Localizando usuários bloqueados

Question

Active Directory até a rede de 2008 (nossos servidores são um mix de 2008, 2003 ...)

Estou procurando uma maneira rápida de consultar o AD para descobrir quais usuários estão bloqueados, preferencialmente de um arquivo em lotes ou de script, para monitorar possíveis problemas com contas de usuário sendo atacadas por um ataque automatizado ou apenas anomalias em a rede.

Eu pesquisei no Google e meu Google-fu falhou; Eu encontrei uma consulta fora da própria base de conhecimento da Microsoft que cita uma string para usar no Server 2003 com as consultas salvas do snap-in de gerenciamento ( link ), mas quando eu entrei, a consulta retornou 400 usuários que uma verificação rápida mostrou NÃO ter uma marca de seleção na caixa "Conta bloqueada" em "conta". Na verdade, não vejo nada de errado com as contas deles.

Existe um utilitário simples (o wisesoft bulkadusers aparentemente usa esse método nos bastidores, já que seus resultados também estavam errados), o que dará uma contagem de usuários e possivelmente seus nomes de objetos de usuários? Roteiro? Algo?

    

Answer 1

Você pode usar o PowerShell e as ferramentas da Quest .

Você pode consultar todos os objetos de usuário do AD assim:

Get-QADUser -SizeLimit 0 | Where {$_.AccountIsLockedOut -eq "true"}

Se você seguir esse caminho, poderá criar arquivos ps1 que estão programados para serem executados e exportá-los para um csv ou mesmo para um site - usando ConvertTo-Html e exportando-o para um arquivo html. Por exemplo:

Get-QADUser -SizeLimit 0 | Where {$_.AccountIsLockedOut -eq "true"} | Export-Csv c:\lockedoutusers.csv

ou html:

Get-QADUser -SizeLimit 0 | Where {$_.AccountIsLockedOut -eq "true"} | CovertTo-Html > c:\lockedoutusers.html

Ou, se você quiser, pode jogá-lo em uma grade de visão interativa:

Get-QADUser -SizeLimit 0 | Where {$_.AccountIsLockedOut -eq "true"} | Out-GridView

    

Answer 2

Você também pode fazer isso sem a ferramenta de terceiros usando o módulo do Active Directory, a partir do PowerShell v2 e se estiver em um domínio de 2008:

get-aduser -filter * -properties * | where {$_.lockedout} | ft name,lockedout

então, é claro, você pode adicionar os canais de exportação de Michael B também.

    

Answer 3

Eu recomendo o Unlock by Joeware.

link

Este comando mostrará as contas bloqueadas:

desbloquear. * -view

E, removendo a opção -view, você também pode desbloqueá-las (todas elas ou um usuário por vez). As ferramentas do Joe são super confiáveis para mim e também são muito rápidas.

    

Answer 4

Tive muito sucesso ao usar a "Consulta salva" a seguir no snap-in do AD.

(&(&(&(&(&(&(&(objectCategory=person)(objectClass=user)(lockoutTime:1.2.840.113556.1.4.804:=4294967295))))))))

Para adicionar essa consulta, abra o AD MMC, clique com o botão direito do mouse em "Saved Queries", selecione "New", "Query", clique em "Define Query", sob o menu suspenso selecione "Custom Search" e depois "Avançado". Copie e cole a consulta acima. Agora você deve poder desbloquear os usos bloqueados diretamente da consulta que acabou de criar.

Você pode encontrar isso e muito mais neste wikipage technet.

    

Answer 5

No PowerShell: search-adaccount -lockedout | ft name, samaccountname

NB: Requer que o módulo AD do PowerShell seja instalado: link

Mais informações sobre search-adaccount aqui: link

... e aqui: link