Windows事件ID 4624重复资源不可用

我们最近开始在域控制器上logging4624个事件ID,以帮助跟踪用户活动。 总的来说这没有问题,但是最近开始一遍又一遍地收到这些消息。

Feb 20 00:00:54 dc01.domain.com Microsoft-Windows-Security-Audit [536]:2015-02-20 00:00:52 c01.domain.com AUDIT_SUCCESS 4624 [来自Microsoft-无法findWindows安全审核:发布者已被禁用,其资源不可用。 这通常发生在发布者正在被卸载或升级的过程中。

我知道我们的OP团队最近更新了服务器,但仍然在发生,我还没有find很多关于如何阻止这个问题的参考。 有没有其他人遇到这些日志? 谢谢。

事件4624是一个帐户已成功login的通知。

至于关于发布者被禁用的错误消息,这是Microsoft在这里提供了一个修复错误。 这显然是一个Windows更新哎呀 – 事件日志读者组已经失去了registry权限。

从C&P的“让我自己修复”的说明(在链接腐烂的情况下):

  1. 打开registry编辑器 为此,请单击“开始”,在“开始search”框中键入regedit,然后按Enter键。
  2. find并单击以下registry项:
  3. HKEY_LOCAL_MACHINES \系统\ CurrentControlSet \服务\事件日志\安全\ Microsoft的Windows的安全的审核
  4. 右键单击左窗格中的Microsoft-Windows-Security-Auditing,然后单击权限…。
  5. 点击权限对话框中的添加…button。
  6. 在input对象名称来select框中键入事件日志读取器,然后单击检查名称button。
  7. 单击确定closures所有对话窗口。

(他们还包括关于编辑registry的标准免责声明,我将在这里通过。)