Technical Anshu
Tutorials Blog
🔐 دليل قفل الحساب

دليل كامل لسياسة تأمين حساب Windows و3 طرق للاسترداد

خمس كلمات مرور خاطئة وإغلاق الحساب - هذه هي سياسة تأمين الحساب التي تقوم بعملها. تبدأ المشكلة عندما يكون الحساب المقفل هو المسؤول الوحيد على جهاز الكمبيوتر. يشرح هذا الدليل السياسة بشكل صحيح ثم يشرح طرق الاسترداد الثلاثة التي يجب أن يعرفها كل مسؤول تكنولوجيا المعلومات.

✍️ Technical Anshu🪟 Windows 10 / 11 / Server⏱️ 12 minute read
🎥 شاهد الفيديو كاملاً — شرح سياسة تأمين حساب Windows وجميع طرق الاسترداد الثلاثة خطوة بخطوة

تعد سياسة تأمين الحساب إحدى سياسات الأمان الأكثر شيوعًا في Windows. وهي أيضًا واحدة من أكثر الأمور التي يساء فهمها. وعندما يتم إعداده بشكل جيد، فإنه يتوقف بهدوء عن هجمات تخمين كلمة المرور. عندما يتم إعداده بشكل سيء - أو عندما لا يخطط أحد لليوم الذي يتم فيه قفل المسؤول أيضًا - يتحول خطأ كلمة المرور لمدة دقيقتين إلى توقف كامل عن العمل. ستجد أدناه ما تفعله قيم السياسة الثلاث حقًا، ومكان ضبطها، وطرق الاسترداد الثلاثة من الفيديو: فتح القفل من خلال حساب مسؤول آخر، واسترداد WinPE في وضع عدم الاتصال، ومسارات الملاذ الأخير لوحدات التحكم بالمجال. كل طريقة هنا مخصصة للأجهزة التي تمتلكها أو المرخص لها بإدارتها.

Windows sign-in screen — the message every locked user sees
Sign-in

الحساب المشار إليه مغلق حاليًا وقد لا يتم تسجيل الدخول إليه.

👆 هذه الصياغة الدقيقة تعني القفل — وليس كلمة مرور خاطئة وليس حسابًا معطلاً (تم إعادة إنشاء شاشة تسجيل الدخول باستخدام رسالة Windows الحقيقية)
1

ما الذي تفعله سياسة تأمين الحساب فعليًا؟

تحتوي السياسة على ثلاثة أجزاء عمل بالضبط. الثلاثة جميعها موجودة ضمن سياسات الحساب → سياسة تأمين الحساب — في secpol.msc على جهاز كمبيوتر واحد، أو في سياسة المجال الافتراضية لنطاق كامل:

  1. عتبة تأمين الحساب — عدد كلمات المرور الخاطئة المسموح بها قبل قفل الحساب. اضبطه على 5 وستؤدي المحاولة الخامسة الخاطئة إلى قفل الحساب. اضبطه على 0 وسيتم إيقاف التشغيل تمامًا - وهذا هو الإعداد الافتراضي لنظام التشغيل Windows عند التثبيت الجديد.
  2. مدة تأمين الحساب — عدد الدقائق التي يظل فيها الحساب مغلقًا. بعد هذا الوقت يتم فتح القفل بنفسه. اضبط 0 هنا ولن تنتهي صلاحية القفل أبدًا - يمكن للمسؤول فقط فتحه.
  3. إعادة تعيين عداد تأمين الحساب بعد — المدة التي يتذكر فيها Windows المحاولات الفاشلة. إذا كانت العتبة 5 وكانت هذه النافذة 30 دقيقة، فيجب على المهاجم (أو المستخدم المنسي) ارتكاب جميع الأخطاء الخمسة خلال 30 دقيقة لتشغيل القفل. لا يمكن أن تكون هذه القيمة أطول من المدة.

