Una delle sfide più grandi che gli amministratori IT devono affrontare è quella di risalire all’origine del blocco di un account. È sempre possibile ottenere questa informazione usando Windows PowerShell, ma si tratta di un procedimento complicato. In alternativa, si può ottenere il risultato desiderato ricorrendo a uno strumento di auditing AD completo come ADAudit Plus.
Come trovare l’origine del blocco di un account usando Windows PowerShell e ADAudit Plus:
#requires -Module ActiveDirectory
#Import-Module ActiveDirectory -EA Stop
Function Get-AccountLockoutStatus {
[CmdletBinding()]
param(
[Parameter(
ValueFromPipeline=$true,
ValueFromPipelineByPropertyName=$true,
Position=0)]
[string[]]
$ComputerName = (Get-ADDomainController -Filter * | select -ExpandProperty Name),
[Parameter()]
[string]
$Username,
[Parameter()]
[int]
$DaysFromToday = 3
)
BEGIN {
$Object = @()
}
PROCESS {
Foreach ($Computer in $ComputerName) {
try {
$EventID = Get-WinEvent -ComputerName $Computer -FilterHashtable @{Logname = 'Security'; ID = 4740; StartTime = (Get-Date).AddDays(-$DaysFromToday)} -EA 0
Foreach ($Event in $EventID) {
$Properties = @{Computername = $Computer
Time = $Event.TimeCreated
Username = $Event.Properties.value[0]
CallerComputer = $Event.Properties.value[1]
}
$Object += New-Object -TypeName PSObject -Property $Properties | Select ComputerName, Username, Time, CallerComputer
}
} catch {
$ErrorMessage = $Computer + " Error: " + $_.Exception.Message
} finally {
if ($Username) {
Write-Output $Object | Where-Object {$_.Username -eq $Username}
} else {
Write-Output $Object
}
$Object = $null
}
}
}
END {}
}
Di seguito sono elencate le limitazioni dell’uso di PowerShell per rintracciare l’origine del blocco di un account:
D’altro canto, ADAudit Plus scansionerà rapidamente tutti i controller di dominio per recuperare le informazioni relative alla possibile origine del blocco di un account, raccogliendo tutto in un report di facile comprensione. Gli amministratori IT possono usare queste informazioni per indagare e risolvere il problema.