2 formas sencillas de encontrar todas las cuentas de usuario bloqueadas en Active Directory
Hoy les mostraré 2 formas sencillas de encontrar todas las cuentas de usuario bloqueadas en Active Directory. Cuando se tiene una gran base de datos de Active Directory con cientos o miles de usuarios, puede ser un desafío buscar cuentas bloqueadas.
Estos métodos también pueden resultar útiles para auditar y monitorear cuentas de Active Directory.
¿Tiene cuentas de usuario que se bloquean repetidamente? ¿Necesita ayuda para localizar el origen de los bloqueos de cuentas? En esta guía, le mostraré una manera realmente sencilla de mostrar esas cuentas.
Desbloquear y restablecer cuentas de usuario es una de las principales solicitudes con las que se enfrenta el servicio de asistencia técnica a diario. Es común que el servicio de asistencia técnica abra Usuarios y computadoras de Active Directory, busque la cuenta bloqueada y luego vaya a la pestaña de la cuenta para ver si están bloqueadas.
Te mostraré dos métodos que son 10 veces más rápidos.
Le proporcioné los pasos de este artículo al personal del servicio de asistencia técnica de mi empresa y quedaron encantados con lo rápido que es ayudar a los usuarios finales.
Como administrador de redes y sistemas, también utilizo estos métodos para auditar el uso de la cuenta. Si veo que se bloquea un número inusual de usuarios, es posible que esté sucediendo algo sospechoso.
Cómo comprobar si la cuenta AD está bloqueada
En este ejemplo, usaré Powershell para bloquear todas las cuentas de AD.
Paso 1. Abra PowerShell
Deberá tener instaladas las herramientas RSAT o abrir PowerShell desde un controlador de dominio.
Paso 2. Utilice el cmdlet Search-ADAccount
Utilice el siguiente comando para enumerar todas las cuentas de usuario bloqueadas.
Search-ADAccount -LockedOutSi alguna cuenta está bloqueada, obtendrá una lista como la siguiente.
Puede ver que esto muestra algunos detalles útiles como la fecha del último inicio de sesión, si la contraseña ha caducado y el nombre principal de usuario.
Este es un comando útil, pero es posible que el servicio de asistencia técnica no quiera usar PowerShell o no tenga experiencia con herramientas de línea de comandos. Es por eso que creé una herramienta GUI fácil de usar para encontrar usuarios bloqueados y desbloquearlos rápidamente.
Cómo comprobar si la cuenta AD está bloqueada usando AD Pro Toolkit
Abra el kit de herramientas y seleccione "Desbloqueo de usuario" de la lista de herramientas.
A continuación, haga clic en el botón Ejecutar para comprobar si hay cuentas bloqueadas. Si hay cuentas bloqueadas, se mostrarán en el área de resultados.
El kit de herramientas mostrará el nombre de usuario, la hora de bloqueo, la última contraseña configurada, el nombre del principio de usuario y el nombre distinguido de todos los usuarios bloqueados.
Puede optar por desbloquear o restablecer la contraseña de cada cuenta.
Para desbloquear la cuenta, seleccione una o varias cuentas y haga clic en el botón "Desbloquear".
También hay una opción para restablecer la contraseña. Esto supone realmente un gran ahorro de tiempo para el servicio de asistencia técnica.
Como puede ver, el kit de herramientas hace que sea muy fácil verificar cuentas de usuario bloqueadas y desbloquear o restablecer contraseñas.
¿Cómo encuentro la fuente de bloqueo?
La fuente de los bloqueos de cuentas se registra en los controladores de dominio; buscar esos registros puede resultar difícil y llevar mucho tiempo. Agregué una opción en AD PRo Toolkit para buscar rápidamente los registros y mostrar los relacionados con intentos de autenticación incorrectos y bloqueos.
Seleccione "Solucionar problemas de bloqueos" y haga clic en ejecutar.
Esto mostrará los ID de evento de bloqueo 4740 y 4771 para fallas de autenticación de Kerberos. Puede ver en la captura de pantalla a continuación que el usuario "Claire.Stell" había bloqueado la cuenta de la PC1.
Esto requiere permiso para los registros de sus controladores de dominio. Puede delegar estos permisos al personal del servicio de asistencia técnica otorgándoles incluso derechos de lectura de registros; también debe tener activada la auditoría.
Puedes descargar una prueba gratuita de la herramienta de desbloqueo de usuarios y probarla en tu dominio.
Si necesita ayuda para activar los registros de auditoría, consulte la guía del administrador de la herramienta.
Resumen
En esta guía, le mostré dos opciones sobre cómo encontrar cuentas de usuario bloqueadas en Active Directory. El cmdlet PowerShell Search-ADAccount es una forma muy sencilla de mostrar todos los usuarios bloqueados en su dominio. Si desea una alternativa a PowerShell y algo que tenga más opciones, consulte AD Pro Toolkit. El kit de herramientas GUI es muy fácil de usar y no requiere experiencia en PowerShell.
Si tiene comentarios o preguntas, hágamelo saber. Estaré encantado de responderlas a continuación.
Relacionado: Buscar cuentas de usuario con contraseñas configuradas para no caducar nunca