アカウントロックアウトの調査

質問

2000のネイティブシングルドメインです。
クライアントは2000とそれより下位のOS（MS製）があります。
ユーザーのアカウントがロックアウトした場合の調査手順を確立したいと思います。
監査設定もこれから行います。
さてさて本題ですが、ドメインログオンに関するイベントはどのFSMOを持つサーバーのセキュリティログを調査したらよいのでしょうか（どこに記録されるのでしょうか）。
グローバルカタログ、RID、インフラストラクチャ、PDCエミュレータは担当ドメインコントローラが別れています。
下位OSクライアントはログオンの際にPDCエミュレータを使う・・・ネイティブドメインではログオンにグローバルカタログが必要・・・というような断片的な知識から、「はて？」と混乱しています。
実際にテストしてみれば良いのでしょうが、請け負っているお客様のネットワーク環境で、ドメインアドミン権限がなく、監査設定時も調査時も、最低限の権限のみを付与してもらう形になります。
お判りの方、情報をお持ちの方、どうぞよろしくお願い致します。

回答No.1

nta

DCとグローバルカタログサーバとの通信が必要になるようですが、Windows2000 Serverはマルチマスタなので認証可能なDCであれば、どこにでも記録されます。
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/prodtechnol/ad/windows2000/deploy/projplan/adarch.asp

　また、監査ポリシを設定したとしても、必ずしもログイン・ログオフイベントを記録するわけではありません。http://www.monyo.com/technical/windows/35.html

　PDCエミュレータはパスワードの合否の最終決定権を持っており、他のDCで解決しなかった認証結果が最終的にPDCエミュレータに送られて裁定された後で、拒否・許可の応答が送られる仕組みになっています。近くのDCで認証されればそれでOKです。成功失敗のセキュリティログはそれぞれのサーバに残るはず（これは自信がない）。

アカウントロックアウトについては以下の情報にもご注意下さい。
http://www.monyo.com/technical/windows/01.html

お礼

ありがとうございます。
2000クライアントおよび下位クライアントのドメインログオンプロセスについてはそれなりに調査したつもりだったのですが、実際のログがどこに記録されるのかがわからなかったものですから皆様のお力をと思い投稿いたしました。
ロックアウト＝ログオン失敗ですから、PDCエミュレータか担当ＤＣのどちらかかとは思うのですが・・・
PDCエミュレータという確実回答が出ましたらそのサーバーに対する権限だけを付与してもらう事で調査可能かなと思っておりました。
しかしながら、読み流していた重要点もあらためて確認させていただく事ができ、情報提供には大変感謝しております。
引き続き、どなた様か
・ネイティブモード
・クライアント所属サブネットが複数あり各サブネット内にＤＣ有り
・PDCエミュレータとグローバルカタログが別サーバで、上記サブネット外
・ドメインアドミン権限あり
というような恵まれた環境をお持ちの方がいらっしゃいましたら、是非「ログオン失敗（パスワードエラー）のイベントログはどのサーバーに記録されるか」を教えていただけたらと存じます・・・
書いていて、回答をいただくのは結構難しいような気がしてきましたが（＾＾；、気長に待ってみようかと思っております・・・