Risoluzione dell'errore di accesso a Zimbra "Account bloccato": procedure per utenti e amministratori.

Se Zimbra Web Client risponde con "Account bloccato", smetti di provare a inserire la password. Tentativi ripetuti possono mantenere l'account bloccato e un'app di posta elettronica o un telefono obsoleto potrebbero inviare in background una password non valida. La soluzione corretta dipende dal fatto che si tratti di un blocco temporaneo della password, di un blocco dell'account impostato dall'amministratore o di un altro stato dell'account.

Gli utenti possono attendere il periodo di blocco configurato e quindi provare la password corretta una volta. Un amministratore Zimbra può confermare lo stato dell'account e sbloccare un utente verificato con zmprov. Prima di procedere, verificare l'origine dei tentativi di accesso non riusciti in modo che lo stesso dispositivo o script non blocchi nuovamente l'account.

Cosa significa "Account bloccato" in Zimbra?

Zimbra può bloccare temporaneamente l'accesso dopo un numero configurato di tentativi di accesso errati consecutivi. Gli amministratori possono anche impostare lo stato di un account su per lockedbloccare deliberatamente l'accesso. Queste condizioni sono correlate ma non identiche: un blocco dell'autenticazione è comunemente rappresentato dallo stato dell'account lockout, mentre uno stato impostato dall'amministratore può apparire come locked. La dicitura esatta mostrata a un utente può variare a seconda della versione di Zimbra e del percorso di accesso, quindi è consigliabile verificare lo stato dell'account prima di modificarlo.

La consegna della posta potrebbe continuare anche se l'accesso è bloccato. Il blocco dell'account di per sé non dimostra che sia stato compromesso, ma i tentativi ripetuti da un dispositivo o indirizzo IP sconosciuto dovrebbero essere esaminati prima di ripristinare l'accesso.

Cosa dovrebbe provare per prima cosa l'utente?

1. Smetti di inserire le password su ogni dispositivo e client di posta elettronica connesso alla casella di posta.
2. Contatta l'amministratore di posta elettronica dell'organizzazione per verificare se l'account è stato disabilitato intenzionalmente o se la password è stata modificata di recente.
3. Se l'amministratore conferma che si tratta di un blocco temporaneo della password, attendere la durata configurata. Dopodiché, inserire la password corrente nota una sola volta nella normale pagina di accesso di Zimbra dell'organizzazione.
4. Se l'accesso fallisce di nuovo, interrompi la procedura e contatta l'amministratore. Non continuare a provare vecchie password né utilizzare link per il ripristino della password provenienti da messaggi non verificati.

La nota di risoluzione dei problemi del Centro assistenza tecnica di Zimbra afferma che, trascorso il periodo di blocco, un accesso corretto può riattivare un account che risulta ancora bloccato; precisa inoltre che lo stato potrebbe non cambiare automaticamente prima di tale accesso. La nota è contrassegnata come "in fase di sviluppo", pertanto si consiglia di considerarla come un comportamento documentato da verificare con la versione di Zimbra installata e la configurazione di autenticazione locale, e non come una garanzia per ogni implementazione. Leggi la nota di risoluzione dei problemi relativa alla durata del blocco di Zimbra .

Come può un amministratore verificare lo stato dell'account?

Eseguire comandi amministrativi su un server Zimbra con un account privilegiato. In molte installazioni, gli amministratori passano prima all'utente di sistema Zimbra. Sostituire l'indirizzo di esempio riportato di seguito con l'indirizzo completo della casella di posta elettronica e non incollare password o informazioni sensibili in una discussione di supporto pubblica.

su - zimbra
zmprov ga user@example.com zimbraAccountStatus

Interpreta il valore restituito prima di agire:

• lockoutIndica un blocco dell'accesso. Conferma l'utente, il periodo di attesa e la fonte del recente tentativo di accesso non riuscito prima di sbloccarlo.
• lockedPotrebbe indicare che un amministratore ha bloccato intenzionalmente l'accesso. Prima di procedere, verifica il titolare dell'account e il motivo del blocco.
• closed, maintenance, o un altro valore punta a uno stato amministrativo diverso. Non modificarlo activesenza aver capito perché è stato impostato.

Zimbra documenta zmprov gail comando per recuperare le informazioni dell'account e zmprov mail comando per modificarlo. Consultare la documentazione di riferimento del comando zmprov di Zimbra .

Come si sblocca un sistema di accesso bloccato?

Se l'account è verificato, l'utente è autorizzato e il blocco non è stato applicato per motivi di sicurezza, reimposta lo stato dell'account su attivo:

zmprov ma user@example.com zimbraAccountStatus active
zmprov ga user@example.com zimbraAccountStatus

Utilizzare l'indirizzo di un solo account. Non eseguire uno sblocco in blocco su tutte le caselle di posta per risolvere un singolo problema di accesso. L'attivazione di un account ripristina l'idoneità all'accesso, ma non corregge una password ancora errata né impedisce a un client di inviare credenziali obsolete.

Se l'utente non riesce ad accedere dopo lo sblocco, verificare la password tramite la procedura di identità approvata dall'organizzazione. Un amministratore Zimbra può impostare una nuova password con zmprov sp user@example.com <new-password>, ma questa si applica all'archivio password di Zimbra. Le implementazioni che si autenticano tramite LDAP, Active Directory o un provider di single sign-on potrebbero richiedere invece il ripristino o lo sblocco della password in tale sistema di identità esterno. Zimbra documenta il zmprov spcomando di ripristino della password nella sua guida per gli amministratori. Consultare le istruzioni di Zimbra per il ripristino della password .

