Network Security: Force Logoff When Logon Hours Expire ไม่ทำงาน - สาเหตุและวิธีแก้

Force Logoff When Logon Hours Expire คืออะไร?

นโยบาย Group Policy ใน Windows ที่บังคับให้ผู้ใช้ Log off อัตโนมัติเมื่อเวลาที่อนุญาตให้ Logon (Logon Hours) หมดอายุ ตั้งอยู่ที่:

สาเหตุที่ไม่ทำงาน (Common Causes)

ขั้นตอน Troubleshooting แบบเป็นขั้นตอน

1. ตรวจสอบ GPO Apply: บน Client รัน gpresult /h gpreport.html เปิดดูว่า Policy "Network security: Force logoff when logon hours expire" เป็น Enabled และ Winning GPO
2. ตรวจสอบ Logon Hours: ADUC → User → Account → Logon Hours → ต้องมีเวลาที่ Deny (สีแดง/ขีดทับ)
3. Time Sync: w32tm /query /status ต้อง Sync กับ DC, Offset < 1 วินาที
4. Force Update: gpupdate /force แล้ว Reboot
5. ทดสอบ: Login ด้วย User นั้น รอจนเวลา Logon Hours หมด → ควรถูก Logoff อัตโนมัติ
6. ดู Event Log: Event Viewer → Security → Event ID 4647 (Logoff), 4625 (Failed logon)

การตั้งค่า Logon Hours ใน Active Directory

1. เปิด Active Directory Users and Computers (dsa.msc)
2. ขวาที่ User → Properties → แท็บ Account
3. กด Logon Hours...
4. เลือกช่วงเวลา → Logon Denied (สีแดง) สำหรับเวลาที่ไม่อนุญาต
5. OK → Apply → OK

การ Force Logoff ผ่าน Group Policy (Script/Scheduled Task)

หาก GPO Built-in ไม่ทำงาน สามารถใช้ Script แทน:

# PowerShell Script รันเป็น Scheduled Task ทุก 15 นาที
$users = Get-ADUser -Filter {Enabled -eq $true} -Properties LogonHours
foreach ($user in $users) {
    $logonHours = $user.LogonHours
    if ($logonHours -and (Test-LogonHourDenied $logonHours)) {
        # Force logoff: query session → logoff
        $sessions = query session /server:$env:COMPUTERNAME
        # Parse และ logoff session ของ user นั้น
    }
}

หรือใช้ logoff.exe หรือ shutdown /l /f ใน Context ของ User Session

คำถามที่พบบ่อย

Logon Hours ทำงานกับ Local Account ได้ไหม?

ไม่ได้** Logon Hours เป็น Feature ของ Active Directory เท่านั้น Local Account ใช้ Local Policy: "Local Policies → Security Options → Network security: Force logoff when logon hours expire" แต่ต้องตั้ง Logon Hours ผ่าน net user username /time:M-F,8am-5pm