Wie Sie herausfinden, was die Sperrung eines Active Directory-Kontos verursacht

Finden Sie heraus, was ein AD-Konto aussperrt, indem Sie die systemeigene Überwachung verwenden

Schritte zum Aktivieren der Überwachung mit der Gruppenrichtlinien-Verwaltungskonsole

Führen Sie die folgenden Aktionen auf dem Domänencontroller (DC) aus:

1. Öffnen Sie das Menü Start. Suchen Sie nach der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC) und öffnen Sie sie. Sie können auch den Befehl gpmc.msc ausführen.

2. Klicken Sie mit der rechten Maustaste auf die Domäne oder Organisationseinheit (OU), in der Sie Kontosperrungen überwachen möchten, und klicken Sie auf Gruppenrichtlinienobjekt (GPO) in dieser Domäne erstellen und Hier verknüpfen.

Hinweis: Wenn Sie bereits ein Gruppenrichtlinienobjekt erstellt haben, klicken Sie auf Vorhandenes Gruppenrichtlinienobjektverknüpfen.

3. Benennen Sie das Gruppenrichtlinienobjekt.
4. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt und wählen Sie Bearbeiten aus.

5. Navigieren Sie im linken Bereich des Gruppenrichtlinien-Verwaltungs-Editors zu Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Überwachungsrichtlinien → Kontoverwaltung.

6. Im rechten Bereich sehen Sie die Liste der Richtlinien unter Kontoverwaltung. Doppelklicken Sie auf Überwachung der Benutzerkontenverwaltung und aktivieren Sie die Kontrollkästchen Konfigurieren der folgenden Überwachungsereignisse, Erfolg und Fehler.

7. Klicken Sie auf Übernehmen und dann auf OK.
8. Kehren Sie zur Gruppenrichtlinien-Verwaltungskonsole zurück. Klicken Sie im linken Fensterbereich mit der rechten Maustaste auf die Domäne oder OU, mit der das Gruppenrichtlinienobjekt verknüpft wurde, und klicken Sie auf Gruppenrichtlinienaktualisierung. Durch diesen Schritt wird sichergestellt, dass die neuen Gruppenrichtlinieneinstellungen sofort angewendet werden, anstatt auf die nächste geplante Aktualisierung zu warten.

Schritte zum Anzeigen der protokollierten Ereignisse in der Ereignisanzeige (Event Viewer)

Sobald die oben genannten Schritte abgeschlossen sind, werden Ereignisse im Ereignisprotokoll protokolliert. Diese können in der Ereignisanzeige angezeigt werden, indem Sie die folgenden Schritte ausführen:

1. Öffnen Sie das Menü Start, suchen Sie nach Ereignisanzeige und klicken Sie darauf, um es zu öffnen.
2. Navigieren Sie im linken Fensterbereich der Ereignisanzeige zu Windows-Protokolle → Sicherheit. Hier finden Sie eine Liste aller Sicherheitsereignisse, die im System protokolliert sind.

3. Klicken Sie im rechten Fensterbereich unter Sicherheit auf Aktuelles Protokoll filtern.

4. Geben Sie im Pop-up-Fenster 4740 in das Feld <Alle Ereignis-IDs> ein.
5. Klicken Sie auf OK. Daraufhin wird eine Liste der Vorkommen der von Ihnen eingegebenen Ereignis-ID angezeigt.
6. Doppelklicken Sie auf die Ereignis-ID, um ihre Eigenschaften (Beschreibung) anzuzeigen.

In der Ereignisbeschreibung wird der Name des Caller-Computers angezeigt.

Um eine detailliertere Analyse der Ursache dieser Sperrung durchzuführen, führen Sie die folgenden Aktionen auf dem DC aus:

1. Filtern Sie in der Ereignisanzeige die aktuelle Ansicht, um nach der Ereignis-ID 4625 zu suchen, die bei einer fehlgeschlagenen Anmeldung protokolliert wird.

2. Klicken Sie im rechten Fensterbereich der Ereignisanzeige auf Suchen, geben Sie den Namen des Benutzers ein, der ausgesperrt wurde, und klicken Sie auf Weitersuchen.

3. Suchen Sie nach einem Ereignis, das nach der Kontosperrzeit protokolliert wurde, und zeigen Sie seine Eigenschaften an.

4. Scrollen Sie nach unten zu Caller Process Name. Hier wird der Ort des Prozesses angezeigt, der möglicherweise die Kontosperrung verursacht hat.

Im oben genannten Fall wurde die Kontosperrung durch den Prozess java.exe verursacht.

Dieser Prozess ist selbst für nur einen Endbenutzer sehr aufwändig. Eine solche Analyse für eine große Anzahl von Endbenutzern durchzuführen, wäre zeitaufwändig, unpraktisch und ineffektiv.

Mit ADAudit Plus können Sie mithilfe des integrierten Account Lockout Analyzer mit nur einem Klick eine gründliche Analyse aller möglichen Ursachen für die Sperrung durchführen.