AD 里的域账号隔三差五被锁定，解锁没多久又锁上，怎么定位是哪台机器哪个进程在拿旧密码狂试？

直接给结论：账号反复被锁，是「某处还存着这个账号的旧密码」在自动重试。锁定阈值触发在先——试错次数到了系统按策略锁定，这是保护机制在工作，别去改宽松阈值迁就旧密码残留，那是把门拆了防贼。定位入口就在域控的安全事件日志——锁定事件里写明了发起尝试的计算机名，顺着那台机器把旧密码残留清干净，病根就断了。逐台设备瞎翻是笨办法，先看日志再动手，一步到位。

第一步：事件日志里找发起者

域控上打开事件查看器，筛安全日志里的事件 ID 4740（账户已锁定），事件详情中的「发起者/调用方计算机名」就是提交错误密码的那台机器。日志里把同一账号的多次锁定连起来看时间规律——几点几分锁、间隔多久，规律往往指向某个定时任务或固定的自动登录场景。环境里有多台域控时，把几台的日志都筛一遍——来源可能不止一处，逐个记下来。事件里记不下进程名时，至少计算机名是准的；进程层面到那台机器上再看网络连接（netstat 找正在对外发认证请求的），对上号就收网。

第二步：到那台机器上清旧密码残留

锁定源机器上，按命中率从高到低翻这几处：

• 凭据管理器里存的旧密码（控制面板里删掉）；
• 映射的网络驱动器和残留连接（net use * /del 清掉重连）；
• 计划任务里用该账号跑的任务——改密码后任务里存的密码没跟着更新，是老企业网的头号惯犯；
• 以该账号身份运行的服务和应用池：属性里重新填一遍新密码；
• 手机、平板上的公司邮箱账户，旧密码自动重试的高发户，删掉重配一次；
• 浏览器记住的密码：内网门户改密后浏览器拿旧密码自动登录，一样触发锁定，把保存的密码清一轮。

第三步：改完验证闭环

清完残留，观察一个锁定周期——原来多久锁一次就观察多久，4740 不再出现才算闭环。顺手在账号属性「描述」栏写上锁定原因和处理日期，下次同类问题直接翻账，不用从头猜。同类问题集中在改密季爆发——年底或安全整改要求统一改密之后，锁定工单往往扎堆出现，把四点同步清单提前发给全员自查，比事后逐个解锁省事得多。

这类怪病看着玄，根子都落在「改密码没改彻底」一处。贵州诚鑫致达科技给贵阳企业做 IT 外包运维时，改密码都按「域账号加终端凭据加任务服务加移动端」四点同步的清单走，锁定回环这类事基本绝迹。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。