Kısa cevap
Kilitli bir AD hesabını Active Directory Users and Computers (ADUC) aracında açarsınız: kullanıcıyı bulun, sağ tıklayın ve "Unlock Account" seçeneğini seçin. ADUC yoksa PowerShell komutunu kullanın: `Unlock-ADAccount -Identity kullanici`. Hesabın yeniden kilitlenmemesi için önce hatalı oturum açma kaynağını (önbelleğe alınmış parolalar, hizmetler, mobil cihazlar) mutlaka kontrol edin.
Sorun nasıl anlaşılır
- Kullanıcı Windows etki alanında oturum açamıyor, hesabın kilitlendiğine dair ileti alıyor.
- Exchange veya Microsoft 365 oturum açma başarısız, kilitli hesap iletisi görünüyor.
- VPN veya RDP oturum açma etki alanı kimlik bilgilerini reddediyor.
- Etki alanı denetleyicisinde Event Viewer'da 4740 olayları (hesap kilitlendi) görünüyor.
- Kullanıcı parolayı doğru girdiğini söylüyor ancak hesap hâlâ kilitleniyor.
En yaygın nedenler
Birden çok kez yanlış parola
Kullanıcı veya uygulama, kilitlenme ilkesinde tanımlanan sayıda (örneğin 5 kez) yanlış parola girer ve hesap otomatik olarak kilitlenir.
Cihazlarda önbelleğe alınmış kimlik bilgileri
Eski parolaları kullanan eski cihazlar, ağ sürücüleri veya hizmetler hâlâ oturum açmayı dener ve yeniden kilitlenmeye neden olur.
Hesap kilitlenme ilkesi
GPO veya yerel ilke düşük bir deneme eşiği ve kısa bir kilitlenme süresi tanımlar, bu nedenle hesap kolayca kilitlenir.
Parolası süresi dolmuş hizmet hesapları
Yanlış veya süresi dolmuş parolayla etki alanı hesaplarını kullanan uygulamalar, betikler veya hizmetler hesabı kilitleyebilir.
Adım adım çözüm
- 1
Hesabı ADUC'de açın
Etki alanı denetleyicisinde veya RSAT araçlarının yüklü olduğu bir bilgisayarda
Active Directory Users and Computersaracını açın. Kullanıcıyı bulun (etki alanına sağ tıklayın >Find...), hesaba sağ tıklayın veUnlock Accountseçeneğini seçin. Hesap hemen açılır. - 2
Hesabı PowerShell ile açın
ADUC yoksa, Active Directory için RSAT araçlarının yüklü olduğu bir bilgisayarda Windows PowerShell'i yönetici olarak başlatın ve modülü içe aktarın:
Import-Module ActiveDirectory. ArdındanUnlock-ADAccount -Identity kullanicikomutunu çalıştırın. DurumuGet-ADUser kullanici -Properties LockedOut | Select-Object Name, LockedOutkomutuyla kontrol edin. - 3
Kilitlenmeye neyin yol açtığını kontrol edin
Etki alanı denetleyicisinde
Event Viewer>Windows Logs>Securityyolunu açın ve 4740 olay kimliğini filtreleyin. Ayrıntılarda kilitlenmeye neden olan cihazı veya sunucuyu belirlemek içinCaller Computer Namealanına bakın. - 4
Gerekirse parolayı sıfırlayın
Kullanıcı parolayı bilmiyorsa ADUC'de hesaba sağ tıklayın >
Reset Password....User must change password at next logonseçeneğini işaretleyin ve geçici parolayı kullanıcıya güvenli bir şekilde iletin. - 5
Önbelleğe alınmış kimlik bilgilerini temizleyin
Kullanıcının bilgisayarında
Control Panel>Credential Manageryolunu açın ve etki alanına ait eski girdileri kaldırın. ArdındanCommand Promptiçindeklist purgekomutunu çalıştırarak Kerberos biletlerini silin ve bilgisayarı yeniden başlatın. - 6
Hizmetlerdeki parolaları güncelleyin
Etki alanı hesaplarını kullanan hizmetleri, zamanlanmış görevleri ve uygulamaları kontrol edin. Parolayı bunların ayarlarında güncelleyin veya mümkünse manuel güncellemeden kaçınmak için
Group Managed Service Account(gMSA) kullanımına geçin. - 7
Kilitlenme ilkesini kontrol edin
Group Policy ManagementiçindeAccount Lockout Policyiçeren GPO'yu açın (Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Account Lockout Policy).Account lockout threshold,Account lockout durationveReset account lockout counter afterdeğerlerini kuruluşunuzun ihtiyaçlarına göre ayarlayın.Account lockout thresholdiçin 0 değerinin hesap kilitlenmesini devre dışı bıraktığını unutmayın. - 8
Oturum açmayı test edin
Kullanıcıdan etki alanında yeniden oturum açmasını isteyin. Event Viewer'da 4740 olayının yeniden görünüp görünmediğini kontrol edin. Kilitlenme tekrarlanırsa 3. adımı yineleyin ve kaynağı bulun.
Hesap hâlâ kilitleniyorsa
Hesap açıldıktan sonra yeniden kilitleniyorsa büyük olasılıkla hatalı oturum açma kaynağı vardır. Hesap kilitlenmesini izlemek için Microsoft Account Lockout Status gibi bir araç veya tüm etki alanı denetleyicilerindeki olayları izleyen uygun bir çözüm kullanın. Eski parolayla yapılandırılmış e-posta veya VPN ayarı olan mobil cihazları (telefonlar, tabletler) da kontrol edin. Kaynağı belirlemek için etki alanı denetleyicisinde 4625 (başarısız oturum açma) ve 4771 (Kerberos hatası) olaylarını inceleyin. Sorun devam ederse etki alanı yöneticinize veya BT desteğine başvurun.
Tekrarlanmaması için
- Etki alanı hesaplarını kullanan tüm cihazlarda ve hizmetlerde parolaları düzenli olarak güncelleyin.
- Hizmetler için normal kullanıcı hesapları yerine `Group Managed Service Account` (gMSA) kullanın.
- Kilitlenme ilkesini makul bir eşik (örneğin 10 deneme) ve süre ile yapılandırın.
- Parola değişikliğinde bilgisayarlardaki önbelleğe alınmış kimlik bilgilerini temizleyin.
Ne zaman uzmana başvurmalı
Etki alanı denetleyicisine erişiminiz yoksa veya kilitlenme kaynağını belirleyemiyorsanız BT desteğine ya da etki alanı yöneticinize başvurun.
BT altyapı bakımı · Sunucular, ağlar, yedekleme, güvenlik ve yardım masasıSık sorulan sorular
Hesabı hangi cihazın kilitlediğini nasıl anlarım?
Etki alanı denetleyicisinde Event Viewer > Windows Logs > Security yolunu açın ve 4740 olay kimliğini bulun. Ayrıntılarda `Caller Computer Name` alanına bakın.
Hesabı yönetici hakları olmadan açabilir miyim?
Hayır, hesabı açmak için `Domain Admins` grubuna üyelik veya hesabın bulunduğu OU üzerinde devredilmiş denetim gerekir.
Hesap açıldıktan hemen sonra neden yeniden kilitleniyor?
Çoğunlukla cihazlarda önbelleğe alınmış kimlik bilgileri veya eski parolayı kullanan hizmetler nedeniyle. Event Viewer'ı kontrol edin ve önbelleğe alınmış kimlik bilgilerini temizleyin.