2003 & R2 2008 & R2 2012 & R2 2016

Account Lockout Tools, el trobuleshoting para el bloqueo de cuentas

ByRoberto Di Lello

May 20, 2016 Active Directory Domain Services (AD DS), Tools

Hace un tiempo escribi sobre como hacer el troubleshoting the las cuentas de active directory que se bloqueaban. Hoy vamos a volver a hablar del tema de las herramientas â€œAccoutn Lockout Toolsâ€,

DespuÃ©s de determinar el patrÃ³n de los bloqueos de cuentas y reducir su Ã¡mbito de aplicaciÃ³n a un equipo cliente o servidor miembro especÃfico, usted debe reunir informaciÃ³n detallada acerca de todos los programas y servicios que se estÃ¡n ejecutando en ese equipo. Parte de la informaciÃ³n que se debe obtener incluye:

unidades de red mapeadas
Logon scripts que se asignan las unidades de red
RunAs shortcuts
Las cuentas que se utilizan para los inicios de sesiÃ³n de cuenta de servicio
Procesos en los equipos cliente
Programas que pueden pasar credenciales de usuario para un programa de red centralizada o capa de aplicaciÃ³n de nivel medio

Las secciones siguientes se describen las herramientas que puede utilizar para ayudarle a recopilar informaciÃ³n desde el entorno de red.

La herramienta LockoutStatus.exe

El LockoutStatus.exe muestra informaciÃ³n sobre una cuenta bloqueada. Esto se hace mediante la recopilaciÃ³n de informaciÃ³n de la cuenta-bloqueo especÃfico de Active Directory. La siguiente lista describe las diferentes informaciones que se muestra por la herramienta:

DC Name: Muestra todos los controladores de dominio que estÃ¡n en el dominio.
Site: Muestra los sitios en los que residen los controladores de dominio.
UserState: Muestra el estado del usuario y si ese usuario estÃ¡ bloqueado de su cuenta.
Bad Pwd Count: Muestra el nÃºmero de intentos de inicio de sesiÃ³n de cada controlador de dominio. Este valor confirma los controladores .dominio que estuvieron involucrados en el bloqueo de la cuenta.
Last Bad Pwd: Muestra la hora del Ãºltimo intento de inicio de sesiÃ³n que utiliza una contraseÃ±a incorrecta.
Pwd Last Set: Muestra el valor de la Ãºltima buena contraseÃ±a o cuando el equipo era Ãºltimo desbloqueado.
Lockout Time: Muestra el momento en que la cuenta se bloqueÃ³.
Orig Lock: Muestra el controlador de dominio que cerrÃ³ la cuenta (el controlador de dominio que hizo la escritura original al atributo lockoutTime para ese usuario).

Donde obtener la herramienta LockoutStatus.exe

LockoutStatus.exe se incluye en el paquete de ALTools.exe que estÃ¡ disponible en el "Account Lockout and Management Tools" en el sitio web de Microsoft: https://www.microsoft.com/en-us/download/details.aspx?id=18465

CÃ³mo instalar la herramienta LockoutStatus.exe

Para instalar la herramienta LockoutStatus.exe, instale el paquete de ALTools en el controlador de dominio.

CÃ³mo utilizar la herramienta LockoutStatus.exe

Para ejecutar la herramienta LockoutStatus.exey muestran informaciÃ³n sobre una cuenta de usuario bloqueada:

Double-click LockoutStatus.exe
En el menÃº Archivo, haga clic en Seleccionar destino.
Escriba el nombre de usuario cuyo estado de bloqueo en controladores de dominio de la empresa que desea obtener informaciÃ³n.

La siguiente figura muestra un ejemplo en el que dos controladores de dominio tienen un valor badPwdCount de 5, que es tambiÃ©n el umbral de contraseÃ±a incorrecta. Un controlador de dominio es el maestro de operaciones de PDC, y el otro controlador de dominio es el controlador de dominio de autenticaciÃ³n. Estos dos controladores de dominio se muestran debido encadenamiento contraseÃ±a desde el controlador de dominio de autenticaciÃ³n al PDC.

