Como ativar a auditoria do Serviço de Autenticação do Kerberos no servidor de 2008

Question

Eu tenho um domínio do Windows nível 2008 executando 5 x 2008 (não-R2) DCs (está no roteiro para migrar para R2 ou possivelmente 2012 nos próximos 9-12 meses, mas este projeto precisa estar funcionando primeiro) e preciso ativar os eventos do Kerberos Authentication Service no log de eventos de segurança de um sistema de filtragem da Web integrado ao AD.

Aparentemente, a configuração de auditoria "Kerberos Authentication Service" é nova no 2008 R2 e não está presente na interface do GPO de 2008.

Este artigo do TechNet parece indicar que eu deveria ser capaz de habilitar a configuração na minha "Diretiva de Controlador de Domínio Padrão" de um servidor membro 2008 R2 e se aplicaria a servidores de 2008:

If this policy setting is configured, the following events are generated. The events appear on computers running Windows Server 2008 R2, Windows Server 2008, Windows 7, or Windows Vista.

Event ID Event message

4768 A Kerberos authentication ticket (TGT) was requested.

4771 Kerberos pre-authentication failed.

4772 A Kerberos authentication ticket request failed.

No entanto, eu tentei isso e 4 dos meus 5 controladores de domínio aplicam a configuração bem, mas um deles não está registrando os eventos de auditoria nos logs de segurança.

Existe uma maneira melhor de fazer isso em um servidor 2008 (não-R2)? Existe alguma coisa óbvia que possa ser ativada (ou desativada) neste DC excêntrico que está fazendo com que ele não aceite a configuração R2? Alguma outra ideia de coisas para verificar?

Não vejo nada incomum nos logs de eventos no DC ofensivo. Qualquer idéia ou ajuda são apreciadas. Agradecemos antecipadamente por qualquer assistência que você possa oferecer.

EDIT: Aqui está um link para uma pergunta anterior minha onde eu perguntei como habilitar essa configuração no Server 2008. Essa pergunta ficou obsoleta, então estou perguntando sua próxima extensão lógica aqui.

    

Answer 1

Ainda não consegui solucionar o motivo pelo qual essas alterações de política não estão sendo feitas em um dos cinco DCs, mas consegui resolver esse problema executando o seguinte comando auditpol :

auditpol /set /category:"account logon" /subcategory:"kerberos Authentication Service" /success:enable

Depois de atualizar o GP e reiniciar o DC, a configuração ainda está travada, então acho que não está sendo sobregravado em lugar algum, então estou chamando isso de bom.

Obrigado a todos que leram isso e talvez ajudem outras pessoas em situações semelhantes.