Az Active Directory tartomány rendszergazdai jelszavának visszaállítása

Ebben a cikkben megvizsgáljuk az Active Directory tartományrendszergazdai jelszó-visszaállítási forgatókönyveit. Olyan esetekben lehet szüksége rá, amikor a tartományadminisztrátori jogosultságai elvesztek egy visszavonuló rendszergazda feledékenysége vagy szándékos szabotázsa, hackertámadás stb. miatt. A tartományadminisztrátori jelszó sikeres visszaállításához fizikai vagy távoli hozzáféréssel kell rendelkeznie az AD tartományvezérlőhöz. konzol (iLO, iDRAC vagy VMware vSphere/Hyper-V/Proxmox konzol virtuális DC használata esetén).

Ebben a példában visszaállítjuk a rendszergazdai jelszót egy Windows Server 2019 rendszert futtató tartományvezérlőn. Ha egynél több tartományvezérlő van a hálózaton, bármelyik tartományvezérlő jelszavát visszaállíthatja.

Hogyan állíthat vissza egy elveszett domain rendszergazdai jelszót, ha nem ismeri a DSRM jelszavát?

Indítsa el a kiszolgálót bármely Windows telepítési adathordozóról (ez lehet egy Windows telepítő USB pendrive vagy egy ISO kép):

1. nyomja meg

   Shift+F10

   a parancssor megnyitásához a Windows telepítőképernyőjén;

2. Most ismernie kell annak a partíciónak a betűjelét, amelyre a Windows Server telepítve van. Futtassa a parancsot:

   wmic logicaldisk get volumename,name

   Példámban láthatja, hogy az offline Windows Server-képem a C: rendszeren van. Ez a meghajtó betűjele, amelyet a következő parancsokban fogunk használni.

   

   A lemezeket a Windows rendszerben a diskpart segítségével is azonosíthatja:

   diskpart
   ->
   list disk
   ->
   list vol
   

   

3. Készítsen biztonsági másolatot az eredeti utilman.exe fájlról:

   copy C:\windows\system32\utilman.exe C:\windows\system32\utilman.exebak

4. Ezután cserélje ki az utilman.exe fájlt a cmd.exe fájlra:

   copy c:\windows\system32\cmd.exe c:\windows\system32\utilman.exe /y

   

5. Bontsa ki a rendszerindító lemezképet (USB/ISO), és indítsa újra a gazdagépet:

   wpeutil reboot

6. A tartományvezérlő elindítása után kattintson az „Easy Access” gombra a bejelentkezési képernyőn. Ez megnyit egy parancssort;

7. Futtassa a

   whoami

   parancsot, hogy megbizonyosodjon arról, hogy a parancssor NT Authority\SYSTEM néven fut;

   

8. A rendszergazdai fiókkal kapcsolatos információk listája:

   net user administrator

   

9. Ebben a példában láthatja, hogy ez a felhasználó a Domain Admins csoport tagja, és most le van tiltva:

   Account active: No

10. Engedélyezze a domain rendszergazdai fiókját:

    net user administrator /active:yes

11. Most visszaállíthatja domain rendszergazdai jelszavát:

    net user administrator *

    Állítson be új rendszergazdai jelszót (az új jelszónak meg kell egyeznie a tartományi jelszóházirenddel);

    

12. Indítsa újra a kiszolgálót a telepítési adathordozóról, és cserélje ki az utilman.exe fájlt az eredeti fájlra (hogy elkerülje a biztonsági rést a szerveren):

    copy c:\windows\system32\utilman.exebak c:\windows\system32\utilman.exe /y

13. Indítsa újra a tartományvezérlőt normál módban, és győződjön meg arról, hogy most már be tud jelentkezni a DC-re az új tartományadminisztrátori jelszóval.

A tartományadminisztrátori jelszó visszaállítása virtualizált tartományvezérlőn

Ha bármilyen hypervisoron (ESXi, Hyper-V, Proxmox) fut virtualizált tartományvezérlő, akkor a DSInternals PowerShell modul segítségével visszaállíthatja a rendszergazdai jelszót.
Ehhez:

1. Állítsa le az AD DS szerepkört (tartományvezérlőt) futtató virtuális gépet, és csatlakoztassa a virtuális meghajtót (vhdx, vmdk stb.) bármely másik, Windows rendszert futtató virtuális géphez. Rendeljen hozzá meghajtóbetűjelet, pl.