Figura 2: La herramienta LockoutStatus.exe

La herramienta ALockout.dll

La herramienta ALockout.dll y la secuencia de comandos Appinit.reg se incluyen en el paquete de ALTools. ALockout.dll es una herramienta de registro que puede ayudar a determinar el programa o proceso que estÃ¡ enviando las credenciales incorrectas en un escenario de bloqueo de cuentas. La herramienta se une a una variedad de llamadas de funciÃ³n que un proceso puede utilizar para la autenticaciÃ³n. Luego, la herramienta guarda la informaciÃ³n sobre el programa o proceso que se estÃ¡ haciendo esas llamadas en el archivo SystemRoot \ Debug \ Alockout.txt. Los eventos son una marca de tiempo para que pueda relacionarlos con los eventos que se registran en cualquiera de los archivos de registro de sesiÃ³n de red o los archivos de registro de sucesos de seguridad.

Puede utilizar Appinit.reg para inicializar el archivo .dll. Este archivo proporciona ninguna otra funcionalidad.

Nota: Microsoft no recomienda que utilice esta herramienta en servidores que hostean programas o servicios. No debe habilitar ALockout.dll en servidores de Exchange porque la herramienta ALockout.dll puede evitar que el almacÃ©n de Exchange se inicie.

Importante: Antes de instalar la herramienta ALockout.dll en cualquier ordenador de misiÃ³n crÃtica, hacer una copia de seguridad completa del sistema operativo y de los datos importantes.

Para obtener mÃ¡s informaciÃ³n, consulte "Errores al instalar Exchange Server con CleanSweep" en el Microsoft Knowledge Base .

En la mayorÃa de los escenarios de bloqueo de cuentas, se deberÃa instalar ALockout.dll en los equipos cliente. Utilice la informaciÃ³n que se almacena en el archivo de registro de sesiÃ³n de red y el registro de eventos de seguridad para determinar los equipos de los que estÃ¡n siendo enviadas las credenciales incorrectas que estÃ¡n bloqueando la cuenta del usuario. Al instalar la herramienta ALockout.dll en el equipo cliente que estÃ¡ enviando las credenciales incorrectas, la herramienta registra el proceso que estÃ¡ enviando las credenciales incorrectas.

Donde de obtener la herramienta ALockout.dll

se incluye en el paquete de ALTools.exe que estÃ¡ disponible en el "Account Lockout and Management Tools" en el sitio web de Microsoft: https://www.microsoft.com/en-us/download/details.aspx?id=18465

CÃ³mo instalar la herramienta ALockout.dll

Hay dos versiones del archivo ALockout.dll. Una versiÃ³n del archivo es para equipos que ejecutan un sistema operativo Windows 2000, y la otra versiÃ³n del archivo es para equipos que ejecutan un sistema operativo Windows XP. Ver el archivo Readme.txt que se incluye en el paquete de ALTools.

Para instalar ALockout.dll

En el equipo que ha generado mensajes de error de bloqueo de cuentas en el registro de sucesos de seguridad, copiar los archivos tanto ALockout.dll y Appinit.reg a la carpeta \ system32.
Haga doble clic en el archivo Appinit.reg para ejecutar el script. Al hacer esto, el archivo ALockout.dll se ha registrado y se comience a proporcionar informaciÃ³n.
Reinicie el equipo para completar la instalaciÃ³n.

CÃ³mo quitar la herramienta ALockout

Para eliminar el archivo desde el ordenador ALockout.dll

En un sÃmbolo del sistema, escriba regsvr32 / u ALockout.dll.
Elimine el valor ALockout.dll que se encuentra bajo la siguiente clave del registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\ Windows AppInit_DLLs
DespuÃ©s de eliminar el valor ALockout.dll, la clave de registro AppInit_DLLs estÃ¡ en blanco.
Reinicie el equipo.
Eliminar el archivo ALockout.dll de la carpeta / System32 SystemRoot.

