แก้ไขปัญหาการเข้าสู่ระบบ Zimbra ที่แสดงข้อความ “บัญชีถูกล็อก”: ขั้นตอนสำหรับผู้ใช้และผู้ดูแลระบบ

หาก Zimbra Web Client ตอบกลับว่า “บัญชีถูกล็อก” ให้หยุดการป้อนรหัสผ่านซ้ำ การพยายามป้อนซ้ำอาจทำให้บัญชีถูกล็อกอยู่ และแอปในโทรศัพท์หรืออีเมลเก่าอาจกำลังส่งรหัสผ่านที่ล้าสมัยอยู่เบื้องหลัง วิธีแก้ไขที่ถูกต้องขึ้นอยู่กับว่าเป็นการล็อกบัญชีชั่วคราว การล็อกบัญชีที่ผู้ดูแลระบบตั้งค่าไว้ หรือสถานะบัญชีอื่น ๆ

ผู้ใช้สามารถรอจนกว่าจะครบระยะเวลาที่กำหนดไว้สำหรับการล็อกบัญชี แล้วลองป้อนรหัสผ่านที่ถูกต้องอีกครั้ง ผู้ดูแลระบบ Zimbra สามารถตรวจสอบสถานะบัญชีและปลดล็อกผู้ใช้ที่ได้รับการยืนยันได้zmprovโปรดตรวจสอบแหล่งที่มาของการเข้าสู่ระบบที่ล้มเหลวก่อน เพื่อป้องกันไม่ให้อุปกรณ์หรือสคริปต์เดิมล็อกบัญชีอีกครั้ง

“บัญชีถูกล็อก” หมายความว่าอย่างไรในประเทศซิมบับเว?

Zimbra สามารถบล็อกการเข้าสู่ระบบชั่วคราวได้หลังจากป้อนรหัสผ่านผิดติดต่อกันตามจำนวนครั้งที่กำหนดไว้ ผู้ดูแลระบบยังสามารถตั้งสถานะบัญชีเพื่อlockedบล็อกการเข้าสู่ระบบโดยเจตนาได้ เงื่อนไขเหล่านี้มีความเกี่ยวข้องกันแต่ไม่เหมือนกันเสียทีเดียว: การล็อกการตรวจสอบสิทธิ์มักแสดงด้วยสถานะบัญชีlockoutในขณะที่สถานะที่ผู้ดูแลระบบตั้งไว้อาจปรากฏเป็นlockedข้อความที่แสดงต่อผู้ใช้อาจแตกต่างกันไปตามเวอร์ชันของ Zimbra และเส้นทางการเข้าสู่ระบบ ดังนั้นควรตรวจสอบสถานะบัญชีก่อนทำการเปลี่ยนแปลง

การส่งจดหมายอาจยังคงดำเนินต่อไปได้ในขณะที่การเข้าสู่ระบบถูกบล็อก การถูกล็อกบัญชีไม่ได้หมายความว่าบัญชีถูกบุกรุกเสมอไป แต่การพยายามเข้าสู่ระบบซ้ำๆ จากอุปกรณ์หรือที่อยู่ IP ที่ไม่รู้จัก ควรได้รับการตรวจสอบก่อนที่จะคืนสิทธิ์การเข้าถึง

ผู้ใช้ควรลองทำอะไรเป็นอันดับแรก?

1. ไม่ต้องป้อนรหัสผ่านในทุกอุปกรณ์และโปรแกรมอีเมลที่เชื่อมต่อกับกล่องจดหมายอีกต่อไป
2. ตรวจสอบกับผู้ดูแลระบบอีเมลขององค์กรว่าบัญชีดังกล่าวถูกปิดใช้งานโดยเจตนาหรือมีการเปลี่ยนรหัสผ่านเมื่อเร็ว ๆ นี้หรือไม่
3. หากผู้ดูแลระบบยืนยันว่าเป็นการล็อกรหัสผ่านชั่วคราว ให้รอตามระยะเวลาที่กำหนดไว้ จากนั้นป้อนรหัสผ่านปัจจุบันที่ทราบแล้วหนึ่งครั้งในหน้าเข้าสู่ระบบ Zimbra ตามปกติขององค์กร
4. หากการเข้าสู่ระบบล้มเหลวอีกครั้ง ให้หยุดและติดต่อผู้ดูแลระบบ อย่าพยายามใช้รหัสผ่านเก่าซ้ำ หรือใช้ลิงก์รีเซ็ตรหัสผ่านจากข้อความที่ไม่ได้รับการตรวจสอบ

