如何找出每天锁定特定 AD 帐户的原因？

Question

我面临一个问题，每天 17:00 左右 4-5 个域用户帐户被锁定。我认为问题出在正在运行的脚本......某处......问题是我无法确定哪台计算机/服务器尝试使用不正确的凭据登录。有没有办法找到这台机器的计算机名/IP？

Answer 1

我通常很幸运这样做：

1. 运行LockoutStatus.exe。
2. 输入用户名并找出您的哪个 DC 是锁定的来源（“原始锁定”列）以及发生的时间（“锁定时间”列）。
3. 届时检查 DC 上的安全日志，您通常可以将其定位到特定机器。
4. 一旦你有了机器，它通常是：
   • 用户有一个以他们的名义运行的计划任务，并且他们的密码已更改。
   • 用户的 RDP 会话已断开连接。

如果它每天在同一时间发生，我会说它几乎可以肯定是一项计划任务。