CÃ³mo utilizar la herramienta ALockout.dll

Se debe utilizar la herramienta con ALockout.dll de sesiÃ³n de registro y auditorÃa de seguridad. Para utilizar la herramienta ALockout.dll:

Wait for an account to lock out on the computer. Espere a que una cuenta de bloquear en el equipo.
When an account is locked out, the ALockout.txt file is created in the Systemroot \Debug folder. Cuando una cuenta estÃ¡ bloqueada, el archivo ALockout.txt se crea en la carpeta SystemRoot \ depuraciÃ³n.
ComparaciÃ³n de las marcas de tiempo evento en ALockout.txt con las marcas de tiempo, tanto en los archivos de registro de sesiÃ³n de red y los archivos de registro de sucesos de seguridad. Al hacer esto, se puede determinar el proceso que estÃ¡ causando los bloqueos.

Puede utilizar la herramienta ALockout.dll si ya ha configurado el registro de sesiÃ³n de red, asÃ como Kerberos y la auditorÃa de inicio de sesiÃ³n en el equipo local. ALockout.dll no interfiere con cualquier otro registro o evento generaciÃ³n.

La herramienta ALoInfo.exe

Si bloqueos de cuentas parecen ocurrir con mayor frecuencia despuÃ©s de un usuario se ve obligado a cambiar su contraseÃ±a, es posible que desee determinar quÃ© contraseÃ±as de los usuarios estÃ¡n a punto de expirar. Puede utilizar la herramienta ALoInfo.exe para mostrar todos los nombres de cuenta de usuario y contraseÃ±a de la edad para esas cuentas de usuario. Esto le permitirÃ¡ utilizar la herramienta ALockout.dll y otras herramientas de bloqueo de cuentas para configurar las herramientas antes del bloqueo de la cuenta inicial. TambiÃ©n puede obtener una lista de todos los servicios locales y puesta en informaciÃ³n de la cuenta con la funciÃ³n ALoInfo.exe.

Nota: TambiÃ©n puede utilizar la herramienta SecDump para mostrar la informaciÃ³n de caducidad de contraseÃ±a en un dominio de Windows NT Server 4.0. Puede descargar esta herramienta desde el Microsoft Web site. Tenga en cuenta que las direcciones Web pueden cambiar, por lo que es posible que no pueda conectar con el sitio o sitios Web mencionados aquÃ.

Donde obtener la herramienta ALoInfo.exe

El archivo ALoInfo.exe se incluye en el paquete de ALTools.exe que estÃ¡ disponible en el "bloqueo de cuentas y herramientas de gestiÃ³n" en el Microsoft Web site.

CÃ³mo instalar la herramienta ALoInfo.exe

Para instalar la herramienta ALoInfo.exe, instale el paquete de ALTools en el controlador de dominio. El paquete contiene la herramienta ALTools ALoInfo.exe.

CÃ³mo utilizar la herramienta ALoInfo.exe

Puede utilizar ALoInfo.exe en un sÃmbolo del sistema con uno de los mÃ©todos siguientes:

Para mostrar una cuentas edades contraseÃ±a de un controlador de dominio, en el sÃmbolo del sistema, escriba lo siguiente: aloinfo /expires /server:Domain_Controller_Name
Para visualizar toda la informaciÃ³n de cuenta de inicio de servicio local y la informaciÃ³n de unidad asignada para un usuario que ha iniciado la sesiÃ³n, en un sÃmbolo del sistema, escriba el siguiente comando: aloinfo /stored /server:Computer_Name

Puede redirigir la salida de ALoInfo.exe a un archivo de texto y luego ordenar los resultados para determinar quÃ© usuarios pueden estar implicados en el bloqueo de la cuenta. Esta informaciÃ³n tambiÃ©n se puede almacenar para su posterior anÃ¡lisis.

La herramienta AcctInfo.dll

Puede utilizar la herramienta AcctInfo.dll aÃ±adir nuevas pÃ¡ginas de propiedades de los objetos de usuario en el complemento Usuarios y equipos de Active Directory de MMC. Puede utilizar estas pÃ¡ginas de propiedades para ayudar a aislar y solucionar problemas de bloqueos de cuentas y para restablecer una contraseÃ±a de usuarios en un controlador de dominio en el sitio local de ese usuario.

