 上，請啟用並檢查 Task Scheduler Operational Logs：

Applications and Services Logs > Microsoft > Windows > TaskScheduler > Operational

特別需要注意與 Account Lockout 發生時間相同的 Task Launch 和 Task Failure Event。您也可以使用 PowerShell 列出所有 Scheduled Tasks，並找出設定為使用該受影響 Service Account 執行的 Task。相較於逐一透過 GUI 檢查 Task，這種方式通常會更有效率。

如果該 Service Account 也被使用於 Task Scheduler 以外的服務，建議同時檢查 Windows Services、IIS Application Pools、SQL Server Agent Jobs 以及 Mapped Drives，因為這些項目同樣可能持續使用過期的 Credential 嘗試進行 Authentication。

將 Event ID 4740、Failed Logon Events 以及 Task Scheduler Operational Logs 的時間戳記進行交叉比對，通常可以找出實際導致 Account Lockout 的 Process 或 Task。確認來源後，更新該處儲存的 Credential，並確認後續的 Logon Attempts 均能成功。

希望以上資訊能對您釐清問題有所幫助。如果您認為這個回答對您有幫助，請點擊 「Accept Answer」，讓我知道這個回答已經解決您的疑問。

Jason