修復 Zimbra “帳戶已鎖定”登入失敗問題：使用者和管理員步驟

如果 Zimbra Web 用戶端傳回「帳戶已鎖定」的提示，請停止嘗試輸入密碼。重複嘗試可能會導致帳戶一直處於鎖定狀態，而且舊的手機或郵件應用程式可能會在背景提交了過期的密碼。正確的解決方法取決於帳戶是暫時被鎖定、管理員設定的帳戶鎖定，還是處於其他狀態。

使用者可以等待設定的鎖定時間，然後嘗試輸入一次正確的密碼。 Zimbra 管理員可以確認帳戶狀態並解鎖已驗證的使用者帳戶zmprov。首先檢查登入失敗的來源，以確保相同裝置或腳本不會再次鎖定帳戶。

Zimbra 中的「帳戶已鎖定」是什麼意思？

Zimbra 可以在使用者連續輸入密碼錯誤達到預設次數後暫時阻止登入。管理員也可以將帳戶狀態設定為「已鎖定」來locked故意阻止登入。這兩種情況相關但不完全相同：身份驗證鎖定通常以帳戶狀態「已鎖定」表示lockout，而管理員設定的狀態則可能顯示為locked「已封鎖」。使用者看到的具體資訊可能因 Zimbra 版本和登入路徑而異，因此在變更帳戶狀態之前，請務必先檢查帳戶狀態。

登入封鎖期間，郵件投遞可能仍會繼續。帳戶被鎖定本身並不能證明帳戶已被盜用，但如果多次嘗試從未知設備或 IP 位址登錄，則應在恢復存取權限之前進行調查。

用戶應該先嘗試什麼？

1. 停止在連接到郵箱的每個裝置和郵件用戶端輸入密碼。
2. 請與該組織的郵件管理員確認該帳戶是否被故意停用或密碼是否最近被更改。
3. 如果管理員確認這是臨時密碼鎖定，請等待配置的持續時間。然後，在組織的正常 Zimbra 登入頁面上輸入一次已知的目前密碼。
4. 如果再次登入失敗，請停止操作並聯絡管理員。請勿反覆嘗試舊密碼，也不要使用未經核實訊息中的密碼重設連結。

Zimbra 技術中心的故障排除說明指出，鎖定時間過後，正確的登入操作可以重新啟動仍顯示鎖定狀態的帳戶；但說明也指出，在此登入之前，帳戶狀態可能不會自動變更。該說明目前仍處於完善階段，因此請將其視為已記錄的行為，並根據已安裝的 Zimbra 版本和本地身份驗證設定進行驗證，而非適用於所有部署的保證。請閱讀 Zimbra 的鎖定時間故障排除說明。

管理員如何確認帳號狀態？

使用特權帳戶在 Zimbra 伺服器上執行管理命令。在許多安裝中，管理員會先切換到 Zimbra 系統使用者。請將下面的範例地址替換為完整的郵箱地址，並且不要將密碼或敏感資訊貼到公共支援論壇中。

su - zimbra
zmprov ga user@example.com zimbraAccountStatus

在採取行動之前，請先解讀回傳值：

• lockout表示登入已被鎖定。請在清除鎖定前確認使用者、等待時間和最近一次登入失敗的來源。
• locked這可能表示管理員有意阻止了登入。請先確認帳戶所有者以及鎖定原因。
• closed，，maintenance或其他值指向不同的管理狀態。請勿在active不了解其設定原因的情況下更改它。

Zimbra 文件zmprov ga中將此指令既用於檢索帳戶訊息，也zmprov ma用於修改帳戶。請參閱 Zimbra zmprov 指令參考文件。

如何解鎖已確認的鎖定？

如果帳戶已驗證、使用者已獲得授權，且鎖定並非出於安全考慮，則將帳戶狀態恢復為「活動」：

zmprov ma user@example.com zimbraAccountStatus active
zmprov ga user@example.com zimbraAccountStatus

請僅使用一個帳戶的地址。不要為了解決個別登入失敗問題而對所有郵件信箱執行批次解鎖操作。將帳戶設定為活動狀態可以恢復登入資格，但不會更正仍然錯誤的密碼，也不會阻止用戶端提交過期的憑證。

