So legen Sie Anmeldezeiten für Active Directory-Benutzer fest

Durch das Konfigurieren der Anmeldezeiten für Active Directory-Benutzer können Administratoren steuern, wann Mitarbeiter auf Netzwerkressourcen zugreifen können. Diese Funktion trägt zur Durchsetzung der Arbeitszeitrichtlinien des Unternehmens bei und verbessert die Sicherheit, indem der Zugriff außerhalb der Geschäftszeiten verhindert wird, wenn verdächtige Aktivitäten wahrscheinlicher sind. Wenn Benutzer versuchen, sich außerhalb der zulässigen Zeiten anzumelden, wird ihnen die Meldung „Ihr Konto unterliegt zeitlichen Beschränkungen, die eine Anmeldung zu diesem Zeitpunkt verhindern.“ angezeigt. Lassen Sie uns untersuchen, wie Sie diese Einschränkungen einrichten und verwalten.

Anmeldezeiten für einzelne Benutzer festlegen

Schritt 1:Öffnen Sie Active Directory-Benutzer und -Computer (ADUC) auf Ihrem Domänencontroller oder Ihrer Verwaltungsarbeitsstation.

Schritt 2:Suchen Sie das Benutzerkonto, das Sie konfigurieren möchten, klicken Sie mit der rechten Maustaste darauf und wählen Sie dann „Eigenschaften“ aus dem Kontextmenü.

Schritt 3:Klicken Sie im Eigenschaftenfenster auf die Registerkarte „Konto“. Sie finden eine Schaltfläche mit der Bezeichnung „Anmeldezeiten“. Hier können Sie einen Zeitplan für diesen Benutzer definieren.

Schritt 4:Das Fenster „Anmeldestunden“ zeigt ein Raster mit Wochentagen und Tagesstunden an. Blaue Kästchen geben zulässige Anmeldezeiten an, während weiße Kästchen verweigerte Zeiten anzeigen.

Schritt 5:Um eingeschränkte Öffnungszeiten festzulegen, klicken Sie auf das Optionsfeld „Anmeldung verweigert“. Klicken Sie dann auf das Raster und ziehen Sie es, um die Stunden auszuwählen, die Sie blockieren möchten. Beispielsweise können Sie wochentags von 18:00 Uhr bis 8:00 Uhr und am Wochenende ganztägig den Zutritt verweigern.

Schritt 6:Um zulässige Stunden festzulegen, klicken Sie auf das Optionsfeld „Anmeldung zulässig“ und wählen Sie die entsprechenden Zeitblöcke aus. Beispielsweise könnten Sie den Zutritt wochentags von 8:00 bis 18:00 Uhr ermöglichen.

Schritt 7:Klicken Sie auf „OK“, um die Änderungen zu speichern und die neuen Anmeldezeiten für diesen Benutzer anzuwenden.

Anmeldezeiten für mehrere Benutzer konfigurieren

Für größere Organisationen kann das individuelle Festlegen der Anmeldezeiten zeitaufwändig sein. So wenden Sie Einschränkungen auf Benutzergruppen an:

Schritt 1:Erstellen Sie in ADUC eine neue Organisationseinheit (OU) oder verwenden Sie eine vorhandene, die die Benutzer enthält, die Sie einschränken möchten.

Schritt 2:Wählen Sie alle Benutzer in der Organisationseinheit aus, indem Sie die Strg-Taste gedrückt halten und auf jeden Benutzer klicken, oder drücken Sie Strg+A, um alle auszuwählen.

Schritt 3:Klicken Sie mit der rechten Maustaste auf die ausgewählten Benutzer und wählen Sie „Eigenschaften“.

Schritt 4:Klicken Sie im Mehrfachauswahl-Eigenschaftenfenster auf die Registerkarte „Konto“.

Schritt 5:Aktivieren Sie das Kontrollkästchen neben „Anmeldezeiten“, um diese Einstellung für alle ausgewählten Benutzer zu ändern.

Schritt 6:Klicken Sie auf die Schaltfläche „Anmeldezeiten“ und legen Sie den Zeitplan fest, wie oben im Prozess für einzelne Benutzer beschrieben.

Schritt 7:Klicken Sie auf „Übernehmen“ und dann auf „OK“, um die Änderungen für alle ausgewählten Benutzer zu speichern.