Perché l'account continua a bloccarsi?

Dopo aver ripristinato l'accesso, verificare la presenza di fonti che continuano a inviare credenziali errate. Le cause più comuni includono un telefono con una vecchia password salvata, un client di posta elettronica desktop, un tablet, una stampante o uno scanner che utilizzano SMTP autenticato, uno script pianificato o un'applicazione non aggiornata. Chiedere all'utente quali dispositivi e app sono configurati per la casella di posta e aggiornarli o disconnetterli temporaneamente prima di un altro test di accesso.

Esamina il registro della casella di posta elettronica relativo al periodo in cui si è verificato il blocco. Zimbra documenta i messaggi di protezione relativi agli accessi non riusciti in un file /opt/zimbra/log/mailbox.log; i formati e i dettagli del registro possono variare a seconda della versione e dell'implementazione.

grep -Ei 'failed login|invalid credentials|suspended' /opt/zimbra/log/mailbox.log | tail -n 50

Cerca timestamp e indirizzi IP di origine associati a tentativi di accesso falliti ripetuti. Correlati con i dispositivi dell'utente e con i registri di rete. Un indirizzo IP familiare potrebbe comunque rappresentare un client di posta obsoleto; un indirizzo IP sconosciuto o tentativi di accesso continui dopo che l'utente ha smesso di accedere giustificano un controllo di sicurezza. Conserva le voci di registro pertinenti in base alla politica di conservazione dei dati della tua organizzazione.

La documentazione di Zimbra relativa alla risoluzione dei problemi fornisce un esempio di messaggio di log della casella di posta che indica che un indirizzo IP è stato sospeso dopo ripetuti tentativi di accesso non riusciti. Consultare l'esempio di log di Zimbra per i tentativi di accesso non riusciti ripetuti .

Come si dovrebbe rivedere la politica di blocco delle serrature?

Prima di modificare le soglie, verifica le impostazioni effettive dell'account o della classe di servizio. Gli attributi di blocco di Zimbra includono l'attivazione o la disattivazione del blocco, la durata del blocco, il numero massimo di errori consecutivi e il periodo durante il quale gli errori vengono conteggiati. I valori applicabili possono dipendere dall'account e dalla relativa classe di servizio, e le versioni di Zimbra possono variare. Consulta la documentazione corrispondente alla versione installata anziché presumere che un valore di esempio sia un valore predefinito universale.

zmprov ga user@example.com zimbraPasswordLockoutEnabled zimbraPasswordLockoutDuration zimbraPasswordLockoutMaxFailures zimbraPasswordLockoutFailureLifetime

Se le impostazioni vengono ereditate da una Classe di Servizio (COS), esaminate anche tale COS; ad esempio, utilizzatela zmprov gc defaultsolo se l'account appartiene effettivamente alla defaultCOS. Non disabilitate il blocco o non aumentate la soglia di errore semplicemente per far scomparire il messaggio. Prima di tutto, risolvete i problemi relativi alle credenziali obsolete, quindi scegliete i valori dei criteri che bilancino l'accesso degli utenti e la protezione contro i tentativi di indovinare la password. Testate qualsiasi modifica ai criteri con un ambito limitato e approvato e documentate i valori precedenti per un eventuale ripristino.

E se si trattasse dell'account amministratore?

Se l'account interessato è un amministratore, come prima cosa evitate di apportare modifiche manuali alla directory. Verificate se l'account è un amministratore gestito da Zimbra o se l'autenticazione avviene tramite una directory esterna. Utilizzate un account amministratore separato e autorizzato o la procedura di ripristino documentata dalla vostra organizzazione. Zimbra fornisce indicazioni specifiche per il recupero della password dell'amministratore e precisa che l'autenticazione tramite LDAP esterno o Active Directory modifica il percorso di ripristino. Consultate le linee guida di Zimbra per il recupero dell'account amministratore .

Se non è disponibile un account amministratore funzionante, contattare il fornitore del servizio Zimbra o il team responsabile della directory LDAP. Evitare di copiare una procedura di modifica LDAP non verificata da un forum: un'identità di bind errata o una modifica della directory errata possono avere ripercussioni su più di una singola casella di posta.

Come si verifica la correzione?

Dopo aver corretto lo stato dell'account e la fonte delle credenziali errate, verificare nuovamente lo stato dell'account, chiedere all'utente di accedere una volta tramite il normale client web e confermare che non vengano visualizzati nuovi eventi di accesso non riuscito. Aggiornare le password salvate nelle app di posta elettronica solo dopo che la password è stata confermata. Se lo stato torna a lockout, correlare il successivo timestamp di errore con il registro e identificare il client rimanente prima di sbloccarlo nuovamente.

La soluzione funziona correttamente quando l'utente riesce ad accedere, l'account rimane attivo e i ripetuti tentativi di autenticazione falliscono. Se l'account continua a non autenticarsi pur essendo attivo, è necessario esaminare la password, il provider di identità esterno, i criteri dell'account e lo stato del servizio come possibili cause separate; sbloccare ripetutamente la casella di posta non risolverà questi problemi.