AcctInfo.dll muestra la siguiente informaciÃ³n de la cuenta de usuario que puede ser capaz de utilizar para identificar y resolver problemas de bloqueo de cuentas:

Ãšltima vez que se ha establecido la contraseÃ±a
Cuando la contraseÃ±a caducarÃ¡
Control de cuentas de usuario sin procesar Valor y Decode
Tiempo de la cuenta se bloqueÃ³
Si la cuenta estÃ¡ bloqueada ahora, cuando serÃ¡ desbloqueado
Security identifier (SID) de la cuenta, y su SIDHistory
Globally unique identifier (GUID) de la cuenta
Estas propiedades de la cuenta:

Last Logon
Last Logoff
Last Bad Logon
Logon Count
Bad Password Count

TambiÃ©n puede utilizar la herramienta AcctInfo.dll para obtener la informaciÃ³n de contraseÃ±a de dominio (espiraciÃ³n, tiempo de bloqueo, y asÃ sucesivamente). Puede escribir el nombre del equipo del usuario en la herramienta, y luego restablecer la contraseÃ±a del usuario en un controlador de dominio en el sitio de ese usuario.

Nota: Debido a la latencia de replicaciÃ³n, los controladores de dominio pueden almacenar informaciÃ³n diferente sobre la misma cuenta de usuario. AcctInfo.dll muestra informaciÃ³n que se recupera de un Ãºnico controlador de dominio.

Donde obtener la herramienta AcctInfo.dll

La herramienta AcctInfo.dll se incluye en el paquete ALTools.exe que estÃ¡ disponible en el "bloqueo de cuentas y herramientas de gestiÃ³n" en el Microsoft Web site.

CÃ³mo instalar la herramienta AcctInfo.dll

En el equipo donde desea ejecutar Active Directory Users and Computers MMC Snap-in:

Copiar el archivo AcctInfo.dll a la carpeta System32.
En un sÃmbolo del sistema, escriba regsvr32 acctinfo.dll, y presiona ENTRAR.

El archivo AcctInfo.dll se ha registrado y se muestra en la hoja de propiedades de un usuario en el complemento Usuarios y equipos de Active Directory de MMC despuÃ©s de seguir estos pasos.

Para utilizar el botÃ³n Estado de bloqueo de cuentas en la herramienta, compruebe que LockoutStatus.exe se encuentra en la carpeta \ system32. Si LockoutStatus.exe no estÃ¡ instalado en este lugar, este botÃ³n no estÃ¡ disponible.

CÃ³mo utilizar la herramienta AcctInfo.dll

Para utilizar la herramienta AcctInfo.dll, abra el complemento Usuarios y equipos de MMC activas, haga clic en un usuario, haga clic en Propiedades y, a continuaciÃ³n, haga clic en cuenta la informaciÃ³n adicional. Un ejemplo de la informaciÃ³n que es proporcionada por AcctInfo.dll se muestra en la siguiente figura.

Figura 3: Cuadro de propiedades Principal

La siguiente figura muestra la informaciÃ³n de la directiva de contraseÃ±as de dominio que puede ver para determinar la polÃtica de contraseÃ±as que se aplica al controlador de dominio.

Figura 4: PolÃtica de contraseÃ±as de dominio

Cambiar contraseÃ±a en un controlador de dominio en el sitio del usuario

La herramienta AcctInfo.dll le permite aumentar la funcionalidad de la MMC Usuarios y equipos de Active Directory mediante la adiciÃ³n de la capacidad de restablecer la contraseÃ±a de un usuario en el sitio local de ese usuario. Cuando se restablece la contraseÃ±a en el sitio remoto, a evitar los retrasos de replicaciÃ³n que pueden ocurrir antes de que el usuario inicia una sesiÃ³n.

Cuando se restablece la contraseÃ±a, tambiÃ©n se puede desbloquear la cuenta y establecer el usuario debe cambiar la contraseÃ±a de valor. Estas opciones se encuentran en el cambio de contraseÃ±a en un controlador de dominio en el cuadro Sitio de los usuarios como se muestra en la siguiente figura.

