Account lockout

Muligvis skriver du bare forkert - men du kan ikke disable kontoen.

Konfigurationen foregår i:
Computer Configuration
  Windows Settings
    Security Settings
      Account Policies
        Account Logout

Det var muligvis også det du gjorde.

Har du policy på Computers i AD?

jeg har sat det op både i domain security settings og domain controller security settings policy. Hvor sætter man policy på computers i AD ?

I 'Active Directory Users and Computers'.

Oki nej det har jeg ikke,hvad er det jeg skal gøre der inde ?

Opret en gruppe(OU) til dine computere.
Højre klik på den OU - vælg properties - vælg fanebladet Group policy - vælg new.
Navngi den og klik edit.
Følg stien oven for.

Er ikke på nettet før tidligst kl.17.00

Ville nu nok lave OU'en på brugerne (USERS) istedet - ! Ellers enig med LGJ

ng_tnt

synes ikke der er noget der hedder group policy under properties

I Active Directory and Users, højreklikkes på domænet og vælg properties. Klik på fanebladet Group policies. Opret her en ny OU(default domain policy - er sikkert der allerede - så brug den), dbl.klik på den (nye) - og find Windows settings/Security setting/Account policies - under denne ligger der alle muligheder for styring af logon logoff o.s.v.

håber dette kan forstås !

ng_tnt

oki nu er jeg med jeg har også sat account lockout op der kan jeg se. Men hvad skal den gruppe som jeg har oprettet så bruges til ?

skal alle mine bruger kobles på den gruppe eller hvad er meningen med den

Jeps - på samme gpo skal du APPLY'e brugerne (Auth. users) så denne bliver tildelt/brugt - de skal bare have READ rettigheder sammen med APPLY policy

hvor sætter man så det op henne?

vælg properties på GPO'en og fanebladet SECURITY

Oki har fundet det er der ellers andet som skal sættes op før det virker

nej det skulle der ikke være mht. logon/logoff - satser på du har sat den på DOMÆNET så den gælder for alle auth. brugere.

som så meget andet TEST det med en bruger

ng_tnt

det ved jeg ikke om jeg har det virker ikke helt man burde ikke genstarte før det virker vel? jeg har i hvert fald sat account lockout i domain security settings og domain controller security settings policy. Men skal man også tilføre gruppen der?

tror du er lidt for langt nede i "træet" - øverst i det træ du har gjort det på - står dit domæne navn - derpå skulle den gerne ligge - kan også være du skulle replikere domænet før det slår igennem.... du ved det tager MS et lille kvarter indimellem før det hele slår igennem - specielt hvis du har flere DC'ere

er ikke helt med på hvor vi er henne nu er ikke med på hvad du mener med for langt nede i træet jeg har kun sat en domaine controler op

Når du står i Active directory and Users[servernavn.domæne.navn] er det i linien LIGE nede under jeg mener - her står domæne.navn - højreklik der og gør som tidligere !

Når du er færdig replikeres via AD sites and services

ng_tnt

Mener nu også det er der jeg har gjort det. Hvad med det der replikering er det noget jeg selv skal gøre?

tja - ligemeget da du "kun" har en DC - virker det da ikke ?

næ det gør det ikke nogen gode ideer

jeg køre det godt nok over terminale service men det er vel det ligemeget ikke

Ok - gør lige sådan istedet, så er vi sikre på det virker ! Domain Security Policy under programmer - administrative programs - og sæt det op der istedet SÅ KØRER DET med det samme. De skulle ikke betyde noget at du kører TS

der har jeg også sat det op også under domain controler security policy. Det var der jeg startede med at sætte det op men skal gruppen tilføjes på en måde der ? er der noget jeg mangler eller noget

Nej det kan jeg ikke se - har du tjekket at du har sat policien op til at blokere efter x antal forsøg - og prøvet at skrive forkert med samme bruger x antal gange i træk ?

den er sat til 3 login forsøg og 5 min men jeg kan stadig skrive adgangskoden forkert mere end de 3 gange og når jeg bliver smidt af kan jeg logge på med den rigtigt adgangskode med det samme bagefter

går lige igennem hvad jeg har gjort
jeg har sat den policy op på domain security settings og domain controller security settings policy.
Tilføjet en gruppe
tilføjet mine brugere til den gruppe
Højre klikket på domainet valgt fanebladet group policy
tilføjet gruppen til den standart policy med read og applay policy
og sat policy op for account lockout under policyen.