أحد التفاصيل المهمة: في المجال، تقوم كل وحدة تحكم بالمجال بحساب كلمات المرور السيئة لحساب ما بشكل منفصل، ويتم تسجيل التأمين على وحدة تحكم المجال التي عالجت حالات الفشل. ولهذا السبب يمكن لأحد DC إظهار الحساب على أنه مقفل بينما لا يزال الآخر يظهر فقط عدد قليل من المحاولات السيئة - ولماذا يكون محاكي PDC دائمًا هو المكان الأول الذي يجب التحقق منه.

2

الطريقة الأولى - فتح القفل من خلال حساب مسؤول آخر

أسرع وأنظف عملية استرداد هي التي يبدأ بها الفيديو: قم بتسجيل الدخول باستخدام أي حساب مسؤول آخر وقم ببساطة بإلغاء القفل. يعمل هذا أيضًا عن بعد - يمكن لمهندس دعم تكنولوجيا المعلومات القيام بذلك خلال جلسة دعم دون زيارة المكتب.

  1. جهاز كمبيوتر مستقل: قم بتسجيل الدخول باستخدام حساب مسؤول ثانٍ، وافتح lusrmgr.msc، وانقر نقرًا مزدوجًا فوق المستخدم المقفل، وقم بإلغاء تحديد الحساب مقفل. في Windows Home (بدون lusrmgr)، استخدم نافذة PowerShell الإدارية: Unlock-LocalUser -Name "Ravi"
  2. الكمبيوتر الشخصي للمجال: افتح مستخدمو Active Directory وأجهزة الكمبيوتر، وابحث عن المستخدم، وافتح الخصائص → علامة التبويب "الحساب" وحدد فتح الحساب. أو سطر واحد من PowerShell: Unlock-ADAccount -Identity ravi.kumar
  3. لا يوجد مشرف ثانٍ في متناول يديك، ولكن تم تحديد المدة؟ يعد الانتظار حلاً مشروعًا. إذا كانت المدة 30 دقيقة، فسيحرر الحساب نفسه خلال 30 دقيقة، ولن يضطر أحد إلى لمس أي شيء.

المشكلة التي يحذر منها الفيديو: تتوقف هذه الطريقة عندما يكون حساب المشرف الوحيد هو الحساب المقفل - ويمكن للمستخدم الموجود على شاشة تسجيل الدخول قفل المشرف تمامًا أيضًا، فقط عن طريق كتابة كلمة مرور خاطئة في حساب المسؤول مرات كافية. وهذا هو بالضبط عندما تنتقل إلى الطريقة الثانية.

3

قبل الطريقة الثانية - عمليات فحص BIOS والتمهيد التي تؤدي إلى فشلها أو فشلها

الاسترداد في وضع عدم الاتصال يعني تشغيل الكمبيوتر من شيء آخر غير نظام التشغيل Windows الخاص به - وبالتالي يصبح إعداد BIOS/UEFI جزءًا من المهمة:

  1. افتح قائمة التمهيد لمرة واحدة (عادةً F12 أو F9 أو Esc اعتمادًا على العلامة التجارية) وحدد محرك WinPE USB الخاص بك. إذا لم تظهر العصا أبدًا، فإن وضع التمهيد هو المشتبه به المعتاد - فلن تظهر العصا المصممة لـ UEFI في الوضع Legacy/CSM والعكس صحيح.
  2. إذا رفضت وسائط الاسترداد التمهيد بسبب التمهيد الآمن، فلاحظ الإعداد، وقم بتغيير ما تحتاجه فقط، ثم أعده مرة أخرى بعد ذلك. على الأجهزة المكتبية، تحقق من سياسة التغيير قبل لمسها.
  3. أثناء قيامك بالإعداد، قم بإلقاء نظرة سريعة على ساعة النظام. ستتسبب بطارية CMOS الميتة والساعة الخاطئة إلى حد كبير في تعطيل عمليات تسجيل الدخول إلى النطاق لاحقًا بسبب أخطاء وقت Kerberos - وهو سبب كلاسيكي على مستوى BIOS لفشل تسجيل الدخول الغامض.
4

الطريقة الثانية - استرداد WinPE دون اتصال عندما لا يتمكن أي مسؤول من تسجيل الدخول

عندما يتم قفل كل حساب مسؤول ولا يكون الانتظار خيارًا، قم بتشغيل الكمبيوتر في بيئة استرداد WinPE من USB وأصلح الحساب دون الاتصال بالإنترنت، تمامًا كما هو موضح في الفيديو. نظرًا لأن Windows نفسه لا يعمل، فإن تأمينه لا يمكن أن يوقفك.