Figura 5: Cambiar contraseÃ±a en un DC En El Sitio Usuarios

CÃ³mo quitar la herramienta AcctInfo.dll

Para quitar la herramienta AcctInfo.dll, elimine el archivo AcctInfo.dll de la carpeta / System32 SystemRoot y, a continuaciÃ³n, escriba el siguiente comando en un sÃmbolo del sistema:

regsvr32 /u acctinfo.dll

La herramienta EventCombMT.exe

Puede utilizar la herramienta EventCombMT.exe para recopilar eventos especÃficos de registros de sucesos de varios equipos diferentes en una Ãºnica ubicaciÃ³n central. Puede configurar EventCombMT.exe para buscar eventos y computadoras. Algunas categorÃas de bÃºsqueda especÃficos se construyen en la herramienta, tales como bloqueos de cuentas. Tenga en cuenta que la categorÃa de bloqueos de cuentas estÃ¡ preconfigurado para incluir eventos 529, 644, 675, 676, y 681.

Figura 6: La herramienta EventCombMT.exe

Donde obtener la herramienta EventCombMT.exe

La herramienta EventCombMT.exe se incluye en el paquete ALTools.exe que estÃ¡ disponible en el "bloqueo de cuentas y herramientas de gestiÃ³n" en el Microsoft Web site.

CÃ³mo instalar la herramienta EventCombMT.exe

No es necesario instalar esta herramienta por separado. Al instalar ALTools en el controlador de dominio, EventCombMT.exe tambiÃ©n se instala en el directorio que ha especificado durante la instalaciÃ³n.

CÃ³mo utilizar la herramienta EventCombMT.exe

Para utilizar la herramienta EventCombMT.exe, abra la carpeta que especificÃ³ durante la instalaciÃ³n de ALTools, haga doble clic en EventCombMT.exe, haga clic en el menÃº de bÃºsquedas, haga clic en la funciÃ³n Buscar y haga clic en bloqueos de cuentas. Al hacer esto, los eventos que se extraen de los registros de eventos se muestran automÃ¡ticamente en la herramienta. Estos eventos son de todos los controladores de dominio del entorno. AdemÃ¡s de 529, 644, 675, y 681, tipo 12294 en el cuadro de identificadores de evento y haga clic en Buscar. Luego, la herramienta busca en los ordenadores para estos eventos, y luego los guarda en un archivo .txt que se especifique.

La herramienta NLParse.exe

Dado que los archivos de registro de sesiÃ³n de red pueden llegar a ser mÃ¡s de 10 MB de tamaÃ±o, es posible que desee analizar los archivos de la informaciÃ³n que desea ver. Puede utilizar la herramienta NLParse.exe para analizar los archivos de registro de sesiÃ³n de red para los cÃ³digos especÃficos de estado de sesiÃ³n de red de retorno. La salida de esta herramienta se guarda en un archivo de valores separados por comas (.csv) que se puede abrir en Excel para ordenar mÃ¡s.

Nota: Los cÃ³digos de retorno que son especÃficos de los bloqueos de cuentas son 0xC000006A y 0xC0000234.

La siguiente figura muestra la interfaz de la herramienta NLParse.exe.

Figura 7: Inicio de sesiÃ³n de Parse-devuelven cÃ³digos de estado

Donde obtener la herramienta NLParse.exe

La herramienta NLParse.exe se incluye en el paquete ALTools.exe que estÃ¡ disponible en el "bloqueo de cuentas y herramientas de gestiÃ³n" en el Microsoft Web site.

CÃ³mo instalar la herramienta NLParse.exe

No es necesario instalar esta herramienta por separado; al instalar ALTools en el controlador de dominio, NLParse.exe tambiÃ©n estÃ¡ instalado.

