Configurar la política de bloqueo de cuentas en Active Directory
En este artículo, aprenderá cómo configurar la política de bloqueo de cuentas en Active Directory. Exploraremos las opciones disponibles para la política de bloqueo de cuentas de Active Directory y aprenderemos cómo configurarlas.
Una política de bloqueo de cuentas de Active Directory es una política de seguridad que permite a los administradores determinar cuándo y durante cuánto tiempo se debe bloquear una cuenta de usuario.
Dentro de una organización, algunos empleados pueden intentar iniciar sesión en la cuenta de otro usuario probando contraseñas diferentes. La intención es obtener acceso a la cuenta y la información de otros usuarios. La política de bloqueo de cuentas es una buena manera de evitar el acceso no autorizado a la computadora en el entorno de Active Directory.
En resumen, el acceso no autorizado a una computadora se puede evitar con la ayuda de la política de bloqueo de cuentas del directorio activo. Un intruso no podrá ingresar al sistema adivinando la contraseña y gracias a la función de bloqueo. En este artículo, le mostraremos cómo configurar y administrar políticas de bloqueo de cuentas en el dominio de Active Directory.
Antes de seguir leyendo, aquí hay algunas publicaciones útiles sobre Active Directory:
- Restablecer la contraseña del administrador de DSRM mediante Ntdsutil
- Encuentre la hora del último inicio de sesión del usuario utilizando 4 métodos sencillos
- Cómo desbloquear cuentas de usuario con PowerShell
- Permitir que el usuario del dominio agregue una computadora al dominio
- Creación de políticas de contraseña detalladas
- Cómo habilitar la papelera de reciclaje de Active Directory
Cómo configurar la política de bloqueo de cuentas en Active Directory
Ahora veremos los pasos para configurar la política de bloqueo de cuentas en Active Directory. Para acceder a la configuración de la política de bloqueo de cuenta, realice los siguientes pasos. Inicie sesión en Windows Server instalado con las herramientas de administración de políticas de grupo. Inicie el Administrador del servidor y haga clic en Herramientas > Administración de políticas de grupo.
En la consola de administración de políticas de grupo, expanda su dominio, haga clic derecho en Política de dominio predeterminada y seleccione Editar. Si desea utilizar una política personalizada para configurar el bloqueo de cuentas, puede crear un nuevo GPO y vincularlo a su dominio.
En el Editor de políticas de grupo, vaya a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Políticas de cuenta .
Seleccione Política de bloqueo de cuenta y encontrará tres opciones de política de bloqueo de cuenta disponibles en Active Directory.
- Duración del bloqueo de cuenta
- Umbral de bloqueo de cuenta
- Restablecer el contador de bloqueo de cuenta después
En la siguiente sección, veremos en detalle cada una de las configuraciones de bloqueo de cuentas.
Configurar la duración del bloqueo de la cuenta
La configuración de seguridad de Duración del bloqueo de cuenta determina la cantidad total de minutos que una cuenta bloqueada permanece bloqueada antes de desbloquearse automáticamente. El rango de duración del bloqueo es de 0 minutos a 99,999 minutos.
Si establece la duración del bloqueo de la cuenta en 0, la cuenta se bloqueará hasta que un administrador la desbloquee explícitamente. Si se define un umbral de bloqueo de cuenta, la duración del bloqueo de la cuenta debe ser mayor o igual al tiempo de reinicio.
El valor predeterminado para esta configuración de política es 30 minutos y mantendremos este valor tal como está.
Cuando establece la duración del bloqueo de la cuenta en 30 minutos, la configuración cambiará para otras dos políticas. El umbral de bloqueo de cuenta y el reinicio del contador de bloqueo de cuenta después tendrán nuevos valores establecidos automáticamente.
Configurar el umbral de bloqueo de cuenta
La configuración de seguridad del umbral de bloqueo de cuenta determina la cantidad de intentos fallidos de inicio de sesión que provocan que se bloquee una cuenta de usuario. Una cuenta bloqueada no se puede utilizar hasta que un administrador la restablezca o hasta que haya expirado la duración del bloqueo de la cuenta.
Puede establecer un valor de umbral de bloqueo de cuenta entre 0 y 999 intentos fallidos de inicio de sesión. Si establece el valor en 0, la cuenta nunca se bloqueará. Los intentos fallidos de contraseña contra estaciones de trabajo o servidores miembro que han sido bloqueados usando CTRL+ALT+DELETE o protectores de pantalla protegidos con contraseña cuentan como inicio de sesión fallido. intentos.
