Technical Anshu
Tutorials Blog
🔐 खाता लॉकआउट गाइड

विंडोज़ खाता लॉकआउट नीति और 3 पुनर्प्राप्ति विधियाँ संपूर्ण मार्गदर्शिका

पांच गलत पासवर्ड और खाता बंद हो जाता है - यही खाता लॉकआउट नीति अपना काम कर रही है। समस्या तब शुरू होती है जब लॉक किया गया खाता पीसी पर एकमात्र व्यवस्थापक होता है। यह मार्गदर्शिका नीति को ठीक से समझाती है और फिर 3 पुनर्प्राप्ति विधियों के बारे में बताती है जो प्रत्येक आईटी व्यवस्थापक को पता होनी चाहिए।

✍️ Technical Anshu🪟 Windows 10 / 11 / Server⏱️ 12 minute read
🎥 पूरा वीडियो देखें - विंडोज़ खाता लॉकआउट नीति और सभी 3 पुनर्प्राप्ति विधियां, चरण दर चरण प्रदर्शित की गईं

खाता लॉकआउट नीति विंडोज़ में सबसे आम सुरक्षा नीतियों में से एक है। यह सबसे ग़लत समझे जाने वालों में से एक भी है। जब इसे अच्छी तरह से सेट किया जाता है, तो यह चुपचाप पासवर्ड-अनुमान लगाने वाले हमलों को रोक देता है। जब इसे खराब तरीके से सेट किया जाता है - या जब किसी ने उस दिन के लिए योजना नहीं बनाई होती है तो व्यवस्थापक भी लॉक हो जाता है - दो मिनट की पासवर्ड गलती पूर्ण कार्य रुकावट में बदल जाती है। नीचे आपको वीडियो से तीन नीति मान वास्तव में क्या करते हैं, उन्हें कहां सेट करना है और 3 पुनर्प्राप्ति विधियां मिलेंगी: किसी अन्य व्यवस्थापक खाते के माध्यम से अनलॉक करना, WinPE ऑफ़लाइन पुनर्प्राप्ति, और डोमेन नियंत्रकों के लिए अंतिम-सहारा मार्ग। यहां प्रत्येक विधि उन मशीनों के लिए है जो आपके स्वामित्व में हैं या प्रशासन के लिए अधिकृत हैं।

Windows sign-in screen — the message every locked user sees
Sign-in

संदर्भित खाता वर्तमान में लॉक है और उस पर लॉग इन नहीं किया जा सकता है।

👆 इस सटीक शब्दांकन का अर्थ है लॉकआउट - गलत पासवर्ड नहीं और अक्षम खाता नहीं (साइन-इन स्क्रीन वास्तविक विंडोज संदेश के साथ पुनः निर्मित)
1

खाता लॉकआउट नीति वास्तव में क्या करती है?

नीति के ठीक तीन कार्यशील भाग हैं। ये तीनों खाता नीतियों → खाता लॉकआउट नीति के अंतर्गत रहते हैं - एक पीसी पर secpol.msc में, या संपूर्ण डोमेन के लिए डिफ़ॉल्ट डोमेन नीति में:

  1. खाता लॉकआउट सीमा - खाता लॉक होने से पहले कितने गलत पासवर्ड की अनुमति है। इसे 5 पर सेट करें और 5वां गलत प्रयास अकाउंट को लॉक कर देता है। इसे 0 पर सेट करें और लॉकआउट पूरी तरह से बंद हो जाता है - जो कि नए इंस्टॉल पर विंडोज डिफ़ॉल्ट है।
  2. खाता लॉकआउट अवधि - खाता कितने मिनट तक लॉक रहता है। इस समय के बाद यह स्वयं अनलॉक हो जाता है। यहां 0 सेट करें और लॉक कभी समाप्त नहीं होगा - केवल एक व्यवस्थापक ही इसे अनलॉक कर सकता है।
  3. खाता लॉकआउट काउंटर को बाद में रीसेट करें - विंडोज़ कितने समय तक विफल प्रयासों को याद रखता है। यदि सीमा 5 है और यह विंडो 30 मिनट की है, तो हमलावर (या भुलक्कड़ उपयोगकर्ता) को लॉक ट्रिगर करने के लिए 30 मिनट के भीतर सभी 5 गलतियाँ करनी होंगी। यह मान कभी भी अवधि से अधिक लंबा नहीं हो सकता.

