アカウントが頻繁にロックされる

Active Directory（AD）環境にて特定のアカウントが頻繁にロックされるという症状に見舞われましたので、その知見の紹介です。

症状

特定のアカウントが頻繁にロックされるという症状に遭遇しました。Domain Controller上のSecurityのイベントログ4740を見てみると、特定のパソコンにて時々認証エラーを起こしている事が判明しました。

しかしそのパソコンの利用状況を見ても誰もロックされたアカウントでログインを試みている様子は無く、資格情報マネージャーを見てみても該当のアカウントが登録されていたりはしませんでした。

今回私が遭遇したケースでは、資格情報マネージャーにロックされてしまうアカウント情報が保存されており、そのパスワードが古いままであったためでした。ただしSystemコンテキストで資格情報マネージャーを開いて確認する必要がある点が解決を困難にしていました。

資格情報マネージャーをSystemコンテキストで開く必要があります。それには次のような手順を経る必要があります。

以下のサイトからPsToolをダウンロードし、「PsExec.exe」というファイルを見つけます。

コマンドプロンプトを管理者権限で開き、前述したPsExec.exeがあるディレクトリへ移動し以下のコマンドを実行します。同意確認画面がでたら同意します。

psexec -i -s -d cmd.exe /c rundll32 keymgr.dll,KRShowKeyMgr

次のような画面が表示されるので、該当のアカウントを削除するなりパスワード変更するなりして、アカウントロックされないように修正します。

イベントログを見てみると資格情報マネージャーに不正なアカウント情報がある可能性があると説明されたりしているのですが、Systemコンテキストで開く必要があったという点が問題解決を困難にしていました。今回の情報が誰かの助けにになれば幸いです。