Durchsetzung von Anmeldezeitbeschränkungen

Um sicherzustellen, dass Benutzer nach Ablauf ihrer Anmeldezeiten getrennt werden, müssen Sie eine zusätzliche Gruppenrichtlinieneinstellung konfigurieren:

Schritt 1:Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (gpmc.msc) auf Ihrem Domänencontroller.

Schritt 2:Erstellen Sie ein neues Gruppenrichtlinienobjekt (GPO) oder bearbeiten Sie ein vorhandenes, das für Ihre Zielbenutzer oder Computer gilt.

Schritt 3:Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen.

Schritt 4:Suchen Sie die Richtlinie mit dem Namen „Microsoft-Netzwerkserver: Clients nach Ablauf der Anmeldezeit trennen“ und doppelklicken Sie darauf.

Schritt 5:Setzen Sie die Richtlinie auf „Aktiviert“ und klicken Sie auf „OK“, um die Änderung zu speichern.

Schritt 6:Verknüpfen Sie das Gruppenrichtlinienobjekt mit der entsprechenden Organisationseinheit, die Ihre Benutzerkonten oder Computerobjekte enthält.

Schritt 7:Laufengpupdate /forceauf Clientcomputern oder warten Sie auf den nächsten Aktualisierungszyklus der Gruppenrichtlinie, damit die Änderungen wirksam werden.

Verfolgen von Anmelde- und Abmeldezeiten

Um zu überwachen, wann Benutzer auf das System zugreifen, können Sie die Überwachung für Anmeldeereignisse aktivieren:

Schritt 1:Navigieren Sie im Gruppenrichtlinienverwaltungs-Editor zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien > Anmeldung/Abmeldung.

Schritt 2:Konfigurieren Sie die Richtlinien „Anmeldung prüfen“ und „Abmeldung prüfen“, um sowohl Erfolge als auch Fehler zu überwachen.

Schritt 3:Wenden Sie das Gruppenrichtlinienobjekt auf Ihre Domänencontroller oder Mitgliedsserver an, auf denen Sie Anmeldeereignisse verfolgen möchten.

Schritt 4:Überprüfen Sie das Sicherheitsereignisprotokoll auf diesen Servern, um Anmelde- und Abmeldeereignisse für Domänenbenutzer anzuzeigen.

Verwenden von PowerShell zum Überprüfen der letzten Anmeldezeiten

Für schnelle Überprüfungen des Benutzeranmeldeverlaufs kann PowerShell ein leistungsstarkes Tool sein. Hier ist ein einfacher Befehl, um das letzte Anmeldedatum eines Benutzers abzurufen:

Get-ADUser -Identity "UserName" -Properties "LastLogonDate"

Ersetzen Sie „Benutzername“ durch den tatsächlichen Benutzernamen, den Sie überprüfen möchten. Dieser Befehl ruft den Zeitpunkt der letzten Authentifizierung des Benutzers bei der Domäne ab.

Mehr lesen:Beschränken Sie die zulässige Anmeldezeit für lokale Benutzer unter Windows

Für detailliertere Anmeldeinformationen können Sie die Ereignisprotokolle auf Domänencontrollern abfragen. Hier ist ein Beispiel-PowerShell-Skript zum Abrufen aktueller Anmeldeereignisse für einen bestimmten Benutzer:

$User = "UserName"
$DaysBack = -7
$StartTime = (Get-Date).AddDays($DaysBack)
Get-WinEvent -FilterHashtable @{
    LogName="Security"
    ID=4624
    StartTime=$StartTime
} | Where-Object {$_.Properties[5].Value -eq $User} | 
Select-Object TimeCreated,
    @{Name="User";Expression={$_.Properties[5].Value}},
    @{Name="LogonType";Expression={$_.Properties[8].Value}},
    @{Name="Status";Expression={$_.Properties[8].Value}},
    @{Name="ComputerName";Expression={$_.Properties[11].Value}}

Dieses Skript ruft erfolgreiche Anmeldeereignisse (Ereignis-ID 4624) für den angegebenen Benutzer aus den letzten 7 Tagen ab. Passen Sie die an$UserUnd$DaysBackVariablen nach Bedarf.

Durch die Implementierung von Anmeldezeitbeschränkungen und die Überwachung der Zugriffszeiten können Sie die Sicherheitslage Ihres Unternehmens erheblich verbessern und die Einhaltung von Arbeitszeitrichtlinien sicherstellen. Denken Sie daran, diese Änderungen Ihren Benutzern mitzuteilen und diejenigen zu unterstützen, die aus berechtigten Gründen möglicherweise außerhalb der Geschäftszeiten Zugriff benötigen.