หมายเหตุการแก้ไขปัญหาจากศูนย์เทคนิคของ Zimbra ระบุว่า หลังจากระยะเวลาการล็อกบัญชีผ่านไปแล้ว การเข้าสู่ระบบที่ถูกต้องจะสามารถเปิดใช้งานบัญชีที่ยังคงแสดงสถานะล็อกอยู่ได้ นอกจากนี้ยังระบุด้วยว่าสถานะอาจไม่เปลี่ยนแปลงโดยอัตโนมัติก่อนการเข้าสู่ระบบนั้น หมายเหตุนี้ถูกระบุว่าอยู่ในระหว่างการพัฒนา ดังนั้นโปรดพิจารณาว่าเป็นเพียงพฤติกรรมที่บันทึกไว้เพื่อตรวจสอบกับเวอร์ชัน Zimbra ที่ติดตั้งและการตั้งค่าการตรวจสอบสิทธิ์ในเครื่อง ไม่ใช่การรับประกันสำหรับทุกการใช้งาน โปรดอ่านหมายเหตุการแก้ไขปัญหาเกี่ยวกับระยะเวลาการล็อกบัญชีของ Zimbra

ผู้ดูแลระบบจะตรวจสอบสถานะบัญชีได้อย่างไร?

เรียกใช้คำสั่งผู้ดูแลระบบบนเซิร์ฟเวอร์ Zimbra ด้วยบัญชีผู้ใช้ที่มีสิทธิ์พิเศษ ในการติดตั้งหลายๆ ครั้ง ผู้ดูแลระบบจะสลับไปใช้บัญชีผู้ใช้ระบบ Zimbra ก่อน แทนที่ที่อยู่ตัวอย่างด้านล่างด้วยที่อยู่กล่องจดหมายแบบเต็ม และอย่าคัดลอกรหัสผ่านหรือข้อมูลสำคัญลงในกระทู้สนับสนุนสาธารณะ

su - zimbra
zmprov ga user@example.com zimbraAccountStatus

โปรดวิเคราะห์ค่าที่ส่งกลับมาก่อนดำเนินการใดๆ:

• lockoutแสดงว่าระบบล็อกการเข้าสู่ระบบ โปรดตรวจสอบผู้ใช้ ระยะเวลารอ และแหล่งที่มาของการเข้าสู่ระบบล้มเหลวล่าสุดก่อนที่จะปลดล็อก
• lockedอาจบ่งชี้ว่าผู้ดูแลระบบจงใจบล็อกการเข้าสู่ระบบ โปรดตรวจสอบเจ้าของบัญชีและเหตุผลในการล็อกก่อน
• closedหรือmaintenanceค่าอื่นๆ บ่งชี้ถึงสถานะการบริหารที่แตกต่างกัน อย่าเปลี่ยนค่านี้โดยactiveไม่เข้าใจว่าทำไมจึงตั้งค่านี้ไว้

เอกสารของ Zimbra zmprov gaระบุคำสั่ง zmprov ไว้สำหรับเรียกดูข้อมูลบัญชีและzmprov maแก้ไขข้อมูลบัญชี ดูรายละเอียดเพิ่มเติมได้ที่เอกสารอ้างอิงคำสั่ง zmprov ของ Zimbra

จะปลดล็อกเมื่อระบบล็อกเอาต์ได้อย่างไร?

หากบัญชีได้รับการยืนยันแล้ว ผู้ใช้ได้รับอนุญาต และไม่ได้มีการล็อกบัญชีไว้เพื่อเป็นมาตรการรักษาความปลอดภัย ให้เปลี่ยนสถานะบัญชีกลับเป็นใช้งานได้:

zmprov ma user@example.com zimbraAccountStatus active
zmprov ga user@example.com zimbraAccountStatus

ใช้ที่อยู่อีเมลของบัญชีเดียวเท่านั้น อย่าทำการปลดล็อกแบบกลุ่มกับกล่องจดหมายทั้งหมดเพื่อแก้ไขปัญหาการเข้าสู่ระบบล้มเหลวเพียงครั้งเดียว การตั้งค่าบัญชีให้ใช้งานได้จะคืนค่าสิทธิ์ในการเข้าสู่ระบบ แต่จะไม่แก้ไขรหัสผ่านที่ยังคงไม่ถูกต้อง หรือป้องกันไม่ให้ไคลเอนต์ส่งข้อมูลประจำตัวที่ล้าสมัย

หากผู้ใช้ไม่สามารถเข้าสู่ระบบได้หลังจากปลดล็อกแล้ว ให้ตรวจสอบรหัสผ่านผ่านกระบวนการยืนยันตัวตนที่องค์กรของคุณอนุมัติ ผู้ดูแลระบบ Zimbra สามารถตั้งรหัสผ่านใหม่ได้zmprov sp user@example.com <new-password>แต่การตั้งค่านี้จะมีผลกับที่เก็บรหัสผ่านของ Zimbra เท่านั้น การใช้งานที่ตรวจสอบสิทธิ์ผ่าน LDAP, Active Directory หรือผู้ให้บริการ Single Sign-On อาจต้องรีเซ็ตรหัสผ่านหรือปลดล็อกในระบบยืนยันตัวตนภายนอกนั้นแทน Zimbra ได้อธิบายzmprov spคำสั่งรีเซ็ตรหัสผ่านไว้ในคู่มือสำหรับผู้ดูแลระบบ โปรดตรวจสอบคำแนะนำในการรีเซ็ตรหัสผ่านของ Zimbra

ทำไมบัญชีถึงล็อกอีกแล้ว?