   E:

   ;

2. Telepítse a DSInternals modult a PowerShell galériából:

   Install-Module DSInternals -Force

   A PowerShell-modulok offline módban is telepíthetők, ha nem áll rendelkezésre internetkapcsolat.

3. Szerezzen be egy rendszerindító kulcsot az AD-adatbázisban (ntds.dit) található jelszókivonatok titkosításához:

   $bootkey= Get-BootKey -SystemHiveFilePath "E:\Windows\System32\config\SYSTEM"

4. Mostantól információkat szerezhet az AD adatbázisban található bármely felhasználói fiókról:

   Get-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

5. Ha a domain rendszergazdai fiókja le van tiltva, engedélyezze, és állítson be új jelszót:

   Enable-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit"
   Set-ADDBAccountPassword -SamAccountName 'administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

   

6. Válassza le a virtuális meghajtót, csatlakoztassa újra a forrás virtuális géphez, és kapcsolja be a tartományvezérlőt;

7. Ezt követően az új tartományadminisztrátori jelszó az összes DC-re replikálódik.

Állítsa vissza a tartományadminisztrátori jelszót a DSRM-ből

Ha ismeri a DSRM adminisztrátori jelszavát, akkor az Advanced Boot Options menü megfelelő beállításával elindíthatja a DC-t DSRM-be.

Írja be a helyi felhasználónevet (rendszergazda) és a jelszót (DSRM jelszó) a bejelentkezési képernyőn.

Ebben a példában a tartományvezérlő neve DC01.
A parancs futtatásával ellenőrizzük, melyik felhasználó jelentkezett be a rendszerbe:

whoami /user

USER INFORMATION
----------------
User Name          SID
================== ============================================
dc01\administrator S-1-5-21-3244332244-312345677-2454632109-500

Mint láthatja, helyi rendszergazdaként vagyunk bejelentkezve.

A következő lépés az Active Directory rendszergazdai jelszavának módosítása (alapértelmezés szerint a fiók neve rendszergazda). A domain rendszergazda jelszavának visszaállításához létrehozunk egy szolgáltatást, amely visszaállítja a rendszergazdai fiók jelszavát a RENDSZER alatt:

sc create ResetADPass binPath= "%ComSpec% /k net user administrator P1SSsw0rd21!" start= auto

Győződjön meg arról, hogy a szolgáltatás létrejött:

sc qc ResetADPass

[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ResetADPass
TYPE               : 10  WIN32_OWN_PROCESS
START_TYPE         : 2   AUTO_START
ERROR_CONTROL      : 1   NORMAL
BINARY_PATH_NAME   : C:\Windows\system32\cmd.exe /k net user administrator P@ssw0rd1
LOAD_ORDER_GROUP   :
TAG                : 0
DISPLAY_NAME       : ResetADPass
DEPENDENCIES       :
SERVICE_START_NAME : LocalSystem

Indítsa újra a tartományvezérlőt normál módban:

shutdown -r -t 0

Indításkor az általunk létrehozott szolgáltatás megváltoztatja a Domain Admin jelszót P1SSsw0rd21!-re. Ezzel a fiókkal és jelszóval jelentkezhet be a DC-be.

whoami /user

USER INFORMATION
----------------
User Name             SID
===================== ============================================
corp\administrator S-1-5-21-1737425439-23123122-1234318981-500

Ezután törölje az imént létrehozott Windows szolgáltatást:

sc delete ResetADPass

[SC] DeleteService SUCCESS

Ebben a cikkben azt nézzük meg, hogyan állíthatja vissza az AD-tartomány rendszergazdáinak jelszavát. Szeretnénk megismételni az informatikai infrastruktúra fizikai biztonságának biztosításának fontosságát. Ha a felhatalmazott személyzeten kívül valaki más helyi hozzáféréssel rendelkezik a tartományvezérlőket futtató fizikai gazdagéphez, könnyen visszaállíthatja bármely felhasználói vagy rendszergazdai jelszavát. Ha kevésbé megbízható helyekre kell telepítenie a DC-t, akkor ajánlott csak olvasható tartományvezérlő (RODC) szolgáltatás használata.