- 1. 确认状态：Search-ADAccount -LockedOut 或账户属性
- 2. 找来源：4740 事件的“调用方计算机名”/4625 来源 IP
- 3. 到来源设备查：旧凭据（cmdkey）、计划任务、服务、映射盘、手机端邮件
- 4. 清理后解锁并观察 24h，确认不再复锁
常用示例
常用示例
Search-ADAccount -LockedOut | Select-Object Name, LockedOut
# 域控侧查 4740（含调用方计算机）
Get-WinEvent -ComputerName dc01 -FilterHashtable @{LogName='Security';Id=4740} -MaxEvents 10 | Select-Object TimeCreated, @{n='Msg';e={$_.Message -split "`n" | Select-Object -First 8}}
# 来源设备上清理旧凭据
cmdkey /list | findstr /i "corp\ops01"最常见的复锁源头：用户改了密码但手机/Outlook/映射盘还在用旧密码重试。