A conta do Active Directory é bloqueada sem motivo aparente

Question

Estou resolvendo esse problema há dois anos e ele continua voltando. Nossos usuários de Mac autenticam em nosso servidor do Active Directory que está executando o Windows Server 2008 Standard. Um dos usuários do Mac, em particular, teve um problema recorrente no qual ela não pode fazer logon e faz com que sua conta do AD seja bloqueada antes que as tentativas de login máximas sejam atingidas. O problema começou novamente duas semanas atrás e eu reconfigurei a rede e as configurações do Active Directory. Eu pensei que tinha o problema resolvido, mas na semana passada eu estava no escritório cedo e decidi instalar as atualizações do Mac, que exigiu uma reinicialização. Quando o usuário tentou fazer login vinte minutos depois, sua conta foi bloqueada. Seu log de segurança mostra essa mensagem, "authorizationhost [96] Falha ao autenticar usuário (tDirStatus: -14090)."

Isso aconteceu de novo nesta manhã, embora eu não tenha feito nada no computador dela e ela tentou fazer login 1,5 horas depois que o computador ligou.

Isso também aconteceu depois de eu ter logado com sucesso com o ID dela e a senha apenas para que a conta fosse bloqueada depois que eu fiz o logout.

A única coisa em que consigo pensar que está tentando se conectar é o LDAP em nosso PDC AD, mas nunca inseri nenhuma credencial e ninguém mais tem esse problema.

Todos os Macs têm o Snow Leopard 10.6.7 e todos eles têm as mesmas configurações de rede e AD, mas este Mac em particular continua a ter um problema.

    

Answer 1

Então, se eu ler isso corretamente, você nunca testemunhou isso e continua acontecendo. Às vezes, imediatamente depois de sair? É possível que o usuário seja problemático e nunca consiga lembrar sua senha? Você já olhou no console para ver exatamente quantos logins com falha existem?

O AD não bloqueará uma conta, a menos que tenha falhado x número de vezes por x minutos (definido pela sua política de senha). Se não houver nenhum processo automatizado / salvo no Mac causando isso, tudo o que resta é o usuário.

    

Answer 2

Pode ser que ela tenha uma senha antiga ou incorreta armazenada em Chaveiro. Isso pode estar associado a um aplicativo, página da Web ou processo, que, quando chamado, faz com que a conta seja bloqueada. Eu sugeriria verificar isso e excluir todas as entradas do seu Keychain que contenham suas credenciais do AD (ou até mesmo quaisquer que pareçam ter).

Eu tive um problema semelhante com um usuário há alguns anos. Sua conta manteve o bloqueio "aleatoriamente". Tivemos uma expiração de senha de 30 dias naquela empresa e ele configurou sua conta de e-mail do Exchange em seu iPhone. Ele alterou sua senha quando solicitado, mas seu iPhone, ainda usando as credenciais antigas, bloquearia sua conta toda vez que tentasse buscar correspondência.

    

Answer 3

Eu não tenho nenhum conhecimento de como o osx funciona com o ldap, mas quando eu tenho problemas estranhos com osx eu normalmente consigo uma pista executando plutil Você pode tentar encontrar algum erro nos arquivos plist para o usuário em ~ / Library / Preferences dentro desse diretório você pode executar plutil -s *.plist , isso deve reportar qualquer erro nesses arquivos de configuração. Você pode fazer o mesmo na biblioteca de sistemas. Boa sorte.

    

Answer 4

• É possível que o usuário configure um cliente de email diferente ou outras ferramentas que possam estar tentando autenticar?

• Ou pode haver uma sessão citrix ou RDP ativa em um sistema remoto?

• Você pode dar a ela um Mac diferente para usar por um tempo para que possa determinar se é o Mac ou a conta dela

Answer 5

As duas principais causas que vejo das contas sendo bloqueadas, além do óbvio do usuário digitando a senha errada, são:

• Vírus / malware (pode estar em qualquer máquina) tentando acessar a conta usando força bruta. Isso deve ficar claro nos logs de eventos do servidor Windows.
• Acessando um recurso compartilhado usando uma senha antiga. Isso é particularmente comum ao usar máquinas que não sejam Windows para acessar recursos do Windows com credenciais lembradas.