Проверка локальных администраторов на машинах в домене

Delirium · Отправлено: **07:14, 06-10-2011** | #**111**

Выложил последнюю версию 2.3.4.
Изменения:
+ Добавлена возможность сканирования нескольких машин путем ввода их имени в список. Удобно, если надо просканировать 2-5 различных машин.
+ Добавлена возможность изменять пароль пользователю(только локальному), а также включать/отключать эту учетную запись.

Удаление из группы админов мне никак не поддается, вся документация в инете не помогает.
Из шапки темы убрал ссылку на программу, теперь она доступна только на моем сайте и на софт-каталоге oszone.net. Ссылки в шапке темы.

В связи с возросшим объемом работы функционал по удалению из группы пока будет "висеть в воздухе". Но основные функции утилита выполняет и, я считаю, этого пока достаточно

Спасибо всем, принимавшим участие в тестировании.

mesmer · Отправлено: **08:48, 06-10-2011** | #**112**

Delirium,
приятно удивлен такой программой.
но смущает, что надо подставлять пароль в поле. а без этого никак?
если. был такой вопрос не пинайте за зря.

Delirium · Отправлено: **08:57, 06-10-2011** | #**113**

Цитата mesmer:

но смущает, что надо подставлять пароль в поле. а без этого никак? »

Цитата Delirium:

Из соблюдения безопасности убрал сохранение пароля при выходе из программы, т.к. он хранился в открытом виде в файле .config. »

Можно, конечно было сделать, используя NTLM авторизацию, но далеко не каждый сидит в системе с правами доменного администратора. Именно поэтому сделано так.

mesmer · Отправлено: **09:15, 06-10-2011** | #**114**

Delirium,
а вот, если я с правами domain admins и запускаю на своей раб. станции программу.

Delirium · Отправлено: **10:23, 06-10-2011** | #**115**

значит введи имя и пароль и используй, имя сохраняется. лень пароль ввести?

Delirium · Отправлено: **10:56, 06-10-2011** | #**116**

Опишу подробно, почему сделано именно так, а не иначе.
1. Согласно рекомендациям MS, нежелательно работать под учетной записью доменного администратора, т.к. это само по себе является брешью в безопасности.
2. Если все же это есть, то пользователь знает свой пароль.
3. Хранить пароль крайне небезопасно в конфиг-файле. А писать какую то защитку, шифровать - зачем этот лишний функционал?
4. Если использовать NTLM вход, т.е. с использованием учетных данных текущего пользователя, то всегда есть вероятность того, что посторонний человек, запустив программу, сможет начудить(отключить локальные учетки, поменять пароли). Это недопустимо, утилита предназначена в первую очередь для соблюдения безопасности в доменной структуре, а не наоборот.

Так что все просьбы включить NTLM будут отклоняться.

mesmer · Отправлено: **11:46, 06-10-2011** | #**117**

я может что-то не понял. уж не надо серчать.
я понял так, в поле имени пользователя/пароль я ввожу имя потенциального администратора компа. дабы выявить его.так?
вот мне надо узнать. из нашего отдела ИТ, кто-нибудь себя поставил на какие-нибудь компьютеры как локальн.администратор?
т.е. ввожу имя потенциального админа "vasil", но пароль мне не известен (ну дали им возможность. чтобы они сами себе меняли). и собственно указываю сеть, где надо проверить это (весь домен не нужен).
зачем мне в это поле вводить свое имя и пароль соответсвенно?
т.е. мне нужно это. есть возможность так сделать?

xoxmodav · Отправлено: **11:53, 06-10-2011** | #**118**

mesmer, нет - вводишь пароль доменной учётной записи с привилегиями "администраторов домена", выбираешь тех пользователей которые должны быть в группе локальных администраторов и запускаешь утилиту. Она сканирует рабочие станции сети и выводит отчёт с указанием компьютеров/серверов, на которых в группу локальных администраторов входят посторонние учётные записи. Пароль локальных администраторов или сторонних учётных записей знать при этом не нужно.

mesmer · Отправлено: **12:33, 06-10-2011** | #**119**

так так, т.е. выбор ""выбираешь тех пользователей которые должны быть" - это где поля шаблон?
ну тогда получаю такое: произвожу сканирование (в шаблоне указаны: Administrator, Администратор, добавляю mydom\valis, больше ничего не ввожу) определенный интервал в сети (.55-60)
выдало, что:
1.55 - помечен красным нужный vasil, так же помечен красным локальный администратор, и mydom\Domain Admins
1.56 - помечен так же красным - mydom\Domain Admins, и mydom\user2

но ведь я не указывал в поиске user2
или все рекурсивно поперло и нашло, к тому же почему mydom\Domain Admins указан в найденном? И что есть левые администраторы?

Тперь главное - если я правой кнопкой "Отключить учетную запись" - выбираю. что происходит с этой учеткой?

Как все же производить удаление из группы "администраторы" на данном ПК. Идет понижение роли? до пользователя, или удаляется профиль так скажем.
И последнее: "смена пароля" - что это? есль пользователь все же из AD...

Delirium · Отправлено: **13:46, 06-10-2011** | #**120**

Цитата mesmer:

mydom\valis »

Цитата mesmer:

красным нужный vasil »

Васил и ВаЛис - разные учетки.

В шаблоне нет mydom\Domain Admins, поэтому они и красные.

Левые - это те, которые НЕ ДОЛЖНЫ быть администраторами, т.е. те, которых нет в списке шаблонов.

Цитата mesmer:

если я правой кнопкой "Отключить учетную запись" - выбираю. что происходит с этой учеткой? »

То же самое, что и когда жмем опцию "отключить учетную запись" в свойствах пользователя.

Цитата mesmer:

Как все же производить удаление из группы "администраторы" на данном ПК »

Пока никак. Не дается мне эта опция никак.

Цитата mesmer:

И последнее: "смена пароля" - что это? есль пользователь все же из AD... »

Зачем менять пароль ДОМЕННОМУ пользователю? Если это необходимо, это делается из оснастки Active Directory.