Az Active Directory védelme: Ki adhat hozzá számítógépeket a tartományhoz? Csak a domain rendszergazdája?

"Csak a domain rendszergazdái adhatnak hozzá számítógépeket a tartományhoz." Nem tudom megszámolni, hányszor hallottam ezeket a szavakat. Új tartomány telepítésekor azonban egy számláló kerül konfigurálásra, amely lehetővé teszi, hogy minden tartományfelhasználó legfeljebb 10 számítógépet adjon hozzá a tartományhoz. Ez az alapértelmezett beállítás. A beállítás módosítható, és figyelembe kell venni az IT biztonsági koncepcióban.

Az ms-DS-MachineAccountQuota

A beállítás megtalálható a dsa.msc-ben (speciális funkciók engedélyezése!) Nyissa meg a dsa.msc-t (Active Directory Users and Computers). Ha még nincs engedélyezve, engedélyezze a Speciális funkciókat. Ezután nyissa meg a domain tulajdonságait (jobb gombbal), kattintson az Attribútumszerkesztőre, és lépjen az Attribut ms-DS-MachineAccountQuota elemre. Meglepődtél? Minden felhasználó (Domain User) legfeljebb 10 számítógépet adhat hozzá.

Vagy futtasson egy egyszerű One-Liner-t a PowerShellben. Ne törődj a domain névvel. A Get-ADDomainről hívjuk.

Get-ADObject ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota

Ki adta hozzá a client01-et a domainhez?

Ki adta hozzá a client01-et a domainhez? Petra domain felhasználó, és hozzáadta a tartományhoz a client01-et. Egy egyszerű egysoros futtatásával láthatjuk. Rendben, el kell ismernem, hogy ez egy háromrétegű. Megvizsgáljuk a számítógépfiók ms-DS-CreatorSID attribútumait.

Get-ADComputer client01 -Properties mS-DS-CreatorSID | Select-Object -Expandproperty mS-DS-CreatorSID | Select-Object -ExpandProperty Value | Foreach-Object {Get-ADUser -Filter {SID -eq $_}}

Az alapértelmezett érték módosítása

A 0 érték azt jelenti, hogy a tartomány felhasználói nem adhatnak hozzá számítógépfiókokat.

Nyissa meg a tartomány tulajdonságait, és kattintson duplán az ms-DS-MachineAccountQuota elemre. Módosítsa az értéket. A szám azoknak a számítógépeknek a számát jelenti, amelyeket a felhasználóknak hozzá kell adniuk a tartományhoz. Javaslom 0-ra cserélni.

Vagy használja a PowerShellt. Még egyszer: Ne aggódjon a domain név miatt. A rendszer automatikusan kitölti.

Set-ADDomain (Get-ADDomain).distinguishedname -Replace @{"ms-ds-MachineAccountQuota"="0"}

A hatás

A felhasználó értesítést kap, hogy elérte a maximális számot. A következő hiba történt, amikor megpróbálta a számítógépet a tartományhoz csatlakozni: