Servus zusammen

ich suche eine Möglichkeit, die gesamte Domaine nach gesperrten Benutzer abzusuchen, aber nicht nach deaktivierten.

Über Microsoft habe ich zwar eine Anleitung gefunden, wie man unter "Gespeicherte Abfragen" im AD sowas realisieren könnte, aber wie zu erwarten, funktionieren die Anleitungen von MS zu 90% nie... wie in diesem Fall!  Vielleicht habe ich aber auch was falsch gemacht?

https://learn.microsoft.com/de-de/troubleshoot/windows-server/windows-security/enumerate-locked-out-user-accounts-saved-queries

Hat jemand eine Idee oder alternative Lösung?

Das wäre Prima.

 

Vielen Dank!

Gesperrt im Sinne von "X-mal falsches Kennwort" oder im Sinne von "Account abgelaufen aber nicht komplett deaktiviert"?

Allgemein würde es helfen, innerhalb von AD die deaktivierten Objekte wenn sie nicht gelöscht werden wenigstens so in einer OU zu sammeln, dass man solche Abfragen wie oben nur gegen OUs mit (theoretisch) aktiven Objekten laufen lassen kann.

Was genau funktioniert denn nicht?

 

Guten Morgen Maniska,

sorry hatte ich vergessen zu erwähnen. Wenn möglich würden mir alle drei helfen, aber vorwiegend wäre eine Auflistung aller Konten / Benutzern sinnvoll, welche sich durch zu viele Anmeldeversuche gesperrt haben.

Auf dem Konto errscheint dann folgende Fehlermeldung:

Alle Konten / Computerobjekte etc. die diese Fehlermeldung haben, möchte ich gerne aufgelistet haben.

--------

Edit: mit ChatGPT hab ich folgendes herausgefunden:

dsquery * -filter "&(objectCategory=Person)(objectClass=User)(lockoutTime>=1)" -attr sAMAccountName lockoutTime

Damit hat es dann letzendlich geklappt

 

 

 

EDIT:  Es gibt noch den Befehl:

 

net user /domain | find "L"

 

Und er Listet mir Benutzer aus der Domain auf, die nicht gesperrt sind. Was genau macht der Befehl eigentlich?

vor 51 Minuten schrieb Squall:

https://learn.microsoft.com/de-de/troubleshoot/windows-server/windows-security/enumerate-locked-out-user-accounts-saved-queries

in dem query is eine Klammer zuviel nach dem &

statt dsquery kann man auch ganz neumodisch 

 Get-ADUser -LDAPFilter '(&(objectCategory=person)(objectClass=user)(lockoutTime>=1))'

nutzen

http://www.cjwdev.co.uk/Software/ADReportingTool/Info.html

Ein schweizer Taschenmesser für das AD-Reporting.

Vielen Dank für die Hilfe

 

PS: Das mit dem "Find "L"" kann man getrotzt ignorieren. Da hat mir der ChatGPT blödsinn erzählt.