Habilitar Defina esta configuración de política y configure el valor para intentos de inicio de sesión no válidos. En el siguiente ejemplo, el umbral de bloqueo de cuenta se establece en 5 intentos de inicio de sesión no válidos.
Configurar Restablecer contador de bloqueo de cuenta después
El restablecimiento del contador de bloqueo de cuenta después de la configuración de seguridad determina la cantidad de minutos que deben transcurrir después de un intento fallido de inicio de sesión antes de que el contador de intentos fallidos de inicio de sesión se restablezca a 0 intentos fallidos de inicio de sesión.
El rango disponible es de 1 minuto a 99.999 minutos. Si se define un umbral de bloqueo de cuenta, este tiempo de reinicio debe ser menor o igual a la duración del bloqueo de cuenta.
Haga clic en Definir esta configuración de política y configure el valor para restablecer el contador de bloqueo de cuenta después. En el siguiente ejemplo, el valor se establece en 30 minutos.
Después de configurar la política de bloqueo de cuentas en Active Directory, cierre la consola de administración de políticas de grupo. Debe esperar a que se aplique la configuración de política a los equipos cliente. El intervalo de actualización de la política de grupo predeterminado es de 90 minutos; sin embargo, aquí está la guía para modificar el intervalo de actualización de la política de grupo para computadoras con Windows.
En las computadoras cliente, si desea actualizar la configuración de la política de grupo lo antes posible, inicie el símbolo del sistema como administrador y ejecute el comando gpupdate /force.
Ver la configuración de la política de bloqueo de cuenta mediante PowerShell
En un controlador de dominio, puede ver la configuración de la política de bloqueo de cuentas ejecutando un simple comando de PowerShell. Esto facilita encontrar la configuración de la política de bloqueo sin tener que editar la política de grupo.
Para ver la configuración de la política de bloqueo de cuentas de Active Directory usando PowerShell, inicie PowerShell como administrador y ejecute el siguiente comando.
Get-ADDefaultDomainPasswordPolicy| select LockoutDuration, LockoutObservationWindow, LockoutThreshold
Verifique la configuración de la política de bloqueo de cuenta usando RSOP
Si un administrador del sistema anterior configuró la política de bloqueo de cuentas para su organización, puede conocer la configuración de la Política de bloqueo de cuentas verificando el Conjunto resultante de políticas en la computadora.
La herramienta Conjunto resultante de políticas le permite descubrir qué configuraciones de políticas se aplican a las computadoras locales y remotas. Inicie sesión en una computadora cliente y ejecute el comando rsop.msc.
En la consola Conjunto resultante de políticas, vaya a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Políticas de cuenta > Política de bloqueo de cuenta. En el panel derecho, puede ver los valores de duración del bloqueo de cuenta, umbral y restablecer el contador de bloqueo de cuenta después de la configuración.
Mejores prácticas para configurar la política de bloqueo de cuentas de Active Directory
Cuando se le solicita que configure la política de bloqueo de cuentas en Active Directory para su organización, debe hacerlo con sumo cuidado. Idealmente, el valor de cada política debería definirse para lograr un buen equilibrio entre seguridad y conveniencia. Estos son los valores que podría seguir:
- Valor de umbral de bloqueo de cuenta establecido en 20.
- Valor de duración del bloqueo de cuenta establecido en 15 minutos.
- Política de contraseñas para exigir que todos los usuarios tengan al menos 8 caracteres.
- Restablezca el contador de bloqueo de cuenta después de que el valor se establezca en 30 minutos.
Política de bloqueo de cuentas de prueba para usuarios
Una vez que haya aplicado con éxito la política de bloqueo de cuenta, es hora de probar si esta política funciona en su organización. Si el GPO se aplica a todo el dominio, elija una computadora cliente e intente ingresar la contraseña incorrecta varias veces hasta que se bloquee la cuenta.
Cuando la cuenta esté bloqueada, verá el siguiente mensaje: La cuenta a la que se hace referencia está actualmente bloqueada y no se puede iniciar sesión. Esto confirma que la política de bloqueo de cuentas de Active Directory que aplicó está funcionando.
Para desbloquear la cuenta de usuario, puede usar la consola Usuarios y equipos de Active Directory o un comando de PowerShell. Abra Usuarios y equipos de Active Directory. Haga clic derecho en el Usuario cuya cuenta debe desbloquearse y seleccione Propiedades en el menú contextual. En la ventana Propiedades, haga clic en la pestaña Cuenta. Seleccione la casilla de verificación Desbloquear cuenta y guarde los cambios.