  1. قم بالتمهيد من WinPE USB (قائمة التمهيد، كما هو موضح أعلاه) على الجهاز الذي تملكه أو تديره.
  2. أداة Microsoft الخاصة لهذه المهمة هي معالج صانع الأقفال في مجموعة أدوات استرداد DaRT - وهو موجود على وجه التحديد لفتح وإعادة تعيين الحسابات المحلية على جهاز كمبيوتر لن يسمح لأي شخص بالدخول. وتقوم أدوات تحرير SAM غير المتصلة بالإنترنت بنفس المهمة عن طريق مسح علامة تأمين الحساب مباشرة في قاعدة بيانات الحساب المحلي.
  3. امسح القفل (أو قم بتعيين كلمة مرور جديدة على المسؤول المحلي)، وأزل USB، وقم بتشغيل Windows بشكل طبيعي. قم بتسجيل الدخول وقم على الفور بتعيين كلمة مرور مناسبة وأعد التحقق من السياسة.

هناك حدان صادقان. أولاً، إذا كان القرص محميًا بواسطة BitLocker، فستحتاج إلى مفتاح الاسترداد قبل أن تتمكن أي أداة غير متصلة بالإنترنت من قراءة محرك الأقراص - فبدونه، لن تعمل هذه الطريقة ببساطة، حسب التصميم. ثانيًا، يؤدي هذا إلى إصلاح الحسابات المحلية فقط. يوجد قفل حساب المجال على وحدات تحكم المجال، وليس على هذا الكمبيوتر، لذا لا يمكن للأدوات غير المتصلة بالإنترنت لمسه - يتم مسح أقفال المجال في الطريقة الأولى أو الطريقة الثالثة.

5

الطريقة الثالثة - عندما يكون القفل على وحدة تحكم المجال

أسوأ نسخة من هذه المشكلة تحدث على الخادم: حسابات المسؤول مقفلة عبر النطاق، ولا يمكن لأحد تسجيل الدخول لإصلاحها. الطرق المتبقية أبطأ ولكنها حقيقية:

  1. أي مسؤول نطاق آخر — يبدو الأمر واضحًا، إلا أن المكاتب تنسى حساب المسؤول الثاني حتى يأتي اليوم الذي تحتاج فيه إليه. يمكن لمسؤول مجال عامل واحد فتح قفل أي شخص آخر من ADUC أو PowerShell.
  2. انتظر المدة — تنتهي عمليات تأمين النطاق أيضًا من تلقاء نفسها عند تعيين المدة. لا تزال الساعة غير المناسبة أفضل من الاختراق المحفوف بالمخاطر لوحدة تحكم الإنتاج.
  3. وضع استعادة خدمات الدليل (DSRM) — أعد تشغيل DC واختر DSRM من خيارات التمهيد (F8 / إعدادات بدء التشغيل). قمت بتسجيل الدخول باستخدام كلمة مرور مسؤول DSRM التي تم تعيينها عند ترقية DC. يمنحك DSRM التحكم المحلي بالخادم عندما يكون Active Directory غير متصل بالإنترنت، حتى تتمكن من إصلاح الموقف وإعادة التشغيل بشكل طبيعي. إذا لم يكن أحد في المؤسسة يعرف كلمة مرور DSRM، فهذا اكتشاف يستحق الإصلاح اليوم - قبل أن تحتاج إليه على الإطلاق.

لاحظ ما ليس في هذه القائمة: لا توجد طريقة مدعومة "لإعادة تعيين" قفل حساب المجال من جانب محطة العمل. أي شخص يبيعك واحداً يبيعك مشكلة.

