Пользователи заблокированы от DC, автоматически разблокируются администратором

Я работаю над типичной архитектурой Windows, содержащей контроллеры домена, серверы Exchange и т. Д.
Недавно я настроил сценарий для получения уведомлений, когда пользователь заблокирован. Работает отлично, но я заметил кое-что очень странное.

Я сообщаю некоторую информацию, такую ​​как машина, с которой пользователь был заблокирован, контроллер домена, ответственный за действие, и т. Д. (Я могу получить всю эту информацию в журналах на контроллерах домена. ID 4740 для блокировки, 4767 для разблокировки ).
Дело в том, что регулярно (примерно 1-2 раза в день) некоторые пользователи блокируются контроллером домена (например, если он несколько раз вводил пароль на этом DC). Конечно, пользователи не могут получить доступ к контроллерам домена, так что это первая странность. Более странно то, что эти пользователи автоматически разблокируются администратором примерно через 1 секунду.

Вы знаете, что может вызвать это? Я почти уверен, что в этом не может быть ничего злого.

Обратите внимание, что :

• Пользователи не могут получить доступ к контроллерам домена (или у меня есть действительно хороший хакер, спрятанный среди них, и я не знаю, как он сможет это сделать ^^)
• Заблокированные пользователи никогда не повторяются, это кажется случайным
• Задержка между блокировкой и разблокировкой настолько мала (чуть менее 1 секунды), что человеку нужно будет быть готовым разблокировать учетную запись, как только она будет заблокирована, поэтому это должно происходить автоматически.
• Заблокированные пользователи со своих компьютеров остаются заблокированными, как и положено. Автоматическая разблокировка происходит только тогда, когда событие блокировки выполняется с DC.
• Учетная запись администратора никогда не используется и не упоминается каким-либо образом для вызова / выполнения скрипта

Спасибо за ваше время ! :)

Вот код скрипта (но я не думаю, что он может быть полезен)

#Get security user lockout events.  61 seconds should be sufficient, as the scheduled task run every minute.
#It leaves 1 sec for execution time.
#EventID 4740 is user lockout. 4767 is unlock.

$startTime = (get-date).addseconds(-61)

[void] [System.Reflection.Assembly]::LoadWithPartialName("System.Drawing") 
[void] [System.Reflection.Assembly]::LoadWithPartialName("System.Windows.Forms")

$DomainControllers = (Get-ADDomainController -Filter *)

foreach ($DC in $DomainControllers) {

    $eventList = Get-WinEvent -ComputerName $DC.Name -filterhashtable @{logname="security";starttime=$startTime;id="4740"} -ErrorAction SilentlyContinue
    $emailBody = $null

    if ($eventList) {

        #Start a walk through the events to collect data.

        $eventList | foreach-object {
            [string]$lockoutTime = $_.timecreated
            $userName = $_.Properties[0].Value
            $user = Get-ADUser -Identity $userName -Properties *
            $name = $user.Name
            $department = $user.Department
            $site = $user.City
            $mail = $user.PrimarySmtpAddress
            $userSID = $_.Properties[2].Value
            $computerName = $_.Properties[1].Value -creplace '^\\+',''
            $IPAddress = [System.Net.Dns]::GetHostAddresses($computerName).IPAddressToString

            #Compile the alert text from each event

            $emailBody += "Utilisateur : $name`nDepartment : $department`nSite : $site`nLogin : $userName`nEmail : $mail`nOrdinateur fautif : $computerName`nAdresses IP : $IPAddress`nDate de verrouillage : $lockoutTime`nDC responsable du verrouillage : $($DC.Name)`nSID de l'utilisateur : $userSID"

            #Send mail to report the lockout
            Send-MailMessage -To "<####>" -From "<####>" -Subject "Blocage compte AD" -Body $emailBody -SmtpServer "####"


            #Create a popup on desktop
            $objForm = New-Object System.Windows.Forms.Form 
            $objForm.Text = "Unlocked AD accounts"
            $objForm.Size = New-Object System.Drawing.Size(300,115) 
            $objForm.StartPosition = "CenterScreen"

            $objLabel = New-Object System.Windows.Forms.Label
            $objLabel.Size = New-Object System.Drawing.Size(280,20)
            $objLabel.Location = New-Object System.Drawing.Size(10,15) 
            $objLabel.Text = "Compte de $name verrouillé."
            $objForm.Controls.Add($objLabel)

            $OKButton = New-Object System.Windows.Forms.Button
            $OKButton.Location = New-Object System.Drawing.Size(160,50)
            $OKButton.Size = New-Object System.Drawing.Size(85,23)
            $OKButton.Text = "Tant pis"
            $OKButton.Add_Click({$objForm.Close()})
            $objForm.Controls.Add($OKButton)

            $UnlockButton = New-Object System.Windows.Forms.Button
            $UnlockButton.Location = New-Object System.Drawing.Size(60,50)
            $UnlockButton.Size = New-Object System.Drawing.Size(85,23)
            $UnlockButton.Text = "Déverrouiller"
            $UnlockButton.Add_Click({Unlock-ADAccount $userName; $objForm.Close()})
            $objForm.Controls.Add($UnlockButton)
            if ((Get-ADUser $userName -Properties Lockedout).Lockedout) {
                [void] $objForm.ShowDialog()
            }
        }
    }
}