एक महत्वपूर्ण विवरण: एक डोमेन पर, प्रत्येक डोमेन नियंत्रक एक खाते के लिए अलग से खराब पासवर्ड की गणना करता है, और विफलताओं को संसाधित करने वाले डोमेन नियंत्रक पर लॉकआउट रिकॉर्ड किया जाता है। यही कारण है कि एक डीसी किसी खाते को लॉक के रूप में दिखा सकता है जबकि दूसरा अभी भी केवल कुछ बुरे प्रयास दिखाता है - और क्यों पीडीसी एमुलेटर हमेशा जांच के लिए पहला स्थान होता है।

2

विधि 1 - किसी अन्य व्यवस्थापक खाते के माध्यम से अनलॉक करें

सबसे तेज़ और साफ़ पुनर्प्राप्ति वह है जिसके साथ वीडियो शुरू होता है: किसी अन्य व्यवस्थापक खाते से साइन इन करें और बस लॉक साफ़ करें। यह दूर से भी काम करता है - एक आईटी सपोर्ट इंजीनियर इसे डेस्क पर आए बिना एक सपोर्ट सत्र में कर सकता है।

  1. स्टैंडअलोन पीसी: दूसरे व्यवस्थापक खाते से साइन इन करें, lusrmgr.msc खोलें, लॉक किए गए उपयोगकर्ता पर डबल-क्लिक करें और खाता लॉक हो गया है को अनचेक करें। विंडोज़ होम पर (कोई lusrmgr नहीं), एक एडमिन पॉवरशेल विंडो का उपयोग करें: Unlock-LocalUser -Name "Ravi"
  2. डोमेन पीसी: खोलें सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर, उपयोगकर्ता ढूंढें, गुण → खाता टैब खोलें और खाता अनलॉक करें पर टिक करें। या पॉवरशेल की एक पंक्ति: Unlock-ADAccount -Identity ravi.kumar
  3. कोई दूसरा व्यवस्थापक उपलब्ध नहीं है, लेकिन अवधि निर्धारित है? प्रतीक्षा करना एक वैध समाधान है। यदि अवधि 30 मिनट है, तो खाता 30 मिनट में स्वयं मुक्त हो जाता है - किसी को कुछ भी छूने की ज़रूरत नहीं है।

वीडियो जिस पकड़ के बारे में चेतावनी देता है: यह विधि तब समाप्त हो जाती है जब केवल व्यवस्थापक खाता लॉक हो जाता है - और साइन-इन स्क्रीन पर एक उपयोगकर्ता व्यवस्थापक खाते के सामने पर्याप्त बार गलत पासवर्ड टाइप करके भी व्यवस्थापक को पूरी तरह से लॉक कर सकता है। ठीक यही तब होता है जब आप विधि 2 की ओर बढ़ते हैं।

3

विधि 2 से पहले - BIOS और बूट जाँच जो इसे बनाती या बिगाड़ती है

ऑफ़लाइन पुनर्प्राप्ति का अर्थ है पीसी को उसके अपने विंडोज़ के अलावा किसी अन्य चीज़ से बूट करना - इसलिए BIOS/UEFI सेटअप कार्य का हिस्सा बन जाता है:

  1. वन-टाइम बूट मेनू खोलें (आमतौर पर ब्रांड के आधार पर F12, F9 या Esc) और अपना WinPE USB स्टिक चुनें। यदि स्टिक कभी दिखाई नहीं देती है, तो बूट मोड सामान्य संदिग्ध है - यूईएफआई के लिए बनाई गई स्टिक लीगेसी/सीएसएम मोड और दूसरे तरीके से दिखाई नहीं देगी।
  2. यदि पुनर्प्राप्ति मीडिया सुरक्षित बूट के कारण बूट करने से इंकार कर देता है, तो सेटिंग पर ध्यान दें, केवल वही बदलें जिसकी आपको आवश्यकता है, और बाद में इसे वापस रख दें। कार्यालय की मशीनों को छूने से पहले अपनी परिवर्तन नीति की जाँच करें।
  3. जब आप सेटअप में हों, तो सिस्टम घड़ी पर नज़र डालें। एक मृत CMOS बैटरी और एक बेहद गलत घड़ी बाद में कर्बेरोस समय त्रुटियों के साथ डोमेन लॉगऑन को तोड़ देगी - रहस्यमय साइन-इन विफलताओं का एक क्लासिक BIOS-स्तरीय कारण।
4

विधि 2 - WinPE ऑफ़लाइन पुनर्प्राप्ति जब कोई व्यवस्थापक लॉग इन नहीं कर सकता

जब प्रत्येक व्यवस्थापक खाता लॉक हो जाता है और प्रतीक्षा करना कोई विकल्प नहीं है, तो पीसी को USB से WinPE पुनर्प्राप्ति वातावरण में बूट करें और खाते को ऑफ़लाइन ठीक करें, जैसा कि वीडियो में दिखाया गया है। क्योंकि विंडोज़ स्वयं नहीं चल रही है, इसका लॉकआउट आपको रोक नहीं सकता है।

