GPO zum ändern des lokalen Admin PW?

[Bravemouth 10]

Hallo,

 

folgendes Problem:

 

Ich muss auf allen XP Rechnern in ein einer W2k3 Domäne as lokale Admin PW ändern. Geht dies per GPO? Oder besser ein script?

 

Danke für Eure Antworten

Chris

[steppe 10]

Hallo,

 

ich bin auf folgendes Tool gestoßen:

 

PsPasswd

 

Info: Systems administrators that manage local administrative accounts on multiple computers regularly need to change the account password as part of standard security practices. PsPasswd is a tool that lets you change an account password on the local or remote systems, enabling administrators to create batch files that run PsPasswd against the computers they manage in order to perform a mass change of the administrator password.

 

Vielleicht über einen Task auf einem Server jede Stunde laufen lassen für 1 Monat damit man mal alle erwischt. Ein direktes Ändern über die bestehenden Gruppenrichtlinien ist meines Wissens nicht möglich.

 

Habs aber selber noch nicht getestet daher keine Aussage über Performance etc.

 

Hier gibts auch noch ein Script um alle "Computer" aus der Domäne zu ziehen.

 

cusrmgr.exe windows 2003 - Active Directory

 

Lass uns wissen wie du es dann gemacht hast.

 

Grüße

Stephan

 

edit:

Mit Windows 2008 scheints doch zu gehen:

http://www.windowsecurity.com/articles/Top5-Security-Settings-Group-Policy-Windows-Server-2008.html

 

2. Topic

[Bravemouth 10]

Danke,

 

dass sind schon mal die Tipps die in die richtige Richtung gehen, werde mich mal damit beschäftigen und ein update geben.

 

Nochmals,

Danke

[Sunny61 773]

Ich muss auf allen XP Rechnern in ein einer W2k3 Domäne as lokale Admin PW ändern. Geht dies per GPO? Oder besser ein script?

 

Mit einem Computerstartupscript das Du per GPO ausrollst. Net User suchst Du. Alternativ ein VBS-Script: [VBScript] lokales dyamisches admin pw vergeen mittels vbs - Visual Basic Script (VBS) / Active Server Pages (ASP) - VB-Paradise.de - Visual Basic Forum

[NilsK 2.785]

Moin,

 

man beachte aber bitte den gravierenden Nachteil aller hier genannten Lösungen: Wer Zugriff auf das Skript hat, kennt das Kennwort. Das muss man dann bei der Ablage berücksichtigen ... vor allem wenn es über SYSVOL oder ähnlich frei zugängliche Shares geht.

 

Siehe auch hier:

Group Policy Team Blog : Passwords in Group Policy Preferences

 

Gruß, Nils

[OnkelGauss 10]

Wenn dies mit einem Skript erledigt werden soll, ohne dass jemand das Kennwort im Klartext lesen kann, dann helfen Tools wie bat2com/bat2exec (z.B. von hier Antonis.de - MS-DOS - Tutorials&More) oder (mein Favorit) AutoIt (AutoIt Script Home Page).

[NilsK 2.785]

Moin,

 

Wenn dies mit einem Skript erledigt werden soll, ohne dass jemand das Kennwort im Klartext lesen kann, dann helfen Tools wie bat2com/bat2exec (z.B. von hier Antonis.de - MS-DOS - Tutorials&More) oder (mein Favorit) AutoIt (AutoIt Script Home Page).

 

auch dabei handelt es sich in aller Regel nur um ein Verschleiern, nicht aber um ein sicherheitsadäquates Verschlüsseln der Kennwörter. Ich rate von so etwas in diesem Zusammenhang dringend ab.

 

Gruß, Nils