windows server 4738事件
Soru
Yanıtlar
Tüm Yanıtlar
-
尊敬的客户，您好！
感谢您在我们的TechNet论坛发帖。
通常如果您的域控上的安全日志里产生了事件ID4738, 一般就是您设置了如下的审核策略
传统审核策略（至少包括以下截图中的操作会被记录下）：
Computer Configuration\Windows settings\security settings\local policies\audit policy\Audit Account Management
或者
高级审核策略（至少包括以下截图中的操作会被记录下）：
Computer Configuration\Windows settings\security settings\Advanced Audit Policy Configuration\Account Management\Audit User Account Management
同时您还应该在指定的对象或者父对象上设置了审核权限。例如下面的设置：
您可以尝试在您设置的对象或者父对象（父容器上）去修改我提到的第二点审核权限，就是不勾选“Change Password”这个权限。
您一定要找准您之前在哪个对象上设置的，去修改一下。
最后修改好了设置审核权限，再改密码试试，看是否还会产生事件ID4738.
参考文档：
4738(S) A user account was changed. (Windows 10) | Microsoft Learn
希望上述的回复对您有帮助。如有任何问题，欢迎您随时咨询我们。
此致,
Daisy Zhou
如果以上回复对您有所帮助，建议您将其标记为答复。如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnmff@microsoft.com.
Please remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.
- Düzenleyen Daisy ZhouMicrosoft contingent staff, Moderator 6 Ocak 2023 Cuma 02:29
-
尊敬的客户，您好！
感谢您的回复。
我是在Default Domain Policy开启了本地的审核策略（全部），在Default Domain Controllers Policy开启了高级的本地审核策略（用户账户管理）
回答：应该是Default Domain Controllers Policy开启了高级的本地审核策略（用户账户管理）生效的，因为这个事件4738是在域控上生成的。
请问修改密码成功以后生成4738的那些账号是在域里还是在某一个OU里还是在某个容器里？或者说这些账号有的账号在域里，有的账号在某一个OU里，也有的账号在某个容器里？
您根据账号所在的位置（例如我截图是域的属性里的，），检查这些Auditing下面是否有Auditing entries呢。
此致，
Daisy Zhou
如果我的回答是有帮助的，请将其标记为答复，可以帮助其他社区成员快速找到有用的答复，谢谢！Please remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com. -
尊敬的客户，您好！
感谢您的回复。
您看下这里"Applies to"选择的是什么？用户账号或者计算机账号或者所有子账号？
因为只有账号才有对应的密码，才需要改密码。
此致，
Daisy Zhou
如果我的回答是有帮助的，请将其标记为答复，可以帮助其他社区成员快速找到有用的答复，谢谢！Please remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com. -
尊敬的客户，您好！
感谢您的回复。
请问administrators和Domain users都有勾选“修改密码”怎么理解？
请问您审计的主体不是everyone??
"是所有的域用户账号自行修改密码后，域控会收到4738的事件", 这个我理解的
此致，
Daisy Zhou
如果我的回答是有帮助的，请将其标记为答复，可以帮助其他社区成员快速找到有用的答复，谢谢！Please remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com. -
尊敬的客户，您好！
感谢您的回复。你把AD用户和计算机这里的所有的包含那些用户的容器和OU的属性都检查一下，看看有没有里面勾选了“更改密码”的选项，有的话，取消看看是否可以呢。
肯定是这里的某个安全属性里设置了审核的权限，在这里的用户更改密码以后，就生成了4738.
此致，
Daisy Zhou
如果我的回答是有帮助的，请将其标记为答复，可以帮助其他社区成员快速找到有用的答复，谢谢！Please remember to mark the replies as answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.