CÃ³mo utilizar la herramienta NLParse.exe

Para utilizar la herramienta NLParse.exe, abra la carpeta que especificÃ³ durante la instalaciÃ³n de ALTools, haga doble clic en Nlparse.exe, haga clic en Abrir para abrir el archivo Netlogon.log que desea analizar, seleccione las casillas de verificaciÃ³n de los cÃ³digos de estado que se desee buscar y, a continuaciÃ³n, haga clic en Extraer. Por lo general, es posible que desee mirar a ambos los estados de cÃ³digo 0xC000006A y 0xC0000234 para determinar desde donde los cierres estÃ¡n llegando.

La herramienta Findstr.exe

TambiÃ©n puede utilizar la herramienta Findstr.exe para analizar los archivos de registro de sesiÃ³n de red. Findstr.exe es una herramienta de lÃnea de comandos que puede utilizar para analizar varios archivos Netlogon.log al mismo tiempo. DespuÃ©s de que se reÃºnen los archivos Netlogon.log de varios controladores de dominio, extraer informaciÃ³n sobre una cuenta de usuario especÃfico de los archivos (usuario1, 0xC000006A cÃ³digo de error, o error code0xC0000234). Puede utilizar esta herramienta para ayudarle a obtener la salida de un usuario, un equipo o un cÃ³digo de error en los archivos Netlogon.log.

Donde obtener la herramienta Findstr.exe

La herramienta Findstr.exe se incluye en la instalaciÃ³n predeterminada de Windows 2000, Windows XP y los sistemas operativos de la familia Windows Server 2003.No se requiere ninguna instalaciÃ³n o configuraciÃ³n adicional para la herramienta Findstr.exe.

CÃ³mo utilizar la herramienta Findstr.exe

Para utilizar la herramienta Findstr.exe, cambiar el nombre de los archivos Netlogon.log, y luego guardar los archivos en una carpeta. Para analizar todos los archivos de registro de sesiÃ³n de red, escriba el siguiente comando en el sÃmbolo del sistema:

FindStr /I User1 *netlogon* .log >c:\ user1 .txt

Las Herramientas Replmon y Repadmin

Si aÃºn no lo ha verificado la replicaciÃ³n de Active Directory en un controlador de dominio, en el sÃmbolo del sistema, escriba repadmin / o showreps replmon para verificar que la correcta replicaciÃ³n de Active Directory estÃ¡ ocurriendo. En muchos casos, es posible que se desbloquee una cuenta, pero las nuevas credenciales no trabaja. Este comportamiento se produce normalmente debido a la latencia de replicaciÃ³n. Cambiar la contraseÃ±a de los usuarios en su sitio local para evitar problemas de latencia de replicaciÃ³n.

Network Monitor monitor de red

Monitor de red es una poderosa herramienta que puede utilizar para capturar la comunicaciÃ³n en red sin filtrar.

Si el bloqueo de cuentas se debe a un proceso o programa y una cuenta ya estÃ¡ bloqueada en un equipo cliente especÃfico, se reÃºnen las trazas de red de todo el trÃ¡fico desde y hacia ese equipo cliente mientras que la cuenta sigue bloqueada. El programa o proceso muy probablemente continuarÃ¡n enviando credenciales incorrectas al tratar de acceder a los recursos que se encuentran en la red. La captura todo el trÃ¡fico desde y hacia el cliente puede ayudarle a determinar cuÃ¡l es la red de recursos del proceso estÃ¡ intentando obtener acceso a.DespuÃ©s de determinar el recurso de red, se puede determinar quÃ© programa o proceso que se estÃ¡ ejecutando en el ordenador cliente.

Si se puede limitar la bÃºsqueda a un ordenador especÃfico, pero la cuenta de usuario aÃºn no estÃ¡ bloqueado, seguir corriendo Monitor de red hasta que se produzca el bloqueo de ese usuario. DespuÃ©s de producirse el bloqueo, comparar las marcas de tiempo de los eventos cuando el en los registros de sucesos de sesiÃ³n de red o de seguridad con los datos que fueron capturados en la traza. DeberÃa ver que el recurso de red que se tiene acceso con credenciales incorrectas.

