Guide de référence rapide pour le dépannage des verrouillages de compte

Dépannage des verrouillages persistants de comptes d'utilisateurs AD

Microsoft Active Directory est un composant essentiel de votre infrastructure, contrôlant tout, des paramètres de sécurité à la stratégie de groupe en passant par l'authentification des utilisateurs. Le compte Active Directory de chaque utilisateur contrôle son accès aux lecteurs réseau et autres ressources, ainsi que ses paramètres Windows et configurations d'ordinateur.

Pour contrecarrer les attaques, la plupart des organisations mettent en place une politique de verrouillage de compte pour les comptes utilisateurs : dès que le nombre de mauvais mots de passe pour un utilisateur donné est dépassé, son compte Active Directory est verrouillé. Si votre politique d'audit est activée, vous pouvez trouver ces événements dans le journal de sécurité en recherchant l'ID d'événement 4740.

Le journal des événements de sécurité contient les informations suivantes :

• Objet — ID de sécurité, Nom de compte, Domaine de compte et ID de connexion du compte qui a effectué l'opération de verrouillage
• Compte qui a été verrouillé — Identifiant de sécurité et nom du compte verrouillé
• Informations supplémentaires — Nom de l'ordinateur de l'appelant, qui est le nom du système à partir duquel les tentatives de connexion échouées ont été générées

Pour activer une politique de verrouillage de compte, vous devez modifier les paramètres GPO par défaut.

Pour restaurer l'accès d'un employé aux ressources dont il a besoin après que son compte utilisateur a été verrouillé, un administrateur AD doit le déverrouiller avec Active Directory Users and Computers sur un contrôleur de domaine (DC) en utilisant soit un script PowerShell, soit des outils de verrouillage de compte et de gestion des incidents pour la récupération.

Parfois, un compte AD se verrouille à nouveau après chaque déverrouillage. Dans ce cas, il y a généralement un problème plus important qu'un utilisateur essayant de se connecter avec un mauvais mot de passe, tel que :

• Mauvaise configuration des applications ou services sur les postes de travail
• Problèmes de configuration du serveur
• Des actions malveillantes de la part d'acteurs externes ou internes, telles qu'une attaque par dictionnaire

Les incidents de verrouillage de compte persistants nécessitent une enquête rapide. Souvent, vous devez retrouver l'adresse IP ou le nom de l'appareil à l'origine du verrouillage. Certains problèmes courants peuvent être résolus en vérifiant le gestionnaire d'identifiants, en déverrouillant le compte via PowerShell ou simplement en mettant à jour votre émulateur PDC.

Ce guide décrit des outils utiles pour trouver un compte verrouillé, déterminer la raison du verrouillage et débloquer le compte. Il énumère également les causes principales les plus courantes de verrouillage de compte et comment vérifier chacune d'entre elles.