2008 R2 - [решено] Domain users и административные шары: откуда взялся доступ???

Ivan Bardeen · Отправлено: **15:04, 21-05-2010** | #2

т. е. могут зайти по пути \\КД\с$ и что-нибудь создать\удалить?

VladDV · Отправлено: **15:10, 21-05-2010** | #3

Цитата Ivan Bardeen:

т. е. могут зайти по пути \\КД\с$ и что-нибудь создать\удалить? »

Именно! Первый раз попробовал - думал показалось или случайно галку сохранить пароль поставил, но потом проверил на разных компьютерах и под разными пользователями - одно и то же

Ivan Bardeen · Отправлено: **15:20, 21-05-2010** | #4

В политиках безопасности Default Domain policy и Default Domain controller policy смотрели наличие криминала?

VladDV · Отправлено: **15:54, 21-05-2010** | #5

Хм, совсем забыл про эти остнастки.. В 2008м их почему-то нет, а в 2003м сейчас нашел подозрительную вещь - в разделе Restricted Groups создана группа Administrators (я так понимаю локальные админы), в которую включена в т.ч. группа Domain Users. Вероятно в этом и есть причина. Только не ясно три вещи:

1) Даже если пользователь включен в локальных админов, разве он может заходить на шары по сети?
2) Если ответ на п.1 - да, тогда почему он не может зайти сам на себя?
3) В последнее время я точно не делал такую настройку. Одно из двух - либо она сделана очень давно, но тогда бы проблема вылезла давно (или не вылезла бы сейчас), либо кто-то сделал ее недавно. Если так, как можно по журналам безопасности узнать, кто и когда? (в журналах события где-то за последнюю неделю должны быть).

Ivan Bardeen · Отправлено: **16:17, 21-05-2010** | #6

1. Так у вас все пользователи были вкючены во все группы "администраторы", в том числе и на КД
3. Ищите событие в логе "Безопасность" за номером 5136 и класс изменяемого объекта groupPolicyContainer

VladDV · Отправлено: **16:42, 21-05-2010** | #7

На новом контроллере домена есть целый ряд событий с кодом 5136 и классом groupPolicyContainer, они появились в день установки контроллера домена, через несколько часов после его запуска. Доступа к нему тогда 100% никто не имел. Записи зарегистрированы с Security ID: Null SID. А есть ли какая-нибудь утилита, которая бы резолвила GUID объекта в его имя? Чтоб руками не искать?

Ivan Bardeen · Отправлено: **16:46, 21-05-2010** | #8

Есть утилита adexplorer http://technet.microsoft.com/en-us/s.../bb963907.aspx - она может искать по GUID
Security ID - естественно обращайте внимание только на "человеческие"
Если имеется ввиду GUID политики - то узнать его можно в GPMC (стандартная оснастка для правки политик в server 2008)
PS: забыл уточнить копаться в логах вам нужно на всех КД домена. Так как политика могла быть изменена на любом из них

VladDV · Отправлено: **17:26, 21-05-2010** | #9

Спасибо за утилиту, отличная штука!

Человеческих Security ID там нет. А этот нулевой постоянно делал добавления/удаления в Defualt Domain Controllers Policy. В общем похоже это включение было сделано раньше.

Сейчас попробовал создать тестового пользователя в том же контейнере, что и пользователи проблемного филлиала, и вошел под ним на офисную машину. Попытался зайти на любой комп на C$ - запрашивает пароль, как и положено. Т.ч. похоже проблема все таки не в этом включении...

Ivan Bardeen · Отправлено: **17:49, 21-05-2010** | #10

т. е. как я понял проблема остается? Пользователи по прежнему могут заходить на административные ресурсы?