不正確的密碼傳遞給LogonUser（）但活動目錄帳戶沒有按預期方式鎖定

Question

我有活動目錄「登錄重試次數」= 3。我們使用錯誤密碼撥打 LogonUser函數5次。之後，我用正確的密碼撥打LogonUser，它可以工作，用戶可以登錄。

爲什麼賬戶沒有被鎖定？

Answer 1

這取決於您如何撥打LogonUser。如果您未指定域名，請通過參數lpszDomain或在UPN format中指定lpszUsername，然後嘗試在本地計算機上登錄。

Windows客戶端store cached credentials用於在Active Directory服務器不可用的情況下的域登錄。在這種情況下，緩存的憑據將允許用戶登錄到本地計算機。

當使用域憑證對未連接到域控制器的計算機進行身份驗證時，將使用緩存憑據。每次域用戶登錄時，操作系統都會生成緩存的憑據並將其存儲在操作系統的安全性配置單元中。

根據微軟的Account Lockout Policy Technical Overview：

帳戶鎖定策略應用於域帳戶。帳戶鎖定是一個客戶端計算機和域控制器之間的相互作用，並實現了以下過程：

沒有看到你的代碼，我懷疑是登錄嘗試發生針對本地計算機，而不是域。這些不計入停工政策。這允許用戶登錄到域沒有問題。