Active directory 正在覆盖的userPrincipalName

我有一个服务帐户，在服务器中用于执行Kerberos身份验证。帐户设置正确，为帐户创建的所有SPN都正确，并且创建了KTAB。所有这些都按预期工作，用户可以使用SSO登录到此服务器，而不会出现问题。正常工作几天后，服务器停止对用户进行身份验证。我们进行了检查，该帐户的userPrincipalName已从创建keytab时通常创建的SPN修改为常规服务帐户。有没有办法让帐户以某种方式回滚SPN？系统有没有可能在没有Active Directory管理员权限的情况下更改此用户名？

广告中没有任何内容会自动回滚SPN，原因与此完全相同：它会破坏内容。您的环境中有一些东西对其进行了修改。