如果使用者在解鎖後無法登錄，請透過貴組織認可的身份驗證流程驗證密碼。 Zimbra 管理員可以使用 `Zimbra 密碼重設指令` 設定新密碼zmprov sp user@example.com <new-password>，但這僅適用於 Zimbra 密碼庫。透過 LDAP、Active Directory 或單一登入提供者進行驗證的部署，可能需要在該外部身分系統中重設或解鎖密碼。 Zimbrazmprov sp在其管理員指南中提供了密碼重設指令的文件。請參閱 Zimbra 的密碼重設說明。

為什麼帳號總是被鎖定？

恢復存取權限後，檢查是否有持續傳送錯誤憑證的來源。常見原因包括：手機上儲存的密碼已過期、桌上型郵件用戶端、平板電腦、使用身份驗證 SMTP 的印表機或掃描器、定時腳本，或未更新的應用程式。詢問使用者哪些裝置和應用程式已配置到郵箱，並在再次進行登入測試之前更新它們或暫時斷開它們的連線。

查看鎖定發生前後郵箱的日誌。 Zimbra 會記錄登入失敗的保護訊息/opt/zimbra/log/mailbox.log；日誌格式和詳細資訊可能會因版本和部署而異。

grep -Ei 'failed login|invalid credentials|suspended' /opt/zimbra/log/mailbox.log | tail -n 50

尋找與重複失敗相關的時間戳記和來源位址。將它們與使用者的設備和網路記錄進行關聯。熟悉的 IP 位址仍可能代表過時的郵件用戶端；陌生的來源或在使用者停止登入後持續嘗試連線則需要進行安全審查。根據貴組織的保留策略，保留相關的日誌條目。

Zimbra 的故障排除資料提供了一個郵件匣日誌訊息範例，該訊息表示某個 IP 位址在多次登入失敗後被暫停。請參閱 Zimbra 的多次登入失敗日誌範例。

應該如何檢討鎖定政策？

變更閾值前，請檢查有效的帳戶或服務等級設定。 Zimbra 鎖定屬性包括是否啟用鎖定、鎖定持續時間、最大連續故障次數以及故障計數週期。適用值可能取決於帳戶及其服務等級，並且在不同 Zimbra 版本之間也可能存在差異。請使用與您已安裝版本相符的文檔，而不要想當然地認為範例值是通用預設值。

zmprov ga user@example.com zimbraPasswordLockoutEnabled zimbraPasswordLockoutDuration zimbraPasswordLockoutMaxFailures zimbraPasswordLockoutFailureLifetime

如果設定繼承自某個服務等級 (COS)，也請檢查該 COS；例如，zmprov gc default僅當帳戶確實屬於該defaultCOS 時才使用。不要僅僅為了讓訊息消失而禁用鎖定或提高故障閾值。首先解決過期憑證問題，然後選擇能夠平衡使用者存取權限和防止密碼猜測的政策值。對任何策略調整進行小範圍的、經批准的測試，並記錄先前的值以便回滾。

如果是管理員帳號呢？

如果受影響的帳戶是管理員帳戶，請避免先手動編輯目錄。確認該帳戶是 Zimbra 管理的管理員帳戶，還是透過外部目錄進行驗證的帳戶。使用單獨的、已授權的管理員帳戶，或使用貴組織已記錄的復原流程。 Zimbra 提供了單獨的管理員密碼復原指南，並指出外部 LDAP 或 Active Directory 驗證會改變復原路徑。請參閱 Zimbra 的管理員帳戶復原指南。

如果沒有可用的管理員帳戶，請聯絡 Zimbra 服務提供者或負責 LDAP 目錄的團隊。切勿從論壇複製未經驗證的 LDAP 修改方案：錯誤的綁定身分或目錄變更可能會影響多個郵件信箱。

如何驗證修復是否成功？

在修正帳戶狀態和錯誤憑證來源後，再次驗證帳戶狀態，要求使用者透過常規網頁用戶端登入一次，並確認此時未出現新的登入失敗事件。僅在密碼確認後才更新郵件應用程式中儲存的密碼。如果狀態恢復為「已登入」lockout，則將下一次失敗的時間戳記與日誌關聯，並在再次解鎖前確定剩餘的用戶端。

修復方案生效的條件是：使用者可以登錄，帳號保持啟動狀態，並且不再出現重複的身份驗證失敗。如果帳戶在啟動狀態下仍然無法通過身份驗證，請分別檢查密碼、外部身分提供者、帳戶策略和服務運作狀況，以確定是否有其他原因；重複解鎖郵件信箱無法解決這些問題。