Проблема с переполнением журнала Безопасность отказами с кодом 560
 

Добрый день.

Имеется терминальный сервер Windows Server 2003 R2. Журнал Безопасность (размер 16МБ) за 20 секунд забивается сообщениями вида:

На сервере постоянно работает порядка 50 пользователей. Каждую секунду появляется порядка 1000 сообщений для каждого пользователя подобные приведенному выше. Имеются ещё 2 подобных сервера - на них проблема отсутствует. Сравнивал политики безопасности с этих серверов - разницы не обнаружил. Также проверялся состав локальных групп сервера - все идентично. Серверы используются для балансировки нагрузки - так что набор пользователей на них одинаковый. Было замечено, что отказы с кодом 560 отсутствуют только для пользователей входящих в группу администраторов сервера.

Прошу откликнуться тех, кто с данной проблемой уже сталкивался. Так же приму любые предположения, что могло вызвать данную проблему.

это следствие работы приложения которое не получает доступа к службе.

Посмотрите что общего есть у этих сообщений из журнала.
Вполне возможно что под пользователем работает какой нибудь монитор служб

События аудита. Отключите, если он не нужен.
http://support.microsoft.com/kb/841001

zero55, сравнивал события - отличаются только имя пользователя, код операции и время. Остальные данные остаются неизменными для всех событий. Есть ли возможность более конкретно узнать что за приложение и к каким ресурсам не может получить доступ?

monkkey, на эту статью натыкался при поиске возможного решения. Отключение - наиболее простой и часто рекомендуемый в Интернете способ, но в моем случае он неприемлем.

BooRAn, имя пользователя который как я понимаю входит на терминальный сервер?
посмотрите нет ли чего интересного в автозагрузке.

zero55, благодарю за подсказку. Сравнил процессы пользователей на двух серверах и обнаружил лишний. Утилитка одного из установленных принтеров села в автозапуск для All Users. Удалил её оттуда и проблемы прекратились.