  1. उस मशीन पर WinPE USB (बूट मेनू, जैसा कि ऊपर बताया गया है) से बूट करें।
  2. इस कार्य के लिए Microsoft का अपना उपकरण DaRT पुनर्प्राप्ति टूलकिट में लॉकस्मिथ विज़ार्ड है - यह पीसी पर स्थानीय खातों को अनलॉक और रीसेट करने के लिए सटीक रूप से मौजूद है जो किसी को भी अंदर नहीं जाने देगा। ऑफ़लाइन SAM-संपादन उपकरण स्थानीय खाता डेटाबेस में सीधे खाते के लॉकआउट फ़्लैग को साफ़ करके वही काम करते हैं।
  3. लॉक साफ़ करें (या स्थानीय व्यवस्थापक पर एक नया पासवर्ड सेट करें), यूएसबी हटा दें, और विंडोज़ को सामान्य रूप से बूट करें। साइन इन करें और तुरंत एक उचित पासवर्ड सेट करें और पॉलिसी की दोबारा जांच करें।

दो ईमानदार सीमाएँ। सबसे पहले, यदि डिस्क BitLocker द्वारा संरक्षित है, तो किसी भी ऑफ़लाइन टूल द्वारा ड्राइव को पढ़ने से पहले आपको पुनर्प्राप्ति कुंजी की आवश्यकता होगी - इसके बिना, डिज़ाइन के अनुसार, यह विधि बस काम नहीं करती है। दूसरा, यह केवल स्थानीय खातों की मरम्मत करता है। एक डोमेन खाते का लॉक डोमेन नियंत्रकों पर रहता है, इस पीसी पर नहीं, इसलिए ऑफ़लाइन उपकरण इसे छू नहीं सकते - डोमेन लॉक विधि 1 या विधि 3 में साफ़ कर दिए जाते हैं।

5

विधि 3 - जब डोमेन नियंत्रक पर लॉक हो

इस समस्या का सबसे खराब संस्करण सर्वर पर होता है: व्यवस्थापक खाते पूरे डोमेन में लॉक हो जाते हैं, और कोई भी इसे ठीक करने के लिए साइन इन नहीं कर सकता है। जो मार्ग बचे हैं वे धीमे हैं लेकिन वास्तविक हैं:

  1. कोई अन्य डोमेन व्यवस्थापक - स्पष्ट लगता है, फिर भी कार्यालय दूसरे व्यवस्थापक खाते को उस दिन तक भूल जाते हैं जब तक उन्हें इसकी आवश्यकता नहीं होती। एक कार्यशील डोमेन एडमिन ADUC या PowerShell से अन्य सभी को अनलॉक कर सकता है।
  2. अवधि की प्रतीक्षा करें - अवधि निर्धारित होने पर डोमेन लॉकआउट भी अपने आप समाप्त हो जाते हैं। एक असुविधाजनक घंटा अभी भी उत्पादन नियंत्रक पर जोखिम भरी हैक से बेहतर है।
  3. डायरेक्टरी सर्विसेज रिस्टोर मोड (DSRM) - DC को पुनरारंभ करें और बूट विकल्पों (F8 / स्टार्टअप सेटिंग्स) से DSRM चुनें। आप DSRM व्यवस्थापक पासवर्ड से साइन इन करते हैं जो DC के प्रचारित होने पर सेट किया गया था। सक्रिय निर्देशिका ऑफ़लाइन होने पर डीएसआरएम आपको सर्वर का स्थानीय नियंत्रण देता है, ताकि आप स्थिति को सुधार सकें और सामान्य रूप से पुनरारंभ कर सकें। यदि संगठन में कोई भी डीएसआरएम पासवर्ड नहीं जानता है, तो यह आज ही ठीक करने लायक खोज है - इससे पहले कि आपको कभी इसकी आवश्यकता पड़े।

ध्यान दें कि इस सूची में क्या नहीं है: वर्कस्टेशन की ओर से डोमेन खाते के लॉक को "रीसेट" करने का कोई समर्थित तरीका नहीं है। कोई भी आपको बेच रहा है तो वह आपको एक समस्या बेच रहा है।

6

नीति निर्धारित करें ताकि यह फिर कभी आपातकाल न बने ⭐

पुनर्प्राप्ति पहला कदम है. चरण दो नीति को व्यवस्थित करना है ताकि ईमानदार गलतियाँ छोटी रहें और वास्तविक हमले अवरुद्ध रहें:

