Account di dominio dell'utente bloccati a causa di tentativi di accesso non riusciti

Gli accessi degli utenti a MyWorkDrive, quando il server MyWorkDrive consente l'accesso tramite l'accesso tradizionale con nome utente e password (non SSO), sono eventi di accesso su Active Directory.

I tentativi di accesso non riusciti a MyWorkDrive verranno conteggiati come "tentativi" in Active Directory ai fini di una politica di blocco dell'account e potrebbero, in alcuni scenari, causare il blocco dell'account con un numero basso di tentativi di accesso.

L'accesso utente semplificato di MyWorkDrive effettuerà più tentativi assemblando nomi utente in base ai domini e ai suffissi upn in Active Directory, combinati con il test di più metodi disponibili, provandoli finché non raggiunge il successo. La combinazione di più domini, sintassi del nome utente e metodi software comporterà più tentativi di AD da un singolo evento di accesso (a seconda di ciò che l'utente inserisce inizialmente)

Ad esempio, se l'utente accede con "Scott", MyWorkDrive proverà

scott tramite wcf
Scott tramite .net
dominio1\scott tramite .net
dominio1\scott tramite wcf
dominio2\scott tramite wcf
dominio2\scott tramite .net
scott@upnsuffix1 tramite .net
scott@upnsuffix1 tramite wcf
scott@upnsuffix2 tramite .net
scott@upnsuffix2 tramite wcf

Cioè dieci tentativi falliti per un tentativo di accesso. Se l'utente immette una password errata e la policy di blocco dell'account era impostata su 3, il blocco dell'utente sarebbe già stato ottenuto.

Esistono diversi modi per migliorare l'esperienza dell'utente e mitigare i potenziali blocchi quando gli utenti inseriscono password errate:

• Richiedi nome utente e-mail per l'accesso. In tal caso, verranno registrati solo tre o quattro tentativi di accesso (una volta per verificare lo stato dell'account e una volta per tentare l'accesso con wcf e .NET – 3 tramite il client Web, 4 tramite altri client). Questa è un'impostazione nella pagina Impostazioni dell'amministrazione MyWorkDrive.
• Addestra i tuoi utenti ad accedere specificando un dominio, ad esempio dominio\utente, che comporterà anche solo tre o quattro tentativi di accesso per accesso.
• Distribuire un SSO, in cui i tentativi vengono spostati sull'SSO (e in genere richiedono anche un'e-mail che interrompe più tentativi). Abbiamo semplificato la configurazione per ADFS, AzureAD, OneLogin E Ok e disponi di file di configurazione che ti consentono di farlo configurare manualmente qualsiasi SSO SAML.
• Imposta una politica di blocco dell'account che consenta più tentativi di accesso senza creare un blocco. 10 è un numero ragionevole per un dominio senza UPN multipli o domini multipli in cui l'utente può effettuare 2-3 tentativi senza bloccarsi.

 

Modifica dell'impostazione per richiedere l'e-mail per il nome utente in MyWorkDrive:

 

Modifica dei tentativi di password consentiti in Criteri di gruppo

https://learn.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/how-to-configure-security-policy-settings