Authentifizierungsproblem bei IIS (EreignisID 4625)

[Dooofi 10]

Hallo Forum,

 

Wir stellen derzeit unsere EDV-Umgebung um.

Bisher hatten wir im Einsatz:

Windows 2008R2 DomänenController

Windows 2000 Web-Server IIS

Windows XP-Clients

 

Nun haben wir folgende Umgebung:

Windows 2008R2 DomänenController

Windows 2008R2 Web-Server IIS

Windows7 Clients

 

Es gibt bei uns eine LotusDomino Applikation, auf die die Clients über Web zugreifen. Funktioniert auch soweit ganz gut, bis auf die Stelle, an der ein Java-Applet geladen wird (eine Menüleiste).

Dort bekommen wir dann ein LoginFenster, das sich auch nach Eingabe von korrekten Nutzerdaten nicht verabschiedet.

 

Im Ereignisprotokoll findet sich folgende Fehlermeldung:

 

Protokollname: Security
Quelle:        Microsoft-Windows-Security-Auditing
Datum:         14.05.2012 07:35:49
Ereignis-ID:   4625
Aufgabenkategorie:Anmelden
Ebene:         Informationen
Schlüsselwörter:Überwachung gescheitert
Benutzer:      Nicht zutreffend
Computer:      deumarws1.mar.op
Beschreibung:
Fehler beim Anmelden eines Kontos.
....
Konto, für das die Anmeldung fehlgeschlagen ist:
Sicherheits-ID:		NULL SID
Kontoname:		apdozent12345a
Kontodomäne:		MAR

Fehlerinformationen:
Fehlerursache:		Die Domänen-SID ist inkonsistent.
Status:			0xc000006d
Unterstatus::		0xc000019b
Netzwerkinformationen:
Arbeitsstationsname:	CLIENT01
Quellnetzwerkadresse:	6.1.1.52
Quellport:		60179

Detaillierte Authentifizierungsinformationen:
Anmeldeprozess:		NtLmSsp 
Authentifizierungspaket:	NTLM
Übertragene Dienste:	-
Paketname (nur NTLM):	-
Schlüssellänge:		0

Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
   <EventID>4625</EventID>
   <Version>0</Version>
   <Level>0</Level>
   <Task>12544</Task>
   <Opcode>0</Opcode>
   <Keywords>0x8010000000000000</Keywords>
   <TimeCreated SystemTime="2012-05-14T07:35:49.754941400Z" />
   <EventRecordID>266142</EventRecordID>
   <Correlation />
   <Execution ProcessID="480" ThreadID="528" />
   <Channel>Security</Channel>
   <Computer>deumarws1.mar.op</Computer>
   <Security />
 </System>
 <EventData>
   <Data Name="SubjectUserSid">S-1-0-0</Data>
   <Data Name="SubjectUserName">-</Data>
   <Data Name="SubjectDomainName">-</Data>
   <Data Name="SubjectLogonId">0x0</Data>
   <Data Name="TargetUserSid">S-1-0-0</Data>
   <Data Name="TargetUserName">apdozent12345a</Data>
   <Data Name="TargetDomainName">MAR</Data>
   <Data Name="Status">0xc000006d</Data>
   <Data Name="FailureReason">%%2314</Data>
   <Data Name="SubStatus">0xc000019b</Data>
   <Data Name="LogonType">3</Data>
   <Data Name="LogonProcessName">NtLmSsp </Data>
   <Data Name="AuthenticationPackageName">NTLM</Data>
   <Data Name="WorkstationName">CLIENT01</Data>
   <Data Name="TransmittedServices">-</Data>
   <Data Name="LmPackageName">-</Data>
   <Data Name="KeyLength">0</Data>
   <Data Name="ProcessId">0x0</Data>
   <Data Name="ProcessName">-</Data>
   <Data Name="IpAddress">6.1.1.52</Data>
   <Data Name="IpPort">60179</Data>
 </EventData>
</Event>

 

Wir nutzen zusätzlich noch ein Websphere-Plugin von IBM auf dem Web-Server, aber dort dürften die Probleme nicht liegen.

 

In der alten Umgebung hat alles Problemlos funktioniert. Nun bin ich mit meinem Latein aber am Ende. Ich hab auch schon ohne Erfolg den Knowledgebase-Artikel 896861 umgesetzt...

 

Wäre schön, wenn jemand zumindest einen Tip hätte wo ich suchen muss. Ich vermutel mal, das könnte evtl mit GrpPolicies zusammenhängen...

 

Danke und lg

Micha

[killtux 11]

"Die Domänen-SID ist inkonsistent"

 

Hast du vielleicht etwas geclont? Wenn ja hälfe vielleicht beim Server ein "sysprep".

Oder möglicherweise ist der der Domain-SID Anteil im User mar\apdozent12345a nicht korrekt? Was mich auf User-Neuanlage bringen würde.

 

Oder der RID-Master hat was. Vielleicht dort in den Logs mal schauen was da so steht.

RID-Master

 

Der RID-Master ordnet den verschiedenen Domänencontrollern seiner Domäne Sequenzen relativer IDs (RIDs) zu. In den Domänen der Gesamtstruktur kann immer nur ein Domänencontroller die RID-Masterfunktion übernehmen.

 

Wenn ein Domänencontroller einen Benutzer, eine Gruppe oder ein Computerobjekt erstellt, weist der Domänencontroller diesem Objekt immer eine eindeutige Sicherheitskennung (Security ID, SID) zu. Die SID besteht aus einer Domänen-SID, die für alle in der Domäne erstellten SIDs identisch ist, und einer RID, die für jede in der Domäne erstellte SID eindeutig ist.

 

Zum Verschieben eines Objekts zwischen Domänen (mit Movetree.exe) muss der Vorgang über den Domänencontroller eingeleitet werden, der als RID-Master der Domäne, in der das Objekt enthalten ist, fungiert.