Mysteriöse Kontosperrungen

[unixduke]

Hi Folks.

2003Domäne, gemischt. 4 DC's mit 2003er Server.

Haben immer wieder mal das Problem, dass sich Konten im ActiveDirectory einfach von alleine sperren, ohnen dass sich der User drei mal falsch angemeldet hat.

Wir haben schon herausgefunden, dass das eventuell mit der Syncronisation zwischen 2 DC's zusammenhängt. Eventuell mit der fehlerhaften Syncronisation der Zeit und dass der Server sich dabei verhudelt und ein paar Konten sperrt. Sporadisch verschiedene Konten.

Vielleicht ist es auch was anderes.

Weiß jemand von euch was darüber, oder hat eine Idee?

tx

[zahni]

In der default domain policy, sicherstellen, dass Sicherheitsereignisse (fehlerhafte Anmeldung etc. protokolliert werden). Dann im Fehlerfall auf allen Servern das Sicherheitsprotokoll anschauen, wo das Konto von wem gesperrt wird. Sowas passiert z.B. auch, wenn die Benutzerdatenbank von Windows von anderen Anwedungen (Datenbank Webserver etc. verwendet wird) und ein Andwender sich dort falsch anmeldet.

-Zahni

[unixduke]

Naja, wenn das Konto von den Usern gesperrt ist kommt ein Anruf und dan wirds wieder entsperrt.

das ist aber in letzter Zeit immer häufiger vorgekommen, sodass man die fehlerhafte Passworteingabe als grund nicht nennen kann.

also du meinst, mann sollte die falsche anmeldung protokollieren und dann nachsehen, welcher User/Prozess/Programm das getan hat?

wenn da aber rauskommt, dass der user sich nicht angemeldet hat und das Konto trotzdem plötzlich gesperrt ist?

noch tips?

[Dr.Melzer]

Kann auch darauf hindeuten dass jemand Kennwörter ausprobiert.
Logge auch mal die Anmeldeversuche mit.

[Tom250376]

das konto wird doch aber nur gesperrt wenn es falsch benutzt wurde...also wird das auch protokolliert...und dann findest du den übeltäter. es sind aber nciht immer dieselben benutzerkonten, oder?

[unixduke]

eher nein. nicht immer dieselben.

ein server-problem kann das aber nicht sein, dass konten durch fehlerhafte syncronisation oder durch andere Serverprobleme gesperrt werden? gibts sowas?

ihr meint also, dass das doch an den Usern hängt und ich mal mitloggen sollte wer wann wo... sich anmeldet?

[micha42]

gründe können sein:
1. Alter username steht noch im Anmeldefenster
2. Jemand arbeitet auf Terminalserver, trennt die Sitzung ohne sich abzumelden und ändert sein PW (is bei uns neulich passiert)
3. gibt s bestimmt noch mehr (siehe oben)

Auf jeden Fall Anmeldungen mitloggen und jeden Fehlversuch genau verfolgen.