トップ回答者
ADアカウントが頻繁にロックアウトして困っています

質問
-
いつもお世話になっております。
昨今のテレワーク対応で、急場をしのぐため、使用中のPCを持ち出して、自宅から接続を行う運用を始めています。
環境としては、自宅のWi-Fiを使い、インターネット接続し、VPNを経由して、社内ネットワークに入り、AD認証を行ってファイルサーバーへアクセスすることを考えています。VPN経由のアドレスからアクセスした場合にのみ、ファイルサーバーのポートを開けています。
この状態で、ケーブルを外した状態で、キャッシュを使ってログオン、Wi-Fiに接続し、VPNに接続した後、ファイルサーバーの共有ドライブにアクセスします。
ネットワークドライブZ に \\192.168.1.200\honsha というようにドライブを割り当てた後、ファイルサーバーに対して、AD認証を行うと、正常にドライブの割り当てができました。
これでOKと思っておりましたところ、一度、電源をOffにし、パソコンを起動してADに認証を行い、Wi-Fi接続、VPN接続がされていることを確認した後、ネットワークドライブにアクセスしようとしたところ、AD認証を求めるので、IDとパスワードを入れたところ、
「参照されたアカウントは現在ロックアウトされているため、ログオンできない可能性があります」
のメッセージが出てしまいます。AD側でロックアウトを解除しても、一度リトライするだけですぐにロックアウトが掛かります。
このため、一度はログインできたものの、アクセスできない状態に陥っていますが、原因や解決策がありましたら、教えて頂けないでしょうか?
環境は以下の通りです。
AD及びファイルサーバー Windows2012
PC Windows10 Profssional
回答
-
私は思い当たる原因が無いので他の方からのアドバイスが無ければですが、取り合えず以下を参考にして、ロックアウトがの原因が持ち出しているPCからのアクセスなのかや、監査ログから何が原因 (例:誤ったパスワードを使用して認証) かの事実関係を確認された方が良いかと思います。
アカウント ロックアウトトラブルシューティング (第一回) - アカウント ロックアウトの仕組みと主な要因
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-1
アカウント ロックアウトトラブルシューティング (第二回) - アカウント ロックアウトの調査方法
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-2
アカウント ロックアウトトラブルシューティング (第三回) - アカウント ロックアウトの調査に役立つツール
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-3
その上で、疑わしい設定・動作・アプリケーションを取り除いて切り分けていき、被疑箇所について設定を見直すとか、詳細に調査するのが良いと思います。
- 回答の候補に設定 flingminMicrosoft contingent staff, Moderator 2020年4月29日 9:20
- 回答としてマーク kumo-msftMicrosoft contingent staff, Moderator 2020年10月15日 7:20
すべての返信
-
こんにちは。フォーラムオペレーターのFanです。
フォーラムにご投稿くださいましてありがとうございます。
イベントビューアでエラーメッセージはありますか
ご存知の方おりましたら、ご意見を共有頂ければ本当に幸いです.
どうぞよろしくお願いいたします。
FanPlease remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
-
私は思い当たる原因が無いので他の方からのアドバイスが無ければですが、取り合えず以下を参考にして、ロックアウトがの原因が持ち出しているPCからのアクセスなのかや、監査ログから何が原因 (例:誤ったパスワードを使用して認証) かの事実関係を確認された方が良いかと思います。
アカウント ロックアウトトラブルシューティング (第一回) - アカウント ロックアウトの仕組みと主な要因
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-1
アカウント ロックアウトトラブルシューティング (第二回) - アカウント ロックアウトの調査方法
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-2
アカウント ロックアウトトラブルシューティング (第三回) - アカウント ロックアウトの調査に役立つツール
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/account-lockout-3
その上で、疑わしい設定・動作・アプリケーションを取り除いて切り分けていき、被疑箇所について設定を見直すとか、詳細に調査するのが良いと思います。
- 回答の候補に設定 flingminMicrosoft contingent staff, Moderator 2020年4月29日 9:20
- 回答としてマーク kumo-msftMicrosoft contingent staff, Moderator 2020年10月15日 7:20
-
チャブーンです。
この件ですが、私個人としてはLapivyさんの回答を支持します。こういった問題は「トラブルシュート」を行って、「調べる」必要があります。状況だけ説明すれば、中身を見なくても詳しい人ならすぐわかる...ということはまずありません。調べることを省略・スキップしたいのであれば、MS有償サポートに依頼してください。調べなくても問題が解決する、のではなく、質問者さんに代わってMSエンジニアが調べてくれる、という意味になります。
調べる場合、Lapivyさんの提示したページの「調べ方」に添って行うと、問題点が明らかになってくると思いますので、やってみてわからない点を追加で質問するとよいのではないでしょうか。
何が何でもうえのやり方に従いたくない、という場合も、ロックアウトが発生した時間前後の「システムログ」「セキュリティログ」を確認する必要があります。うえの資料のようなガイドラインがないので、この場合自力である程度の読解を行う必要があります。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
-
Lapivyさん コメントありがとうございます。
ロックアウトに関して、ここに挙げて頂いた内容には相当しないと思われますので、
監査ログの設定をしてみましたが、セキュリティログに何も情報が出てこないので調べているうちに、急を要していたため、別の方法(専用端末からリモートデスクトップにより対象PCへログインした後にそのユーザーの権限で共有フォルダにアクセス)で行ったところ、問題なくアクセスできたので、そのまま使用しているうちにテレワーク期間が終わってしまいました。
監査ログの設定とログの見方がよく判っていないため、今となっては再現できません。
どうもお世話がせしました。
-
チャブーンさん コメントありがとうございました。
前述の通り、別の方法(リモートデスクトップからのファイルサーバー参照)ではこうした問題は起こらず正常に使えましたので、短期のテレワークだったのですが、なんとか回すことはできました。
ただ、この方法ですと専用の端末を余分に用意する必要があるため、できれば個別のPCだけでアクセスする環境を作りたいとは思っています。Lapivyさんのご指摘のページを拝見しながら原因を追究したいとは思っていますが、
その前に、基本的なことをお聞きしたいのですが、監査ログのポリシーを設定するのは、ドメインサーバー上でオブジェクトアクセスの監査を「する」と指定すればよいのでしょうか?何も表示されてこなかったのですが、これは対象となるファイルサーバー上で指定する必要があったのでしょうか?
ちなみに、ドメインサーバー上ではアカウント管理の監査、ディレクトリサービスのアクセスの監査、は設定済みでした。