6

قم بتعيين السياسة حتى لا تصبح هذه حالة طوارئ مرة أخرى ⭐

التعافي هو الخطوة الأولى. الخطوة الثانية هي ضبط السياسة بحيث تظل الأخطاء الصادقة صغيرة وتبقى الهجمات الحقيقية محظورة:

  1. اختر عتبة معقولة — من 5 إلى 10 محاولات خاطئة. عتبة 2 أو 3 تؤدي في الغالب إلى قفل المستخدمين الشرعيين باستخدام مفتاح Caps Lock الثابت.
  2. أعطها مدة حقيقية — من 15 إلى 30 دقيقة. تجنب المدة 0 ما لم يفتح فريق الإدارة بدوام كامل الحسابات بشكل حقيقي طوال اليوم.
  3. قم بتعيين عداد إعادة الضبط مساويًا للمدة — بسيط، ويمكن التنبؤ به، وهو ما تفعله معظم الخطوط الأساسية.
  4. احتفظ بـ حسابين إداريين على كل جهاز مهم، واكتب كلمة مرور DSRM في مخزن كلمات مرور الشركة.
  5. قم بتشغيل تدقيق التأمين (الحدثين 4740 و4625) حتى يصل التأمين التالي مع إرفاق شرحه الخاص.

تحتوي كل واحدة من هذه المتابعات على صفحتها التفصيلية الخاصة على هذا الموقع - ابحث عن ما يؤدي إلى إعادة قفل الحساب، أو اختر أرقام السياسة، أو قم بإعداد التدقيق - لذا فإن المكالمة التالية "سيدي، الكمبيوتر المحمول مغلق هو جايا" تستغرق دقيقتين، وليس ساعتين.

🔴 فقط على الأجهزة التي تمتلكها أو تديرها: كل طريقة استرداد في هذا الدليل مخصصة لمسؤولي تكنولوجيا المعلومات والمالكين الذين يستعيدون أنظمتهم الخاصة. لا تستخدم أبدًا أدوات الاسترداد في وضع عدم الاتصال على جهاز كمبيوتر لا تملكه أو ليس لديك إذن كتابي للصيانة.

🎥 شاهد طرق استعادة القفل في الفيديو

الإرشادات التفصيلية الكاملة لسياسة القفل وجميع طرق الاسترداد الثلاثة، التي يتم عرضها مباشرة على نظام Windows حقيقي - هذا هو الفيديو الذي يستند إليه هذا الدليل.

▶️ Watch Full Video
❓ الأسئلة المتداولة

هل يفتح حساب Windows المقفل نفسه؟

نعم — إذا تم تعيين مدة التأمين على أي شيء أعلى من 0، فسيتم فتح الحساب تلقائيًا عند مرور ذلك الوقت. المدة 0 هي الاستثناء: يظل الحساب مقفلاً حتى يفتحه المسؤول يدويًا.

حسابي مغلق وأنا المسؤول الوحيد. ما الذي يعمل في الواقع؟

يعمل الانتظار إذا تم تعيين المدة. إذا لم يكن الأمر كذلك، فإن الطرق الحقيقية هي الاسترداد في وضع عدم الاتصال: قم بتشغيل الكمبيوتر من WinPE USB وقم بمسح القفل على الحساب المحلي (Microsoft's DaRT Locksmith هي الأداة الرسمية لهذا)، أو، بالنسبة لمشاكل إدارة المجال، وضع استعادة خدمات الدليل على وحدة تحكم المجال. يتم تناول كلاهما خطوة بخطوة في الدليل الأساسي أعلاه وفي الفيديو.

هل حساب المسؤول المدمج محمي من القفل؟

ليس تلقائيا. يوجد خيار أمان محدد – السماح بتأمين حساب المسؤول – الذي يقرر ما إذا كان يمكن قفل المسؤول المدمج على الإطلاق، ومنذ تحديثات Windows في أكتوبر 2022، يمكن للأنظمة الجديدة قفل المسؤول المدمج بعد تكرار كلمات المرور السيئة افتراضيًا. هذا هو بالضبط الفخ الموجود في الفيديو: يمكن أن يكون الحساب المقفل هو المسؤول نفسه.

يعتمد هذا الدليل على فيديو Anshu الفني الخاص بسياسة تأمين حساب Windows • هل أنت عالق في إحدى الخطوات؟ اسأل في تعليقات الفيديو - سوف تحصل على الرد 🙏