継続的に発生する AD ユーザー アカウントのロックアウトのトラブルシューティング
Microsoft Active Directory は、インフラストラクチャの中核を担うコンポーネントであり、セキュリティ設定からグループ ポリシー、ユーザー認証まであらゆるものを制御します。各ユーザーの Active Directory アカウントは、ネットワーク ドライブやその他のリソースへのアクセス権に加え、Windows の設定やコンピューターの構成も管理します。
攻撃を阻止するために、ほとんどの組織ではユーザー アカウントに対してアカウント ロックアウト ポリシーを設定しています。特定のユーザーに対する不正なパスワードのカウントが上限を超えると、そのユーザーの Active Directory アカウントが直ちにロックされます。監査ポリシーが有効になっている場合は、イベント ID 4740 を検索することで、セキュリティ ログからこれらのイベントを見つけることができます。
セキュリティ イベント ログには、次の情報が含まれます：
- 件名 — ロックアウト操作を実行したアカウントのセキュリティ ID、アカウント名、アカウント ドメイン、ログオン ID
- ロックアウトされたアカウント — ロックアウトされたアカウントのセキュリティ ID とアカウント名
- 追加情報 — 呼出元コンピューター名。失敗したログオン試行が生成されたシステムの名前です
アカウントのロックアウト ポリシーを有効にするには、デフォルトの GPO 設定を変更する必要があります。
ユーザー アカウントがロックされた後、従業員が必要なリソースにアクセスできるようにするには、AD 管理者がドメイン コントローラー (DC) 上の Active Directory Users and Computers を使用してロックを解除する必要があります。方法としては、PowerShell スクリプト、またはインシデント回復のためのアカウントのロックアウト／管理ツールを使用します。
AD アカウントが、解錠するたびにロックアウトを繰り返すことがあります。この場合は通常、「ユーザーが誤ったパスワードでログオンしようとしている」以上の、より大きな問題があるはずです。たとえば次のようなケースです：
- ワークステーション上のアプリケーションまたはサービスの設定ミス
- サーバー設定の問題
- 辞書攻撃のように、外部または内部のいずれかの当事者による悪意ある行為
継続的なアカウントのロックアウト（account lockout）事象には、速やかな調査が必要です。多くの場合、ロックアウトの原因となっている発信元の IP アドレスまたはデバイス名を突き止める必要があります。よくある問題は、資格情報マネージャー（credential manager）を確認したり、PowerShell でアカウントのロックを解除したり、単に PDC エミュレーターを更新したりすることで解決できる場合があります。
このガイドでは、ロックされたアカウントを特定し、ロックアウトの理由を判断し、アカウントのロックを解除するために役立つツールを説明します。また、アカウントのロックアウトで最もよくある根本原因と、それぞれを確認する方法も一覧にしています。
共有する