Windows Server 2019 EC2实例5次RDP登录失败后自动重启问题咨询

• 自定义账户安全防护规则触发
  多数企业会在端点防护软件（EDR）、自定义组策略脚本中配置连续密码验证失败的响应规则，你遇到的5次密码输入错误刚好达到阈值，作为身份验证核心进程的winlogon.exe会以SYSTEM权限执行预设的重启操作，这类自定义规则的重启仅会记录你看到的0x500ff通用重启原因码，不会产生额外的系统故障日志。
• RDP会话身份缓存损坏触发winlogon故障恢复
  从场景B的表现可以判断，复用闲置超时的历史RDP会话时，会话对应的身份校验缓存已损坏，并非用户输入的密码错误，连续多次的校验失败会被系统判定为winlogon.exe身份验证模块出现异常，触发Windows内置的服务故障恢复机制，自动重启服务器。
• 本地组策略安全配置导致
  Windows Server 2019的组策略包含「交互式登录: 计算机账户锁定阈值」配置项，若该阈值设为5，且锁定后操作指定为重启而非锁定账户，就会匹配你遇到的现象，该策略触发时只会生成winlogon发起的通用重启日志，无额外错误记录。
• 云管控代理安全响应规则触发
  若实例内安装了AWS Systems Manager等云原生管控代理，且配置了连续RDP验证失败后的重启响应规则，代理会调用winlogon.exe执行重启操作，这类第三方代理的动作不会写入系统常规故障日志。

场景B未触发重启的核心原因是用户关闭会话时未累计到5次密码验证失败，未达到规则触发阈值。

内容的提问来源于stack exchange，提问作者Bryan