Кратак одговор
Закључан AD налог откључавате у алату Active Directory Усерс анд Цомпутерс (ADUC): пронађите корисника, десни клик и изаберите „Унлоцк Account“. Ако немате ADUC, користите PowerShell наредбу `Unlock-ADAccount -Identity korisnik`. Увек прво проверите извор погрешних пријава (кеширане лозинке, сервиси, мобилни уређаји) да се налог не bi поново закључао.
Како се проблем препознаје
- Корисник не може да се пријави на Windows домену, порука да је налог закључан.
- Неуспешна пријава на Exchange или Microsoft 365 са поруком о закључаном налогу.
- VPN или RDP пријава одбија доменске креденцијале.
- У Event Viewer-u на контролеру домена се појављују догађаји 4740 (налог закључан).
- Корисник тврди да је лозинку унео исправно, али налог се и даље закључава.
Најчешћи узроци
Погрешна лозинка више пута
Корисник или апликација унесе погрешну лозинку онолико пута колико је дефинисано политиком закључавања (нпр. 5 пута), па се налог аутоматски закључа.
Кеширани креденцијали на уређајима
Стари уређаји, мрежни драјвери или сервиси који користе старе лозинке и даље покушавају пријаву, што изазива поновно закључавање.
Политика закључавања налога
GPO или локална политика дефинише низак праг покушаја и кратак период закључавања, па се налог лако закључа.
Сервисни налози са истеклом лозинком
Апликације, скрипте или сервиси који користе доменске налоге са погрешном или истеклом лозинком могу закључати налог.
Решење корак по корак
- 1
Откључајте налог у ADUC-у
На контролеру домена или рачунару са инсталираним RSAT алатима отворите
Active Directory Users and Computers. Пронађите корисника (десни клик на домен >Find...), десни клик на налог и изаберитеUnlock Account. Налог се откључава одмах. - 2
Откључајте налог преко PowerShell-a
Ако немате ADUC, на рачунару са инсталираним RSAT алатима за Active Directory покрените Windows PowerShell као администратор и увезите модул:
Import-Module ActiveDirectory. Затим извршитеUnlock-ADAccount -Identity korisnik. Проверите статус наредбомGet-ADUser korisnik -Properties LockedOut | Select-Object Name, LockedOut. - 3
Проверите ко је изазвао закључавање
На контролеру домена отворите
Event Viewer>Windows Logs>Securityи филтрирајте догађај ID 4740. У детаљима погледајте пољеCaller Computer Nameда идентификујете уређај или server који је изазвао закључавање. - 4
Ресетујте лозинку ако је потребно
Ако корисник не зна лозинку, у ADUC-у десни клик на налог >
Reset Password.... ОзначитеUser must change password at next logonи саопштите привремену лозинку кориснику на сигуран начин. - 5
Очистите кеширане креденцијале
На корисничком рачунару отворите
Control Panel>Credential Managerи уклоните старе уносе за домен. Затим уCommand Promptпокренитеklist purgeда обришете Керберос тикете, па рестартујте рачунар. - 6
Ажурирајте лозинке у сервисима
Проверите сервисе, заказане задатке и апликације које користе доменске налоге. Ажурирајте лозинку у њиховим подешавањима или, ако је могуће, пређите на
Group Managed Service Account(gMSA) да бисте избегли ручно ажурирање. - 7
Проверите политику закључавања
У
Group Policy Managementотворите GPO који садржиAccount Lockout Policy(Цомпутер Цонфигуратион > Полициес > Windows Settings > Security Settings > Account Полициес > Account Лоцкоут Policy). ПрилагодитеAccount lockout threshold,Account lockout durationиReset account lockout counter afterпрема потребама организације. Водите рачуна да вредност 0 заAccount lockout thresholdискључује закључавање налога. - 8
Тестирајте пријаву
Замолите корисника да се поново пријави на домен. Проверите да ли се у Event Viewer-u поново појављује догађај 4740. Ако се закључавање понавља, поновите корак 3 и пронађите извор.
Ако се налог и даље закључава
Ако се налог поново закључава и након откључавања, вероватно постоји извор погрешних пријава. Користите алат за праћење закључавања налога, на пример Microsoft Account Lockout Status, или одговарајуће решење које прати догађаје на свим контролерима домена. Проверите и мобилне уређаје (телефоне, таблете) који имају подешену е-пошту или VPN са старом лозинком. На контролеру домена прегледајте догађаје 4625 (неуспешна пријава) и 4771 (Керберос неуспех) да бисте идентификовали извор. Ако је проблем и даље присутан, обратите се администратору домена или IT подршци.
Како да спречите да се понови
- Редовно ажурирајте лозинке на свим уређајима и сервисима који користе доменске налоге.
- Користите `Group Managed Service Account` (gMSA) за сервисе уместо обичних корисничких налога.
- Подесите политику закључавања са разумним прагом (нпр. 10 покушаја) и трајањем.
- Обришите кеширане креденцијале на рачунарима приликом промене лозинке.
Када је боље позвати стручњака
Ако немате приступ контролеру домена или не можете да идентификујете извор закључавања, обратите се IT подршци или администратору домена.
Одржавање IT инфраструктуре · Сервери, мреже, backup, безбедност и хелпдескЧеста питања
Како да знам који уређај закључава налог?
На контролеру домена отворите Event Viewer > Windows Логс > Security и пронађите догађај ID 4740. У детаљима погледајте поље `Caller Computer Name`.
Могу ли да откључам налог без администраторских права?
Не, за откључавање је потребно чланство у групи `Domain Admins` или делегирана контрола над OU у којој се налази налог.
Зашто се налог поново закључава одмах након откључавања?
Најчешће због кешираних креденцијала на уређајима или сервиса који користе стару лозинку. Проверите Event Viewer и очистите кеширане креденцијале.