查找 Active Directory 中所有锁定用户帐户的 2 种简单方法

今天，我将向您展示两种简单的方法来查找 Active Directory 中所有锁定的用户帐户。当您拥有包含数百或数千用户的大型 Active Directory 数据库时，寻找锁定的帐户可能是一项挑战。

这些方法对于审核和监视 Active Directory 帐户也很有用。

您是否有反复锁定的用户帐户？需要帮助追踪帐户锁定的根源吗？在本指南中，我将向您展示一种非常简单的方法来显示这些帐户。

解锁和重置用户帐户是帮助台每天处理的首要请求之一。帮助台通常会打开 Active Directory 用户和计算机，搜索锁定的帐户，然后转到帐户选项卡查看它们是否被锁定。

我将向您展示两种速度快 10 倍的方法。

我已向公司的帮助台工作人员提供了本文中的步骤，他们对帮助最终用户的速度如此之快感到非常兴奋。

作为网络和系统管理员，我也使用这些方法来审核帐户使用情况。如果我发现异常数量的用户被锁定，则可能发生了可疑的情况。

如何检查AD帐户是否被锁定

在此示例中，我将使用 Powershell 获取所有锁定的 AD 帐户。

步骤 1. 打开 PowerShell

您需要安装 RSAT 工具或从域控制器打开 PowerShell。

步骤 2. 使用 Search-ADAccount cmdlet

使用以下命令列出所有锁定的用户帐户。

Search-ADAccount -LockedOut

如果任何帐户被锁定，您将得到如下列表。

您可以看到这显示了一些有用的详细信息，例如上次登录日期、密码是否过期以及 UserPrincipalName。

这是一个有用的命令，但帮助台可能不想使用 PowerShell 或没有命令行工具的经验。这就是为什么我创建了一个易于使用的 GUI 工具来查找锁定的用户并快速解锁他们。

如何使用 AD Pro Toolkit 检查 AD 帐户是否被锁定

打开工具包并从工具列表中选择“用户解锁”。

接下来，单击运行按钮检查是否有任何锁定的帐户。如果有锁定的帐户，它们将显示在结果区域中。

该工具包将显示所有锁定用户的用户名、锁定时间、上次设置的密码、UserPrincipleName 和 DistinguishedName。

您可以选择解锁或重置每个帐户的密码。

要解锁帐户，请选择一个或多个帐户，然后单击“解锁”按钮。

还有一个密码重置选项。这确实为帮助台节省了大量时间。

正如您所看到的，该工具包可以非常轻松地检查锁定的用户帐户以及解锁或重置密码。

如何找到锁定源？

帐户锁定的来源记录在域控制器上，搜索这些日志可能很困难且耗时。我在 AD PRO Toolkit 中添加了一个选项来快速搜索日志并显示与错误的身份验证尝试和锁定相关的日志。

选择“锁定故障排除”并单击“运行”。

这将显示 Kerberos 身份验证失败的锁定事件 ID 4740 和 4771。您可以在下面的屏幕截图中看到用户“Claire.Stell”已锁定 PC1 上的帐户。

这确实需要域控制器上的日志权限。您可以将这些权限委托给服务台工作人员，甚至授予他们日志阅读器权限，您还需要打开审核。

您可以下载用户解锁工具的免费试用版并在您的域中试用。

如果您需要有关打开审核日志的帮助，请查看该工具的管理员指南。

概括

在本指南中，我向您展示了如何在 Active Directory 中查找锁定的用户帐户的两个选项。 PowerShell Search-ADAccount cmdlet 是显示域中所有锁定用户的非常简单的方法。如果您想要 PowerShell 的替代方案以及具有更多选项的工具，请查看 AD Pro Toolkit。 GUI 工具包非常用户友好，不需要 PowerShell 经验。

如果您有意见或问题，请告诉我，我很乐意在下面回答。

相关：查找密码设置为永不过期的用户帐户