DespuÃ©s de identificar un programa o servicio como la causa del bloqueo, ver el sitio web de los fabricantes de software de resoluciÃ³n conocidos. Este comportamiento se produce normalmente debido a que el programa se estÃ¡ ejecutando con la sesiÃ³n iniciada credenciales del usuario. Si un servicio es la causa del bloqueo, considerar la creaciÃ³n de cuentas que son especÃficamente para los servicios de ejecuciÃ³n de tal forma de cuenta de usuario los cambios de contraseÃ±a no afectan a los servicios.

Mas InformaciÃ³n: Account Lockout Tools

By Roberto Di Lello

Hola, soy Roberto Di Lello trabajo como Consultor Senior en Infraestructura, especializado en Tecnologias Microsoft con mas de 25 aÃ±os en la industria. He sido galardonado como MS-MVP en Active Directory-Enterprise Mobility por 10 aÃ±os, y actualmente soy MVP Windows Insider, ademas de poseer otras certificaciones de Microsoft. He trabajado en distintos projectos que involucran Migraciones, Implementaciones, y soporte de Active Directory y Microsoft Exchange, y en los ultimos aÃ±os me he desempeÃ±ado armando equipos de trabajo para diferentes paises y areas de sistemas, he planificado a distintas migraciones a datacenters (ambiente cloud y mixtos). He tenido la oportunidad de participar como miembro del staff de Microsoft en eventos internacionales como ser TechEd NorteAmerica y MS Ignite (NA) al ser Trainer Certificado por Microsoft (MCT).

2012 & R2 2016 2019 Directory Services

8 thoughts on “Account Lockout Tools, el trobuleshoting para el bloqueo de cuentas”

Claudio dice:

2020-06-04 a las 10:42 pm

Hola Roberto, yo ando en busca de una herramienta en donde el usuario pueda desbloquear si propio usuario de active directory y poner una clave nueva. Estos usuarios no son usados para loguear s la mÃ¡quina pero si se usan Lara servicios de telefonÃa y recursos compartidos. Sabes de alguna?
Claudio dice:

2020-06-04 a las 10:43 pm

Hola Roberto, yo ando en busca de una herramienta en donde el usuario pueda desbloquear si propio usuario de active directory y poner una clave nueva. Estos usuarios no son usados para loguear s la mÃ¡quina pero si se usan Lara servicios de telefonÃa y recursos compartidos. Sabes de alguna?
Roberto Di Lello dice:

2020-06-05 a las 3:31 pm

Hola Claudio, muchas gracias por comentar. Respecto a tu pregunta, lo que necesitas es alguna tool de autogestion (selfservice portal/MDM). La mayoria son pagas, si queres algo gratis podrias ver si funciona o podes implementar algo como esto:
-> Tool to Unlock User Accounts (https://gallery.technet.microsoft.com/scriptcenter/Tool-to-Unlock-User-2a2e4342)

Igualmente te recomiendo la herramienta de autoservicio de Active Directory de Lepide (http://www.lepide.com/active-directory-self-service/) es una soluciÃ³n de autoservicio de Active Directory basada en la web que permite a los usuarios finales restablecer la contraseÃ±a, desbloquear contabilice y actualice la informaciÃ³n personal en el Active Directory de Windows directamente desde la pantalla de inicio de sesiÃ³n sin ningÃºn tipo de asistencia tÃ©cnica. Cualquier cosa si necesitas presupuesto les puedo mandar un mail.

Algunas otras podrian ser:
-> https://specopssoft.com/product/specops-ureset/
-> https://www.manageengine.com/products/self-service-password/self-service-account-unlock.html

Ahora, mi pregunta no menos importante, necesitas esto para las cuentas de servicio? no tiene mucho sentido, generalmente las claves de cuentas de servicios tienen un password fijo y se suelen cambiar mensualmente. Tambien esto generalmente no es desatendito ya que luego de cambiar el password tenes que cambiarlo tambien en los servicios asociados y verificar que los mismos funcionen. Por eso no me hace sentido tener un portal para el reseteo de las cuentas de servicio.

