ebben a cikkben megmutatjuk, hogyan lehet nyomon követni a Felhasználói fiókok lezárásának eseményeit az Active Directory tartományvezérlőkön, meghatározni, hogy melyik számítógépről és programról van a fiók folyamatosan zárolva. A fiókzárolási forrás megtalálásához használhatja a Windows biztonsági naplóját, a PowerShell szkripteket vagy az MSFT fiókzárolási és kezelési eszközt (Lockoutstatus).,exe)
A hivatkozott számla jelenleg zárva ki, illetve nem lehet bejelentkezett
A tartományi fiók biztonsági házirend a legtöbb szervezet előírja a kötelező Active Directory felhasználói fiókkal esetre, ha a rossz jelszó beírása többször egymás után. Általában a fiókot a tartományvezérlő néhány percig (5-30) zárja le, amelynek során a felhasználó nem tud bejelentkezni a hirdetési tartományba. Egy idő után (a domain security policy által beállított) a felhasználói fiók automatikusan feloldódik., Az ideiglenes hirdetési fiók zárolása csökkenti a brute force támadások kockázatát a hirdetési felhasználói fiókok számára.
Ha a domain felhasználói fiókja ki van zárva, figyelmeztetés jelenik meg, amikor megpróbál bejelentkezni a Windows rendszerbe:
hogyan lehet ellenőrizni, hogy a felhasználói fiók zárolva van-e?,
ellenőrizheti, hogy a fiók zárolva van-e az ADUC grafikus konzolban, vagy a PowerShell Active Directory moduljának Get-ADUser parancsmagját használja:
Get-ADUser -Identity jsmith -Properties LockedOut,DisplayName | Select-Object samaccountName, displayName,Lockedout
a fiók zárolva van, és nem használható hitelesítésre a tartományban (lockedout = True).,
a Keresés-ADAccount cmdlet:
Search-ADAccount -lockedout
a fiókot manuálisan is feloldhatja az ADUC konzol használatával, anélkül, hogy megvárná, amíg automatikusan feloldódik. Keresse meg a felhasználói fiókot, kattintson a jobb gombbal, majd válassza a Tulajdonságok lehetőséget. Lépjen a fiók fülre, jelölje be a fiók feloldása négyzetet. Ez a fiók jelenleg ki van zárva ezen Active Directory tartományvezérlőn. Kattintson az OK gombra.,v>
Azt is azonnal kinyit a fiók használata az alábbi PowerShell parancs:
Get-ADUser -Identity jsmith | Unlock-ADAccount
ellenőrizze a fiók kizárás ideje, hogy hány sikertelen bejelentkezési kísérletek, az idő az utolsó sikeres bejelentkezés a fiók tulajdonságai az ADUC konzol (az Attribútum Szerkesztő lapon) vagy a PowerShell segítségével:
Fiók Lockout Politikák az Active Directory tartományi
A fiók lockout politika általában az Alapértelmezett Tartományi Házirend az egész domain-használó a gpmc.,msc beépülő modul. A szükséges házirendek megtalálhatók a számítógép konfigurációjában – > Windows beállítások – > Biztonsági beállítások – > Fiókházirend – > fiókzárolási házirend., Ezek a következő házirendek:
- fiókzárolási küszöb a rossz jelszó beírására tett kísérletek száma a fiók zárolásáig;
- Fiókzárási időtartam a fiók zárolásának időtartamára (ez idő után a zárolás automatikusan törlődik);
- Fiókzárási számláló visszaállítása után az idő a sikertelen engedélyezési kísérletek számlálójának visszaállítására.,
azok az esetek, amikor a felhasználó elfelejti a jelszót, és maga okozza a fiók zárolását, gyakran előfordulnak. Ha a felhasználó nemrég megváltoztatta a jelszót, majd elfelejtette, akkor visszaállíthatja. De bizonyos esetekben a fiók zárolása nyilvánvaló ok nélkül történik. Azaz a Felhasználó kijelenti, hogy soha nem követett el hibát a jelszó megadásakor, de a fiókját valamilyen okból bezárták. A rendszergazda manuálisan feloldhatja a fiókot a felhasználói kéréssel, de egy idő után a helyzet megismétlődhet.,
a felhasználó problémájának megoldásához a rendszergazdának meg kell találnia, hogy az Active Directory felhasználói fiókja melyik számítógépről volt zárolva.
bejelentkezési ellenőrzési Irányelvek a tartományvezérlők számára
a tartományvezérlő naplóiban a fiókzárási események engedélyezéséhez engedélyeznie kell a tartományvezérlők következő ellenőrzési irányelveit., Ugrás a GPO szakasz Számítógép konfigurációja -> politikák -> Windows beállítások -> Biztonsági beállítások -> speciális ellenőrzési politika -> Bejelentkezés/Kijelentkezés és engedélyezze a következő házirendeket:
- audit account lockout
- audit logon
- audit logoff
a házirend engedélyezésének legegyszerűbb módja a GPMC.MSC konzol Az alapértelmezett tartományvezérlő házirend szerkesztésével, vagy az alapértelmezett tartomány házirend használatával a teljes tartomány szintjén.,
Account Lockout Event ID 4740
először is, az adminisztrátornak meg kell tudnia, hogy melyik számítógépről vagy szerverről fordul elő rossz jelszó-kísérlet, és tovább megy fiókzárások.
Ha a felhasználóhoz legközelebb eső tartományvezérlő megállapítja, hogy a felhasználó érvénytelen hitelesítő adatokkal próbál bejelentkezni, akkor átirányítja a hitelesítési kérelmet a DC-re a PDC emulátor FSMO szerepével (ez a DC felelős a fiókzárak feldolgozásáért). Ha a hitelesítés sikertelen a PDC-n, akkor az első DC-re válaszol, hogy a hitelesítés nem lehetséges., Ha a sikertelen hitelesítések száma meghaladja a tartománynak a fiókzárolási küszöbérték házirendben megadott értékét, a felhasználói fiók ideiglenesen zárolásra kerül.