4 votes

Devrais-je être en mesure de me connecter à un compte Active Directory verrouillé en désactivant la connectivité Internet ?

Mon compte Active Directory vient d'être verrouillé. Sur un coup de tête, j'ai débranché le cordon ethernet et éteint le commutateur radio wifi et j'ai pu me connecter à mon compte. J'ai rebranché le câble Ethernet et j'ai essayé de me connecter par RDP à un autre ordinateur du réseau et j'ai reçu le message "votre compte est verrouillé". J'ai donc verrouillé ma session active de bureau par ctrl+alt+del et j'ai essayé de me connecter. J'ai de nouveau obtenu le message "votre compte est verrouillé". J'ai ensuite débranché le cordon Ethernet et j'ai pu me connecter à ma session.

Est-ce la conception prévue d'Active Directory ?

3 votes

Je suis surpris qu'aucune des réponses n'indique qu'il existe des moyens de désactiver ce comportement si vous le souhaitez.

9voto

joeqwerty Points 106914

Oui. Avec la connectivité réseau, vous tenterez de vous connecter au domaine et échouerez parce que votre compte est verrouillé. Sans connectivité réseau, vous vous connecterez à votre ordinateur avec des informations d'identification mises en cache.

C'est à dessein.

0 votes

+1 pour m'avoir devancé... réponse simple et directe, j'aime bien...

2 votes

Même si la dernière fois que j'ai essayé de m'authentifier avec une connexion réseau active, la réponse a été "votre compte est bloqué" ?

0 votes

@qntmfred Oui, c'est exactement comme ça que ça marche.

4voto

Brad Bouchard Points 2487

Pour compléter la réponse de joeqwerty, cela a été conçu pour les personnes qui peuvent voyager ou être éloignées du domaine sans aucun accès, que ce soit par VPN ou autre, au domaine local. C'est également conçu pour plusieurs autres raisons, mais vos informations d'identification sont mises en cache et utilisées dans ce cas. Lorsque vous débranchez votre câble Ethernet, vous avez probablement remarqué que la connexion prend beaucoup plus de temps car elle essaie d'abord d'atteindre un DC, trois fois en fait. Une fois qu'il n'a pas réussi à atteindre un DC, il se connecte avec les informations d'identification mises en cache.

Un autre point à noter qui pourrait être utile est qu'il mettra en cache les deux dernières séries d'informations d'identification, c'est-à-dire vous et un autre compte AD.

1 votes

Par défaut, les dix dernières informations d'identification utilisées sont mises en cache, et non deux (CachedLogonsCount) - blogs.technet.com/b/instan/archive/2011/12/06/

0 votes

Merci pour la correction... Il se peut que je me sois basé sur une GPO que nous avions définie sur nos machines locales au bureau et qui était réglée sur 2, et j'ai en quelque sorte mis cela dans ma tête comme étant la valeur par défaut...

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X