หลังจากกู้คืนการเข้าถึงแล้ว ให้ตรวจสอบแหล่งที่มาที่ยังคงส่งข้อมูลรับรองที่ไม่ถูกต้อง สาเหตุทั่วไป ได้แก่ โทรศัพท์ที่มีรหัสผ่านที่บันทึกไว้เก่า โปรแกรมอีเมลบนเดสก์ท็อป แท็บเล็ต เครื่องพิมพ์หรือเครื่องสแกนที่ใช้ SMTP ที่ต้องมีการตรวจสอบสิทธิ์ สคริปต์ที่กำหนดเวลาไว้ หรือแอปพลิเคชันที่ไม่ได้อัปเดต สอบถามผู้ใช้ว่าอุปกรณ์และแอปใดบ้างที่กำหนดค่าไว้สำหรับกล่องจดหมาย และอัปเดตหรือตัดการเชื่อมต่อชั่วคราวก่อนที่จะทดสอบการเข้าสู่ระบบอีกครั้ง

ตรวจสอบบันทึกกล่องจดหมายในช่วงเวลาที่เกิดการล็อกเอาต์ Zimbra บันทึกข้อความเกี่ยวกับการป้องกันการเข้าสู่ระบบล้มเหลวไว้ใน/opt/zimbra/log/mailbox.logไฟล์บันทึก โดยรูปแบบและรายละเอียดของบันทึกอาจแตกต่างกันไปตามเวอร์ชันและการใช้งาน

grep -Ei 'failed login|invalid credentials|suspended' /opt/zimbra/log/mailbox.log | tail -n 50

ตรวจสอบเวลาและที่อยู่ต้นทางที่เกี่ยวข้องกับความล้มเหลวซ้ำๆ เชื่อมโยงข้อมูลเหล่านั้นกับอุปกรณ์ของผู้ใช้และบันทึกเครือข่ายของคุณ ที่อยู่ IP ที่คุ้นเคยอาจยังคงแสดงถึงโปรแกรมอีเมลที่ล้าสมัย แหล่งที่มาที่ไม่คุ้นเคยหรือการพยายามเข้าสู่ระบบอย่างต่อเนื่องหลังจากที่ผู้ใช้หยุดเข้าสู่ระบบแล้ว บ่งชี้ว่าจำเป็นต้องมีการตรวจสอบด้านความปลอดภัย เก็บรักษาบันทึกที่เกี่ยวข้องตามนโยบายการเก็บรักษาข้อมูลขององค์กรของคุณ

เอกสารการแก้ไขปัญหาของ Zimbra แสดงตัวอย่างข้อความบันทึกของกล่องจดหมายที่ระบุว่าที่อยู่ IP ถูกระงับหลังจากเข้าสู่ระบบล้มเหลวซ้ำๆดูตัวอย่างบันทึกของ Zimbra สำหรับการเข้าสู่ระบบล้มเหลวซ้ำๆ

คุณควรทบทวนนโยบายการล็อกประตูอย่างไร?

ตรวจสอบการตั้งค่าบัญชีหรือระดับการให้บริการที่ใช้งานอยู่ก่อนที่จะเปลี่ยนแปลงค่าเกณฑ์ คุณสมบัติการล็อกเอาต์ของ Zimbra ประกอบด้วย การเปิดใช้งานการล็อกเอาต์ ระยะเวลาการล็อกเอาต์ จำนวนความล้มเหลวติดต่อกันสูงสุด และช่วงเวลาที่นับความล้มเหลว ค่าที่ใช้ได้อาจแตกต่างกันไปขึ้นอยู่กับบัญชีและระดับการให้บริการ และ Zimbra เวอร์ชันต่างๆ อาจแตกต่างกัน โปรดใช้เอกสารที่ตรงกับเวอร์ชันที่ติดตั้งของคุณแทนที่จะสันนิษฐานว่าค่าตัวอย่างเป็นค่าเริ่มต้นสากล

zmprov ga user@example.com zimbraPasswordLockoutEnabled zimbraPasswordLockoutDuration zimbraPasswordLockoutMaxFailures zimbraPasswordLockoutFailureLifetime

