Windows 2008 R2 gpupdate锁定我的用户帐户

去年，我建立了Windows 2008 R2服务器，从那时起，我的提升帐户每天锁定10-12次。经过大量的研究和测试，我发现服务器在每次尝试更新组策略的失败尝试时（大约每90分钟）锁定我的帐户。我在网络上找不到任何信息，表明其他人也看到了这一点，而我本人也难以置信。

每次在服务器上记录3个系统事件：

事件ID 14：存储在凭据管理器中的密码无效。这可能是由于用户从此计算机或其他计算机上更改密码引起的。要解决此错误，请在“控制面板”中打开“凭据管理器”，然后重新输入凭据contoso \ me的密码。

凭据管理器中没有条目。无论是否禁用凭据管理器服务，是否登录，是否注销并使用本地管理员帐户删除我的配置文件，都会发生这种情况。

事件ID 40960：安全系统检测到服务器cifs / ContosoDC.contoso.com的身份验证错误。身份验证协议Kerberos的失败代码为“由于请求了太多无效的登录尝试或密码更改尝试，用户帐户已被自动锁定。（0xc0000234）”。

--

事件ID 1058：

组策略的处理失败。Windows尝试从域控制器读取文件\ contoso.com \ SysVol \ contoso.com \ Policies {78719F0C-3091-4B5C-9BC3-6498F729531E} \ gpt.ini，但未成功。解决此事件之前，可能无法应用组策略设置。此问题可能是暂时性的，可能是由以下一种或多种原因引起的：a）名称解析/与当前域控制器的网络连接。b）文件复制服务延迟（在另一个域控制器上创建的文件尚未复制到当前域控制器）。c）分布式文件系统（DFS）客户端已被禁用。

我检查了项目ac，似乎没有。

我已经通过检查用户帐户是否未锁定，在服务器上运行gpupdate，然后重新检查立即锁定的用户帐户来进行了彻底的测试。我已经使用锁定工具来揭示所有锁定均源自此特定服务器。该用户帐户没有关联的电子邮件地址，并且我已经广泛研究了常见的已知锁定问题。

对我有什么线索吗？我已经准备好关闭此生产服务器并在AD中重置其计算机对象，但我不知道它会有所帮助。

显然，凭证管理器中可能会出现未显示的密码。或者，引用此链接：

有些密码可以存储在SYSTEM上下文中，而普通的Credential Manager视图中看不到这些密码。

从http://technet.microsoft.com/zh-cn/sysinternals/bb897553.aspx下载PsExec.exe 并将其复制到C：\ Windows \ System32。

从命令提示符运行： psexec -i -s -d cmd.exe

在新的DOS窗口中运行： rundll32 keymgr.dll,KRShowKeyMgr

删除所有显示在“存储的用户名和密码”列表中的项目。重新启动计算机。

希望能解决您的问题。

如果凭据管理器没有帮助，我将尝试将系统放入OU中，而无需测试任何GPO。

如果问题仍然存在，则与默认域GPO有关，该GPO适用于整个域，或者与GPO不相关。无论哪种方式，这都可以帮助限制搜索范围。

在cmd提示符下，使用gpupdate来测试更改，而不必等待，并且gpresult / R可以查看对系统应用了哪些GPO。

如果您认为仍涉及GPO，请使用WMI筛选器阻止GPO的应用。

另请注意，可能在站点级别应用了GPO，但是您会在gpresult输出中看到这些GPO。

如果您可以通过减少GPO来限制锁定，则可以一次将它们添加到OU中，以查找原因之一。然后研究该GPO以找到解决方案。

另外，这里还列出了我在锁定帐户时已经检查过的事情，并且我已经知道该帐户来自哪个系统。服务计划的任务映射的驱动器Web应用程序VM控制台KVM控制台RDP会话脚本PW帮助器应用程序VPN连接其他连接到电子邮件的设备远程桌面工具运行Credential Manager的应用程序