什么是事件ID 4625：账户登录失败

教程

事件ID 4625: 帐户登录失败。您是否在您的域控制器的安全日志中频繁看到事件ID 4625（帐户登录失败），但不确定其含义或如何解决？好吧，在本文中，我们将解释关于这个Active Directory安全事件日志的一切以及如何解决触发它的问题。首先，我们讨论事件ID 4625的原因和各种属性。这个安全事件日志提供了有关登录尝试的类型、用户帐户信息、登录过程、失败原因、客户端地址以及事件状态和子状态代码的信息。

首先，我们讨论事件ID4625的原因和各种属性。这个安全事件日志提供了关于登录尝试类型、用户账户信息、登录过程、失败原因、客户端地址以及事件状态和子状态代码的信息。

接下来，我们解释如何解释这些属性，并利用它们来确定触发事件日志的错误的根本原因。这包括检查用户名和密码、账户状态、组会员资格、网络连接以及相关安全事件。

一旦您确定了问题，我们还提供了一些解决事件ID 4625的一般步骤。这可能包括重置密码、重新启用禁用的账户、调整组策略、排除网络连接问题，或扫描恶意软件。

因此，如果您在域控制器安全日志中看到大量的事件ID 4625并希望解决此问题，请继续阅读以了解如何操作！

另请阅读查看活动目录（AD）事件日志及其跟踪内容

事件ID 4625：登录尝试失败的潜在原因

解决事件ID 4625问题的第一步是理解可能导致用户、服务或计算机账户无法成功登录的各种可能性。以下是可能产生事件ID 4625的主要原因：

错误的用户名或密码：如果用户输入了错误的密码，账户将无法登录。这会导致用户尝试登录的计算机记录事件ID 4625。
此外，如果服务账户的密码错误，当服务账户尝试认证到AD时会失败，域控制器也会记录这个事件日志。
用户账户已过期：当管理员创建一个AD账户时，他们会设置该账户在指定日期过期。
如果一个Active Directory用户试图使用一个过期的账户登录到AD，用户将被拒绝访问。然后，域控制器记录一个事件ID 4625。
尝试登录的账户已被禁用。
用户被限制登录计算机：您知道作为管理员，您可以使用组策略来阻止用户或组登录计算机吗？
这是通过使用“拒绝本地登录”策略来完成的。如果将此策略应用于用户，并且他们尝试登录计算机，则他们将被拒绝访问。

发生这种情况时，当用户由于策略而被拒绝访问时，计算机在其本地安全事件日志中记录事件ID 4625。

也请阅读什么是Windows事件日志ID 4740？ – 用户账户被锁定

理解事件ID 4625的属性：一个账户登录失败

当这个事件被记录在安全事件日志中时，它通常包括关于用户账户登录失败的信息，登录尝试的类型，以及失败的原因。这些信息有助于解决问题并确定适当的行动来修复问题。

然而，要使用事件日志中的信息，你需要理解事件ID的相关属性及其含义。

请注意，这个事件有许多属性，但我们讨论的是你必须学习的属性，以解决为什么一个账户无法登录到域的问题。

事件ID 4625登录类型

事件类型是您确定为何AD拒绝用户或服务登录访问的起点（有关如何使用此信息的信息，请参阅下一节）。

通过查看事件日志的详细信息来获取事件登录类型。

不幸的是，如上图截图中突出显示的部分所示，Windows事件日志将登录类型记录为数值。因此，为了使此信息对故障排除有用，您必须弄清楚这些数字的含义。

幸运的是，微软有一个关于此事件日志的页面 – 4625(F): 登录失败 – 它解释了登录类型及其含义。

例如，我的屏幕上显示登录类型5触发了事件ID 4625。根据微软的页面，这意味着一个服务账户发起了触发事件的登录。

另请阅读如何查找活动目录用户上次登录时间（使用ADUC）

事件ID 4625 用户账户信息

一旦您确定了触发事件ID 4625的事件的登录类型，日志中的下一个关键信息就是用户信息。在事件日志的“登录失败账户：”部分查找此信息。

在这一部分，您会发现3条信息，但最重要的是账户名。如果您管理的是多域AD森林，那么注意账户域也很重要。通过跟踪这些细节，您能更好地解决登录失败尝试的问题。

另请阅读什么是事件ID 4624：账户成功登录

事件ID 4625 失败信息

事件ID 4625的失败信息属性有3个子属性：失败原因、状态码和子状态码。虽然“失败原因”给出了表面的信息，例如“未知用户名或错误密码”，但状态码提供了失败的具体原因。

这些信息至关重要，因为“未知用户名或错误密码”并不一定意味着用户输入了错误的用户名或密码。

然而，如上图截图中突出显示的部分所示，状态码是一些必须解释后才能使用的代码。要了解状态码及其含义，请访问事件ID 4625状态码链接。

根据微软在前一个链接中的信息，我的截图中的状态码——0xC000006D——意味着“尝试的登录无效。这可能是因为用户名错误或认证信息错误。”

这些信息仍然含糊不清。为了获得更具体的登录失败原因，请检查事件ID的子状态码的含义。

阅读我之前提供的链接中的子状态代码 – 事件ID 4625状态代码。当我查找我的事件4625中显示的子状态代码时，它说“指定的账户不存在。”

好多了！

答案就在这里，用户尝试登录的账户在活动目录中不存在。

也请阅读0xc000006a – 用户登录拼写错误或密码错误

如何排查和修复事件ID 4625

为了解决这个问题，你需要采取系统的方法来排查导致登录失败尝试的根本原因。

按照以下一般指南来排查和修复事件ID 4625：账户登录失败。

步骤1：审查事件日志中的信息

通过遵循上一节中我讨论的3个步骤，从事件日志中获取以下信息：

登录类型、登录失败的账户、失败原因、状态、子状态代码及其含义。

在我的情况下，我们记录以下内容：

登录类型：5 – 一个服务账户发起了登录，触发了该事件。
登录失败的账户：ADSyncMSA817b9$
失败原因：未知的用户名或错误的密码。
状态和含义：0xC000006D – 尝试的登录无效。这可能是因为错误的用户名或认证信息。
子状态和含义：0xC0000064 – 指定的账户不存在。