Краткий ответ
Заблокированную учетную запись AD разблокируют в оснастке Active Directory Users and Computers (ADUC): найдите пользователя, щелкните правой кнопкой и выберите «Разблокировать учетную запись». Если ADUC недоступна, используйте команду PowerShell `Unlock-ADAccount -Identity пользователь`. Всегда сначала проверяйте источник неудачных входов (кэшированные пароли, службы, мобильные устройства), чтобы учетная запись не заблокировалась снова.
Как проявляется проблема
- Пользователь не может войти в домен Windows, появляется сообщение о блокировке учетной записи.
- Неудачный вход в Exchange или Microsoft 365 с сообщением о заблокированной учетной записи.
- Вход через VPN или RDP отклоняет доменные учетные данные.
- В Event Viewer на контроллере домена появляются события 4740 (учетная запись заблокирована).
- Пользователь утверждает, что ввел пароль правильно, но учетная запись все равно блокируется.
Частые причины
Многократный неверный пароль
Пользователь или приложение вводит неверный пароль столько раз, сколько определено политикой блокировки (например, 5 раз), после чего учетная запись автоматически блокируется.
Кэшированные учетные данные на устройствах
Старые устройства, сетевые диски или службы, использующие старые пароли, продолжают пытаться войти, что вызывает повторную блокировку.
Политика блокировки учетных записей
GPO или локальная политика задает низкий порог попыток и короткий период блокировки, поэтому учетная запись легко блокируется.
Сервисные учетные записи с истекшим паролем
Приложения, скрипты или службы, использующие доменные учетные записи с неверным или истекшим паролем, могут заблокировать учетную запись.
Пошаговое решение
- 1
Разблокируйте учетную запись в ADUC
На контроллере домена или компьютере с установленными средствами RSAT откройте
Active Directory Users and Computers. Найдите пользователя (щелкните правой кнопкой на домене >Find...), щелкните правой кнопкой на учетной записи и выберитеUnlock Account. Учетная запись разблокируется сразу. - 2
Разблокируйте учетную запись через PowerShell
Если ADUC недоступна, на компьютере с установленными средствами RSAT для Active Directory запустите Windows PowerShell от имени администратора и импортируйте модуль:
Import-Module ActiveDirectory. Затем выполнитеUnlock-ADAccount -Identity пользователь. Проверьте статус командойGet-ADUser пользователь -Properties LockedOut | Select-Object Name, LockedOut. - 3
Проверьте, кто вызвал блокировку
На контроллере домена откройте
Event Viewer>Windows Logs>Securityи отфильтруйте событие с ID 4740. В подробностях посмотрите полеCaller Computer Name, чтобы идентифицировать устройство или сервер, вызвавший блокировку. - 4
Сбросьте пароль при необходимости
Если пользователь не знает пароль, в ADUC щелкните правой кнопкой на учетной записи >
Reset Password.... Установите флажокUser must change password at next logonи сообщите временный пароль пользователю безопасным способом. - 5
Очистите кэшированные учетные данные
На компьютере пользователя откройте
Control Panel>Credential Managerи удалите старые записи для домена. Затем вCommand Promptвыполнитеklist purge, чтобы удалить билеты Kerberos, и перезагрузите компьютер. - 6
Обновите пароли в службах
Проверьте службы, запланированные задачи и приложения, использующие доменные учетные записи. Обновите пароль в их настройках или, если возможно, перейдите на
Group Managed Service Account(gMSA), чтобы избежать ручного обновления. - 7
Проверьте политику блокировки
В
Group Policy Managementоткройте GPO, содержащийAccount Lockout Policy(Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Account Lockout Policy). НастройтеAccount lockout threshold,Account lockout durationиReset account lockout counter afterв соответствии с потребностями организации. Учтите, что значение 0 дляAccount lockout thresholdотключает блокировку учетной записи. - 8
Проверьте вход
Попросите пользователя снова войти в домен. Проверьте, не появляется ли в Event Viewer снова событие 4740. Если блокировка повторяется, повторите шаг 3 и найдите источник.
Если учетная запись все еще блокируется
Если учетная запись блокируется снова после разблокировки, вероятно, существует источник неудачных входов. Используйте средство отслеживания блокировок учетных записей, например Microsoft Account Lockout Status, или соответствующее решение, которое отслеживает события на всех контроллерах домена. Проверьте также мобильные устройства (телефоны, планшеты), на которых настроена электронная почта или VPN со старым паролем. На контроллере домена просмотрите события 4625 (неудачный вход) и 4771 (сбой Kerberos), чтобы идентифицировать источник. Если проблема сохраняется, обратитесь к администратору домена или в ИТ-поддержку.
Как избежать повторения
- Регулярно обновляйте пароли на всех устройствах и в службах, использующих доменные учетные записи.
- Используйте `Group Managed Service Account` (gMSA) для служб вместо обычных пользовательских учетных записей.
- Настройте политику блокировки с разумным порогом (например, 10 попыток) и длительностью.
- Очищайте кэшированные учетные данные на компьютерах при смене пароля.
Когда лучше обратиться к специалисту
Если у вас нет доступа к контроллеру домена или вы не можете определить источник блокировки, обратитесь в ИТ-поддержку или к администратору домена.
Обслуживание ИТ-инфраструктуры · Серверы, сети, резервное копирование, безопасность и helpdeskЧастые вопросы
Как узнать, какое устройство блокирует учетную запись?
На контроллере домена откройте Event Viewer > Windows Logs > Security и найдите событие с ID 4740. В подробностях посмотрите поле `Caller Computer Name`.
Могу ли я разблокировать учетную запись без прав администратора?
Нет, для разблокировки требуется членство в группе `Domain Admins` или делегированное управление подразделением, в котором находится учетная запись.
Почему учетная запись снова блокируется сразу после разблокировки?
Чаще всего из-за кэшированных учетных данных на устройствах или служб, использующих старый пароль. Проверьте Event Viewer и очистите кэшированные учетные данные.