web-dev-qa-db-ja.com

ログインに一定回数成功した後、どうすればアカウントをロックアウトできますか？

RSASecurIDサーバーおよびActiveDirectoryに対して認証されたリモートアクセスVPNがあります。

複雑な内部ポリシー上の理由から、ユーザーごとに設定されたログイン数の後にアクセスを一時停止できるように誰かがリクエストしました。

たとえば、ユーザーjohn.doeは100回ログインできますが、その後は手動で復元するまでADでアカウントが無効になります。

これを構成する方法と場所を見つけるのに苦労しています。

何か案は？

active-directoryuser-accountssecurid
5
Tom O'Connor

同時ログインの制限

申し訳ありませんが、同時ユーザーログインを制限するMicrosoftの組み込みメソッドはありません。ただし、これにはサードパーティのツールが役立ちます。 Server 2003を使用している場合（恥ずかしいことですが）、無料の LimitLogin ツールが機能する可能性があります。 2008 R2以降を使用している場合は、 serLock を参照してください。それは無料ではありませんが、あなたが必要なことをします。最後に、予算が限られている場合は、何かをスクリプト化できる可能性があります。例があります ここ 。

たとえば、ドライブをユーザーのホームディレクトリ共有にマップするWindowsログインスクリプトコンポーネントを作成できます。マッピングを作成できない場合は、エラーアウトしてログオフします。各ユーザーのホームディレクトリ共有で、接続の最大数を1に設定します。ユーザーが1回ログインすると、すべて問題ありません。ただし、これを2回実行すると、Net Useエラーレベル1が生成されます。このエラーはログインスクリプトに取り込まれ、logoffコマンドにリダイレクトして終了する可能性があります。

また、モアレスクリプトの例 ここ 、および ここ 。幸運を！

総ログイン数の制限

@JacobEvansが提案したように、同時実行ではなくログインの総数を確認している場合は、AD属性 Logon-Count を確認できます。キャッチは、すべてのDCからのLogonCountを合計する必要があるということです。 DCのカウント方法については ここ 、ログオンのカウント方法についてはここでスクリプトを組み合わせる ここ をご覧になりたいと思います。例。

Set objUser = GetObject _

    (“LDAP://atl-dc-01/cn=ken myer, ou=Finance, dc=fabrikam, dc=com”)

Wscript.Echo objUser.LogonCount

スクリプトが気に入らない場合は、 ManageEngine や Netwrix ツールスイートなどの有料ツールには、ユーザーがログインした回数を一覧表示するレポートがあります。

1
Troy Witthoeft