Active Directory 伪造帐户锁定

Question

我在我的域中遇到一些问题，用户帐户因帐户被锁定而拒绝登录，但在活动目录（用户和计算机）中，该帐户未标记为被锁定。

例如，今天早上，一个用户打电话说她的帐户被锁定了。我转到远程桌面进入域控制器，但它说我的服务器管理员帐户被锁定...所以我用我的桌面帐户登录到 DC，打开用户和计算机面板，首先浏览到我的服务器管理员帐户它没有被锁定。然后我浏览到用户帐户并且..它没有被锁定。我退出域控制器并尝试使用我的服务器管理员帐户再次远程桌面进入它，它工作正常。现在用户帐户也工作正常。

出于某种原因，这种情况经常且随机地发生。“X”帐户没有登录，因为它被“锁定”了。打开 AD 发现它没有被锁定，现在“X”帐户正在工作。我曾经有过我所有 IT 员工桌面帐户和管理员帐户都被锁定的情况，用户收到通知注销/重新验证他们的帐户，然后，一切都再次正常工作......没有的帐户被锁定等。

我在谷歌搜索解决方案方面没有取得太大成功，所以现在我在这里。:(

我的主要问题是...是否存在即使 AD 报告帐户已解锁也会产生“帐户已锁定”错误消息的情况？

而且.. 有没有什么办法可以在没有管理员干预的情况下随机锁定和解锁帐户？（假设系统/域没有受到损害）

关于我的 AD 的一点：我有一个主办公室（带有 2 个 DC）（通过 Cisco VPN）连接到位于 AD 站点中定义的不同子网上的 2 个远程办公室（每个都有自己的 DC）。它们（4）似乎都在复制/以其他方式正常运行。我没有从任何远程站点遇到上述问题，只有主办公室。

Answer 1

我没有遇到任何帐户被列为未锁定并且用户遇到帐户锁定问题的情况。但是，如果 DC 不是最新的，则可能会发生这种情况。

遇到此问题的用户是否都在一个 AD 站点内？通常，您的站点内 DC 复制将发生得足够快以避免这些问题。如果您的站点间复制计划太长并且用户以某种方式被锁定在单独的 AD 站点中，您可能会遇到您遇到的情况。

您是否尝试过寻找帐户锁定的根本原因？您可以使用锁定工具查找错误登录尝试的来源。