Andet har jeg ikke gjort der være et eller andet som der mangler at blive gjort

Normalt skulle det være rigeligt at sætte det op i Domain Security Policy programmet - kan måske konflikte når du har sat det op flere steder - Programmet sørger jo for at det sker på Domæne niveau.

oki skal jeg så fjerne det nogen af de policy som jeg har sat op og så fald hvilke af dem

alt andet en i programmet Domain Security Policy.

Sådan så er det gjort, men det hjalp ikke lige på noget det er stadig det samme, jeg har godt nok ikke genstartet eller noget men det burde vel heller ikke være nødvendigt

ville ikke skade ;-) Sikker på du har aktiveret de rigtige steder i programmet ? Det SKAL bare virke sådan !

hvad mener du med aktiveret ? det eneste som er gjort nu er at under domain security policy er der under account lockout sat op til 3 login forsøg og 5 min. Andet er der ikke gjort

det hjalp heller ikke noget at genstarte

Jeg har følgende i min Account logout policy :

Account logout duration : 60 min.
Account logout threshold : 5 invalide attemps
Reset account logout counter after : 30 min

Jeg har godt nok sat det lidt anderledes:

Account logout duration : 10 min.
Account logout threshold : 3 invalide attemps
Reset account logout counter after : 10 min

burde det have nogen betydning? ville ikke lige sætte det så højt før jeg havde tjekket om det virker

Burde køre ! kan ikke lige komme med mere til dig - derudover aktiveret en tråd i det der hedder Kerberos - ved ikke om det er forskellen ! ;-)

hvor aktivere man den henne?

ligger i linien nedenunder - gør den ihvertilfælde hos mig, altså i Domain Security Policy

ja men hvilken en af de policy er det som skal sættes op der og hvad skal den sættes til ?

Account policies kan KUN laves på domæne nievau. Du kan sagtens sætte en Account Policy på et lavere nievau, den virker bare ikke.

Start "Domain Security Policy" og naviger til:
Windows Settings >Security Settings >Account Policy >Account Locout Policy.
Account lockout duration = 30 minutes.
Account lockout threshols = 3 invalid logon attempts.
Reset account lockout counter after = 30 minutes.

På din DC, kør disse to kommandoer:
secedit /refreshpolicy user_policy /enforce
secedit /refreshpolicy machine_policy /enforce

Dette opdaterer dine Policies, så de slår i gennem med det samme.

Om du redigerer "Default Domain Policy" eller bruger "Domain Security Policy" er ligegyldigt, det er den samme policy der ændres.

Vær opmærksom på at domænets indbyggede administrator konto, IKKE bliver påvirket af en Lockout policy.
:-)

fandt det her i en anden tråd - måske det er det der gør du ikke kan få det til at virke :

Der kan være 2 ting, dine klienter skal have en DC med DNS, hvor denne IP-adr bliver skrevet ind i klienten.

Såfremt du sætter nogle regler på "Domain policy settings" og de ikke slår igennem, kan det være, at du har en GPO, hvor der er andre settings i.

Log på klienten og åbn "Local policy settings", derunder kan du se de "lokale" settings, og de "aktuelle" settings. De settings du laver på din DC, skulle gerne stå på klienten under "aktuelle" settings.

Jeg har fundet ud af at det egentligt virker. Men selve administrator kontoen virker det ikke på men alle de andre konto virker det fint. Er der en måde man også kan få det til at virker på administrator kontoen?

Som jeg skrev i mit svar: "Vær opmærksom på at domænets indbyggede administrator konto, IKKE bliver påvirket af en Lockout policy."
Det kan der ikke laves om på.
:-)

Du kan få en lignende funktionalitet ved at lave en adminx account med alle 'nødvendige' rettigheder derefter giver du din administrator account et '40' (nogen højere?) karakter langt password - skriver det på et stykke papir - lægger det i en forseglet konvolut og lægger den i brandbox.

ok, men kan man ikke bare lave en anden administrator konto og så disable den default administrator konto ? eller vil det give problemer

Nej du kan ikke disable din administrator account - kik i account properties for din administrator - men du kan omdøbe den.

da du sikkert har en del services kørende med administrator som bruger, giver det dig nye problemer - ville ikke disable den

Hvorfor er det så vigtigt for dig at fjerne din administrator account? Det er din A-nøgle der altid kan hjælpe dig når dine andre passwords er glemt.

oki mange tak for hjælpen