Event ID 4768 — Demande de TGT Kerberos
Que signifie cet événement ?
L’Event ID 4768 indique que le service Kerberos d’un contrôleur de domaine a reçu et traité une demande de Ticket Granting Ticket (TGT). Un événement 4768 peut correspondre à une authentification normale ; son interprétation dépend surtout du code de résultat et des champs associés.
Contexte / source Windows
Il est généré sur un contrôleur de domaine lorsque l’audit du service d’authentification Kerberos est actif. Les champs utiles incluent notamment le compte demandé, l’adresse du client, le Result Code, le type de préauthentification et les types de chiffrement proposés ou utilisés. Un volume élevé de 4768 est normal dans un domaine Active Directory actif.
Causes ou situations courantes
- Ouverture de session ou renouvellement Kerberos normal
- Mot de passe incorrect ou préauthentification Kerberos en échec
- Compte inconnu, désactivé, expiré ou soumis à une restriction
- Incompatibilité de chiffrement Kerberos ou configuration legacy
- Activité anormale nécessitant une corrélation avec d’autres événements
Vérifications de diagnostic
- Lire le Result Code et déterminer si la demande a réussi ou échoué.
- Identifier le compte, l’adresse IP cliente et le poste à l’origine de la demande.
- Vérifier le type de préauthentification et les informations de chiffrement lorsque l’échec les concerne.
- Corréler l’heure et l’identité avec les événements 4771 en cas d’échec de préauthentification et avec les autres événements Kerberos pertinents.
- Comparer avec l’activité habituelle du compte afin de distinguer un comportement normal d’une anomalie.
Résolution
La correction dépend du Result Code : vérifier les identifiants et l’état du compte, l’heure système et la synchronisation du domaine, la résolution DNS
Validation après action
Reproduire l’authentification concernée puis confirmer qu’un nouveau 4768 présente un résultat attendu. En cas d’incident, vérifier également que les événements corrélés ont disparu et que l’utilisateur ou le service obtient bien ses tickets Kerberos sans erreur.