ID d'événement Windows 4112 – Kerberos : Service d'authentification Kerberos (AS) démarré

Commencez par examiner les détails complets de l'événement pour comprendre le contexte de démarrage du service Kerberos.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4112 en utilisant l'option de filtre
4. Double-cliquez sur l'événement 4112 le plus récent pour voir les détails
5. Examinez l'onglet Général pour les informations de domaine et les types de chiffrement
6. Vérifiez l'onglet Détails pour des données de configuration Kerberos supplémentaires

Recherchez le nom de domaine (devrait correspondre à votre domaine), les algorithmes de chiffrement pris en charge et les codes d'erreur éventuels. Les événements normaux montrent une initialisation réussie avec plusieurs types de chiffrement disponibles.

Utilisez PowerShell pour récupérer et analyser les événements de démarrage AS Kerberos sur plusieurs contrôleurs de domaine.

# Obtenez les entrées récentes de l'ID d'événement 4112
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4112} -MaxEvents 10

# Obtenez des informations détaillées sur l'événement
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4112} -MaxEvents 5 | Format-List TimeCreated, Id, LevelDisplayName, Message

# Vérifiez les événements des dernières 24 heures
$StartTime = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4112; StartTime=$StartTime}

# Interrogez plusieurs DC (remplacez par vos noms de DC)
$DCs = @('DC01', 'DC02', 'DC03')
foreach ($DC in $DCs) {
    Write-Host "Vérification de $DC..."
    Invoke-Command -ComputerName $DC -ScriptBlock {
        Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4112} -MaxEvents 1 -ErrorAction SilentlyContinue
    }
}

Cette approche aide à identifier les modèles dans les démarrages de service Kerberos et à comparer le timing entre les contrôleurs de domaine.

Confirmez que le service Kerberos Key Distribution Center fonctionne correctement après avoir vu l'événement 4112.

# Vérifier l'état du service KDC
Get-Service -Name 'KDC' | Format-List Name, Status, StartType

# Vérifier les dépendances du service
Get-Service -Name 'KDC' -DependentServices
Get-Service -Name 'KDC' -RequiredServices

# Vérifier le type de démarrage et le compte du service
Get-WmiObject -Class Win32_Service -Filter "Name='KDC'" | Select Name, StartMode, StartName, State

# Examiner les événements récents du service
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Service Control Manager'} | Where-Object {$_.Message -like '*KDC*'} | Select TimeCreated, Id, LevelDisplayName, Message

De plus, vérifiez que le service écoute sur les ports corrects :

# Vérifier les ports Kerberos (88 TCP/UDP, 464 TCP/UDP)
netstat -an | findstr :88
netstat -an | findstr :464

Examinez la configuration Kerberos du domaine pour assurer une configuration correcte qui correspond aux détails de l'événement 4112.

# Vérifiez les paramètres de la politique Kerberos du domaine
Get-ADDefaultDomainPasswordPolicy | Select KerberosEncryptionType, MaxPasswordAge, MinPasswordAge

# Examinez les paramètres de la stratégie de groupe liés à Kerberos
Get-GPOReport -All -ReportType Html -Path C:\Temp\GPOReport.html

# Vérifiez le niveau fonctionnel du domaine (affecte les fonctionnalités Kerberos)
Get-ADDomain | Select DomainMode, Forest
Get-ADForest | Select ForestMode

# Vérifiez l'enregistrement SPN pour les contrôleurs de domaine
setspn -L $env:COMPUTERNAME

# Vérifiez les SPN en double qui pourraient causer des problèmes Kerberos
setspn -X

Examinez les paramètres du registre pour la configuration Kerberos :

# Vérifiez les paramètres du registre Kerberos
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters' -ErrorAction SilentlyContinue

Examinez la clé de registre HKLM\SYSTEM\CurrentControlSet\Services\KDC pour la configuration du service et les paramètres de démarrage.

Implémentez une surveillance complète pour suivre la santé du service Kerberos au-delà des seuls événements de démarrage.

# Créer un script de surveillance pour les événements Kerberos
$Events = @(4112, 4768, 4769, 4771, 4625)
foreach ($EventID in $Events) {
    $Count = (Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$EventID; StartTime=(Get-Date).AddHours(-1)} -ErrorAction SilentlyContinue).Count
    Write-Host "Événement $EventID dans la dernière heure : $Count"
}

# Surveiller la performance de l'authentification
Get-Counter -Counter '\Kerberos v5 AS Requests/sec', '\Kerberos v5 TGS Requests/sec' -SampleInterval 5 -MaxSamples 12

# Vérifier les erreurs Kerberos
Get-WinEvent -FilterHashtable @{LogName='Security'; Level=2,3; StartTime=(Get-Date).AddDays(-1)} | Where-Object {$_.Message -like '*Kerberos*'}

Configurez une surveillance automatisée à l'aide du Planificateur de tâches Windows ou de System Center Operations Manager pour alerter sur l'absence d'événements 4112 pendant les heures de démarrage prévues. Créez une base de référence des modèles normaux de redémarrage du service Kerberos pour identifier les anomalies.