Kratak odgovor
Zaključan AD nalog otključavate u alatu Active Directory Users and Computers (ADUC): pronađite korisnika, desni klik i izaberite „Unlock Account“. Ako nemate ADUC, koristite PowerShell naredbu `Unlock-ADAccount -Identity korisnik`. Uvek prvo proverite izvor pogrešnih prijava (keširane lozinke, servisi, mobilni uređaji) da se nalog ne bi ponovo zaključao.
Kako se problem prepoznaje
- Korisnik ne može da se prijavi na Windows domenu, poruka da je nalog zaključan.
- Neuspešna prijava na Exchange ili Microsoft 365 sa porukom o zaključanom nalogu.
- VPN ili RDP prijava odbija domenske kredencijale.
- U Event Viewer-u na kontroleru domena se pojavljuju događaji 4740 (nalog zaključan).
- Korisnik tvrdi da je lozinku uneo ispravno, ali nalog se i dalje zaključava.
Najčešći uzroci
Pogrešna lozinka više puta
Korisnik ili aplikacija unese pogrešnu lozinku onoliko puta koliko je definisano politikom zaključavanja (npr. 5 puta), pa se nalog automatski zaključa.
Keširani kredencijali na uređajima
Stari uređaji, mrežni drajveri ili servisi koji koriste stare lozinke i dalje pokušavaju prijavu, što izaziva ponovno zaključavanje.
Politika zaključavanja naloga
GPO ili lokalna politika definiše nizak prag pokušaja i kratak period zaključavanja, pa se nalog lako zaključa.
Servisni nalozi sa isteklom lozinkom
Aplikacije, skripte ili servisi koji koriste domenske naloge sa pogrešnom ili isteklom lozinkom mogu zaključati nalog.
Rešenje korak po korak
- 1
Otključajte nalog u ADUC-u
Na kontroleru domena ili računaru sa instaliranim RSAT alatima otvorite
Active Directory Users and Computers. Pronađite korisnika (desni klik na domen >Find...), desni klik na nalog i izaberiteUnlock Account. Nalog se otključava odmah. - 2
Otključajte nalog preko PowerShell-a
Ako nemate ADUC, na računaru sa instaliranim RSAT alatima za Active Directory pokrenite Windows PowerShell kao administrator i uvezite modul:
Import-Module ActiveDirectory. Zatim izvršiteUnlock-ADAccount -Identity korisnik. Proverite status naredbomGet-ADUser korisnik -Properties LockedOut | Select-Object Name, LockedOut. - 3
Proverite ko je izazvao zaključavanje
Na kontroleru domena otvorite
Event Viewer>Windows Logs>Securityi filtrirajte događaj ID 4740. U detaljima pogledajte poljeCaller Computer Nameda identifikujete uređaj ili server koji je izazvao zaključavanje. - 4
Resetujte lozinku ako je potrebno
Ako korisnik ne zna lozinku, u ADUC-u desni klik na nalog >
Reset Password.... OznačiteUser must change password at next logoni saopštite privremenu lozinku korisniku na siguran način. - 5
Očistite keširane kredencijale
Na korisničkom računaru otvorite
Control Panel>Credential Manageri uklonite stare unose za domen. Zatim uCommand Promptpokreniteklist purgeda obrišete Kerberos tikete, pa restartujte računar. - 6
Ažurirajte lozinke u servisima
Proverite servise, zakazane zadatke i aplikacije koje koriste domenske naloge. Ažurirajte lozinku u njihovim podešavanjima ili, ako je moguće, pređite na
Group Managed Service Account(gMSA) da biste izbegli ručno ažuriranje. - 7
Proverite politiku zaključavanja
U
Group Policy Managementotvorite GPO koji sadržiAccount Lockout Policy(Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Account Lockout Policy). PrilagoditeAccount lockout threshold,Account lockout durationiReset account lockout counter afterprema potrebama organizacije. Vodite računa da vrednost 0 zaAccount lockout thresholdisključuje zaključavanje naloga. - 8
Testirajte prijavu
Zamolite korisnika da se ponovo prijavi na domen. Proverite da li se u Event Viewer-u ponovo pojavljuje događaj 4740. Ako se zaključavanje ponavlja, ponovite korak 3 i pronađite izvor.
Ako se nalog i dalje zaključava
Ako se nalog ponovo zaključava i nakon otključavanja, verovatno postoji izvor pogrešnih prijava. Koristite alat za praćenje zaključavanja naloga, na primer Microsoft Account Lockout Status, ili odgovarajuće rešenje koje prati događaje na svim kontrolerima domena. Proverite i mobilne uređaje (telefone, tablete) koji imaju podešenu e-poštu ili VPN sa starom lozinkom. Na kontroleru domena pregledajte događaje 4625 (neuspešna prijava) i 4771 (Kerberos neuspeh) da biste identifikovali izvor. Ako je problem i dalje prisutan, obratite se administratoru domena ili IT podršci.
Kako da sprečite da se ponovi
- Redovno ažurirajte lozinke na svim uređajima i servisima koji koriste domenske naloge.
- Koristite `Group Managed Service Account` (gMSA) za servise umesto običnih korisničkih naloga.
- Podesite politiku zaključavanja sa razumnim pragom (npr. 10 pokušaja) i trajanjem.
- Obrišite keširane kredencijale na računarima prilikom promene lozinke.
Kada je bolje pozvati stručnjaka
Ako nemate pristup kontroleru domena ili ne možete da identifikujete izvor zaključavanja, obratite se IT podršci ili administratoru domena.
Održavanje IT infrastrukture · Serveri, mreže, backup, bezbednost i helpdeskČesta pitanja
Kako da znam koji uređaj zaključava nalog?
Na kontroleru domena otvorite Event Viewer > Windows Logs > Security i pronađite događaj ID 4740. U detaljima pogledajte polje `Caller Computer Name`.
Mogu li da otključam nalog bez administratorskih prava?
Ne, za otključavanje je potrebno članstvo u grupi `Domain Admins` ili delegirana kontrola nad OU u kojoj se nalazi nalog.
Zašto se nalog ponovo zaključava odmah nakon otključavanja?
Najčešće zbog keširanih kredencijala na uređajima ili servisa koji koriste staru lozinku. Proverite Event Viewer i očistite keširane kredencijale.