Te pido me ayudes a hacer mas conocido el blog y te invito a participar y mandar mensajes y proponer temas. Saludos. Roberto DL
Roberto Di Lello dice:

2020-06-05 a las 3:31 pm

Hola Claudio, muchas gracias por comentar. Respecto a tu pregunta, lo que necesitas es alguna tool de autogestion (selfservice portal/MDM). La mayoria son pagas, si queres algo gratis podrias ver si funciona o podes implementar algo como esto:
-> Tool to Unlock User Accounts (https://gallery.technet.microsoft.com/scriptcenter/Tool-to-Unlock-User-2a2e4342)

Igualmente te recomiendo la herramienta de autoservicio de Active Directory de Lepide (http://www.lepide.com/active-directory-self-service/) es una soluciÃ³n de autoservicio de Active Directory basada en la web que permite a los usuarios finales restablecer la contraseÃ±a, desbloquear contabilice y actualice la informaciÃ³n personal en el Active Directory de Windows directamente desde la pantalla de inicio de sesiÃ³n sin ningÃºn tipo de asistencia tÃ©cnica. Cualquier cosa si necesitas presupuesto les puedo mandar un mail.

Algunas otras podrian ser:
-> https://specopssoft.com/product/specops-ureset/
-> https://www.manageengine.com/products/self-service-password/self-service-account-unlock.html

Ahora, mi pregunta no menos importante, necesitas esto para las cuentas de servicio? no tiene mucho sentido, generalmente las claves de cuentas de servicios tienen un password fijo y se suelen cambiar mensualmente. Tambien esto generalmente no es desatendito ya que luego de cambiar el password tenes que cambiarlo tambien en los servicios asociados y verificar que los mismos funcionen. Por eso no me hace sentido tener un portal para el reseteo de las cuentas de servicio.

Te pido me ayudes a hacer mas conocido el blog y te invito a participar y mandar mensajes y proponer temas. Saludos. Roberto DL
Diana dice:

2020-06-15 a las 9:15 am

buenos dias,

Requiero que me indiquen como hago para desbloquear una cuenta de RED que presenta bloqueos frecuentes pero es solamente al ingresar sesiÃ³n, de lo contrario el usuario trabaja normalmente, lo que indica el personal del directorio activo es que la contraseÃ±a esta almacenada en un servidor que no es administrados por ellos por tal razÃ³n no es posible indicar donde se esta bloqueando. Se tiene la herramienta LockoutStatus, se evidencia el bloqueo, se desbloquea pero no se visualiza de donde es, por favor su ayuda.
Roberto Di Lello dice:

2020-06-29 a las 6:26 pm

Hola Diana, , muchas gracias por comentar. Respecto a tu pregunta, es raro que la gente de Directorio Activo te de esa respuesta, ya que ellos pueden ver los logs y con esta tool tambien ver en donde se esta bloqueando.

Un error comun es que en algun equipo que utilizas pusiste recordar password, y luego de unos meses al cambiar el password “esos” passwords guardados no se actualizan automaticamente, por ende en aquellos equipos donde esta el password viejo puede bloquear la cuenta. La recomendacion es ir a “Windows Credential Manager” de los equipos que utilizas con frecuencia y luego borrar o actulizar el password de tu cuenta de AD.

Muchas gracias por compartir tu experiencia, te pido me ayudes a hacer mas conocido el blog y te invito a participar y mandar mensajes y proponer temas. Saludos. Roberto DL
Aurelio dice:

2021-07-16 a las 2:14 am

Buneas noches Roberto ,
Tengo un incoveniente con la cuenta del administrador del dominio ya que se permanece bloqueada , ya he buscado los servidores y equipos que tenian las credecniales quemadas y las he eliminado sin embargo aun sigue constantemente bloqueado la cuenta de administrador del dominio , tambiÃ©n verifique si se trataba de algÃºn virus , sin embargo aun sigue de la misma manera .
Roberto Di Lello dice:

2022-03-17 a las 11:02 am

Muchas gracias Aurelio por tu comentario.
Pero te dice que equipo te esta bloqueando esa cuenta? te recomiendo obviamente no usar la cuenta administrador, sino tener un usuario definido que tenga permisos de administrador.
Te pido que me ayudes a difundir el blog! Si tienes alguna consulta, no dudes en escribirme. Saludos.