หากการตั้งค่าถูกสืบทอดมาจากคลาสของบริการ (Class of Service หรือ COS) ให้ตรวจสอบ COS นั้นด้วย ตัวอย่างเช่น ใช้zmprov gc defaultเฉพาะในกรณีที่บัญชีนั้นเป็นของdefaultCOS นั้นจริง ๆ อย่าปิดใช้งานการล็อกเอาต์หรือเพิ่มเกณฑ์ความล้มเหลวเพียงเพื่อให้ข้อความหายไป ให้แก้ไขปัญหาข้อมูลประจำตัวที่ล้าสมัยก่อน จากนั้นเลือกค่าของนโยบายที่สร้างสมดุลระหว่างการเข้าถึงของผู้ใช้และการป้องกันการเดารหัสผ่าน ทดสอบการปรับเปลี่ยนนโยบายใด ๆ ด้วยขอบเขตเล็ก ๆ ที่ได้รับอนุมัติ และบันทึกค่าก่อนหน้าไว้สำหรับการย้อนกลับ

แล้วถ้าเป็นบัญชีผู้ดูแลระบบล่ะ?

หากบัญชีที่ได้รับผลกระทบเป็นบัญชีผู้ดูแลระบบ ให้หลีกเลี่ยงการแก้ไขไดเร็กทอรีด้วยตนเองเป็นอันดับแรก ตรวจสอบว่าบัญชีดังกล่าวเป็นผู้ดูแลระบบที่จัดการโดย Zimbra หรือได้รับการตรวจสอบสิทธิ์ผ่านไดเร็กทอรีภายนอก ใช้บัญชีผู้ดูแลระบบที่ได้รับอนุญาตแยกต่างหาก หรือขั้นตอนการกู้คืนที่บันทึกไว้ขององค์กรของคุณ Zimbra มีคำแนะนำแยกต่างหากสำหรับการกู้คืนรหัสผ่านผู้ดูแลระบบ และระบุว่าการตรวจสอบสิทธิ์ LDAP ภายนอกหรือ Active Directory จะเปลี่ยนเส้นทางการกู้คืน ตรวจสอบ คำแนะนำการกู้คืนบัญชีผู้ดูแลระบบของ Zimbra

หากไม่มีบัญชีผู้ดูแลระบบที่ใช้งานได้ โปรดติดต่อผู้ให้บริการ Zimbra หรือทีมที่รับผิดชอบไดเร็กทอรี LDAP หลีกเลี่ยงการคัดลอกวิธีการแก้ไข LDAP ที่ไม่ได้รับการตรวจสอบจากฟอรัม: การระบุตัวตนการเชื่อมต่อที่ไม่ถูกต้องหรือการเปลี่ยนแปลงไดเร็กทอรีอาจส่งผลกระทบมากกว่าแค่กล่องจดหมายเดียว

คุณจะตรวจสอบความถูกต้องของการแก้ไขได้อย่างไร?

หลังจากแก้ไขสถานะบัญชีและแหล่งที่มาของข้อมูลประจำตัวที่ไม่ถูกต้องแล้ว ให้ตรวจสอบสถานะบัญชีอีกครั้ง ขอให้ผู้ใช้เข้าสู่ระบบหนึ่งครั้งผ่านทางเว็บไคลเอ็นต์ตามปกติ และยืนยันว่าไม่มีเหตุการณ์การเข้าสู่ระบบล้มเหลวใหม่เกิดขึ้นในขณะนั้น อัปเดตรหัสผ่านที่บันทึกไว้ในแอปอีเมลหลังจากที่ยืนยันรหัสผ่านแล้วเท่านั้น หากสถานะกลับเป็น ให้lockoutเชื่อมโยงเวลาที่เกิดความล้มเหลวครั้งถัดไปกับบันทึก และระบุไคลเอ็นต์ที่เหลือ ก่อนที่จะปลดล็อกอีกครั้ง

วิธีแก้ปัญหานี้ใช้ได้ผลเมื่อผู้ใช้สามารถเข้าสู่ระบบได้ บัญชีจะยังคงใช้งานได้ และการตรวจสอบสิทธิ์ล้มเหลวซ้ำๆ จะหยุดลง หากบัญชียังคงไม่สามารถตรวจสอบสิทธิ์ได้ในขณะที่ใช้งานอยู่ ให้ตรวจสอบรหัสผ่าน ผู้ให้บริการยืนยันตัวตนภายนอก นโยบายบัญชี และสถานะของบริการว่าเป็นสาเหตุอื่นหรือไม่ การปลดล็อกกล่องจดหมายซ้ำๆ จะไม่สามารถแก้ไขปัญหาเหล่านั้นได้