  1. एक समझदार सीमा चुनें - 5 से 10 गलत प्रयास। 2 या 3 की सीमा अधिकतर वैध उपयोगकर्ताओं को चिपचिपी Caps Lock कुंजी से बंद कर देती है।
  2. इसे वास्तविक अवधि दें - 15 से 30 मिनट। अवधि 0 से बचें जब तक कि एक पूर्णकालिक व्यवस्थापक टीम वास्तव में पूरे दिन खातों को अनलॉक न कर दे।
  3. रीसेट काउंटर को अवधि के बराबर सेट करें - सरल, पूर्वानुमानित, और अधिकांश बेसलाइन क्या करती हैं।
  4. प्रत्येक महत्वपूर्ण मशीन पर दो व्यवस्थापक खाते रखें, और DSRM पासवर्ड को कंपनी पासवर्ड वॉल्ट में लिखें।
  5. लॉकआउट ऑडिटिंग चालू करें (इवेंट 4740 और 4625) ताकि अगला लॉकआउट अपने स्वयं के स्पष्टीकरण के साथ आए।

इनमें से प्रत्येक फॉलो-अप का इस साइट पर अपना विस्तृत पृष्ठ है - किसी खाते को फिर से लॉक करने के लिए क्या होता है, पॉलिसी नंबर चुनें, या ऑडिटिंग सेट करें - इसलिए अगली "सर, लैपटॉप लॉक हो गया" कॉल में दो मिनट लगते हैं, दो घंटे नहीं।

🔴 केवल उन मशीनों पर जो आपके स्वामित्व में हैं या जिन्हें आप प्रशासित करते हैं: इस गाइड में प्रत्येक पुनर्प्राप्ति विधि आईटी व्यवस्थापकों और स्वामियों के लिए है जो अपने स्वयं के सिस्टम को पुनर्प्राप्त कर रहे हैं। कभी भी ऐसे कंप्यूटर पर ऑफ़लाइन पुनर्प्राप्ति टूल का उपयोग न करें जो आपके पास नहीं है या सेवा के लिए आपके पास लिखित अनुमति नहीं है।

🎥 वीडियो में लॉकआउट पुनर्प्राप्ति विधियां देखें

संपूर्ण लॉकआउट नीति पूर्वाभ्यास और सभी 3 पुनर्प्राप्ति विधियां, वास्तविक विंडोज़ सिस्टम पर लाइव दिखाई गईं - यह वह वीडियो है जिस पर यह मार्गदर्शिका आधारित है।

▶️ Watch Full Video
❓अक्सर पूछे जाने वाले प्रश्न

क्या लॉक किया गया विंडोज़ खाता स्वयं अनलॉक हो जाता है?

हाँ - यदि लॉकआउट अवधि 0 से ऊपर किसी भी चीज़ पर सेट है, तो वह समय बीतने पर खाता स्वचालित रूप से अनलॉक हो जाता है। अवधि 0 अपवाद है: खाता तब तक लॉक रहता है जब तक कोई व्यवस्थापक इसे मैन्युअल रूप से अनलॉक नहीं करता।

मेरा खाता लॉक हो गया है और मैं एकमात्र व्यवस्थापक हूं। वास्तव में क्या काम करता है?

यदि कोई अवधि निर्धारित है तो प्रतीक्षा कार्य करती है। यदि नहीं, तो वास्तविक मार्ग ऑफ़लाइन पुनर्प्राप्ति हैं: पीसी को WinPE USB से बूट करें और स्थानीय खाते पर लॉक साफ़ करें (Microsoft का DaRT लॉकस्मिथ इसके लिए आधिकारिक उपकरण है), या, डोमेन व्यवस्थापक समस्याओं के लिए, डोमेन नियंत्रक पर निर्देशिका सेवा पुनर्स्थापना मोड। ऊपर दिए गए मुख्य गाइड और वीडियो में दोनों को चरण दर चरण कवर किया गया है।

क्या अंतर्निहित प्रशासक खाता लॉकआउट से सुरक्षित है?

स्वचालित रूप से नहीं. एक विशिष्ट सुरक्षा विकल्प है - प्रशासक खाता लॉकआउट की अनुमति दें - जो तय करता है कि अंतर्निहित प्रशासक को बिल्कुल लॉक किया जा सकता है या नहीं, और अक्टूबर 2022 के विंडोज अपडेट के बाद से, नए सिस्टम डिफ़ॉल्ट रूप से बार-बार खराब पासवर्ड के बाद अंतर्निहित प्रशासक को लॉक कर सकते हैं। वीडियो में बिल्कुल यही जाल है: लॉक किया गया अकाउंट एडमिन ही हो सकता है।

यह मार्गदर्शिका तकनीकी अंशू विंडोज़ खाता लॉकआउट नीति वीडियो पर आधारित है • एक कदम पर अटक गए हैं? वीडियो टिप्पणियों में पूछें - आपको उत्तर मिलेगा 🙏