Unlock-ADAccount 是什么
Unlock-ADAccount 解除域账号的锁定状态。它只是止血：账号被锁通常是因为某处缓存了旧密码在反复尝试登录，只解锁不找源头，账号几分钟后还会被再次锁住。定位源头要看域控安全日志里的 4740（账号被锁定）与 4625（登录失败）。
基本信息
| 适用平台 | Windows Server 域环境，需安装 ActiveDirectory 模块 |
|---|---|
| 语法 | Unlock-ADAccount -Identity 账号 |
| 配套查询 | Get-ADUser -Identity 账号 -Properties LockedOut, LastBadPasswordAttempt |
| 关键事件 | 4740 被锁定并含调用方计算机名，4625 记录失败登录来源 |
| 权限要求 | 需相应委派权限，普通域用户无法解锁 |
| 多域控注意 | 事件分散在各台域控，PDC 模拟器上通常最完整 |
典型使用场景
- 用户报告账号被锁，先查源头再解锁，避免反复锁定
- 巡检被锁账号清单并主动通知用户处理
- 定位是哪台设备在用旧密码反复尝试：手机邮件客户端、映射盘、计划任务、旧会话
- 密码变更后立刻出现锁定，基本可判定为缓存凭据问题
- 服务账号被锁会影响业务，需优先处理并记录变更
常用示例
常用示例
# 先确认锁定状态与最后失败时间
Get-ADUser -Identity ops01 -Properties LockedOut, LastBadPasswordAttempt, LockoutTime
# 列出全部被锁定的账号
Search-ADAccount -LockedOut | Select-Object Name, SamAccountName
# 定位源头：在域控上查 4740 事件
Get-WinEvent -ComputerName dc01 -FilterHashtable @{LogName='Security'; Id=4740} -MaxEvents 20 | Format-List TimeCreated, Message
# 确认来源无误后再解锁
Unlock-ADAccount -Identity ops01相关事件与含义
| 事件 ID | 含义 | 关键信息 |
|---|---|---|
| 4740 | 账号被锁定 | 消息中含调用方计算机名，直接指向来源设备 |
| 4625 | 登录失败 | 含失败原因与来源工作站，用于确认来源 |
| 4771 | Kerberos 预认证失败 | 多见于客户端凭据不正确 |
| 4624 | 登录成功 | 确认解锁后能否正常登录 |
| 4767 | 账号已被解锁 | 审计谁在什么时候解了锁 |
锁定往往来自缓存了旧密码的设备或服务：手机邮件客户端、映射的网络驱动器、计划任务里写死的凭据、长期未注销的会话。找到那台反复失败的设备，比解锁本身更有价值。
多域控环境下 4740 事件分散在各台域控上，PDC 模拟器通常记录最全。只在一台域控上查找，很可能什么都查不到而误以为没有来源设备。