Jump to content
lww1999

Gruppenrichtlinie und Batchdatei

Recommended Posts

Hallo, 

bin Azubi bei uns in der IT und bräuchte ein wenig Unterstützung. 

Leider bin ich noch nicht richtig in der Materie und lese mich gerade ein in PowerShell und Co.

Ich soll mithilfe eines PowerShell befehls bzw. einer .bat ein Icon für einen normalen User erstellen der keine weiteren Berechtigungen hat. Diese Datei soll beim ausführen das Benutzerkonto eines anderen Mitarbeiters innerhalb unserer Domäne freischalten. (Da dieser durch dritte immer wieder gesperrt wird). Habt ihr eine kleine Anleitung für mich oder Hilfestellung? 

 

Mfg

 

Share this post


Link to post
Share on other sites

Hi,

 

der PowerShell / Batch Befehl wird dir nichts helfen ohne das dem "normalen" User entsprechende Rechte im Active Directory delegiert werden. Die Befehle wären dann vermutlich:

 

Gruß

Jan

  • Like 1

Share this post


Link to post
Share on other sites

Moin,

 

abgesehen davon, dass die Aufgabe so, wie sie formuliert ist, nicht umsetzbar ist - wäre es nicht klüger, die Ursache dafür abzustellen, dass der betreffende Account immer gesperrt wird?

 

Gruß, Nils

 

Share this post


Link to post
Share on other sites
vor 5 Minuten schrieb NilsK:

Moin,

 

abgesehen davon, dass die Aufgabe so, wie sie formuliert ist, nicht umsetzbar ist - wäre es nicht klüger, die Ursache dafür abzustellen, dass der betreffende Account immer gesperrt wird?

 

Gruß, Nils

 

Ja das habe ich mir auch gedacht aber der Vorschlag wurde abgelehnt. Ich kann mir auch nicht erklären wieso.

vor 13 Minuten schrieb testperson:

Hi,

 

der PowerShell / Batch Befehl wird dir nichts helfen ohne das dem "normalen" User entsprechende Rechte im Active Directory delegiert werden. Die Befehle wären dann vermutlich:

 

Gruß

Jan

Ja es ist möglich mit SafeCredentials wenn ich mich richtig erinner (bin mir bei dem Namen nicht sicher) Das man die Datei einmal als Admin ausführt und die Datei sich das Passwort merkt. Vielen Dank schon mal für die Links. :thumb1:

Share this post


Link to post
Share on other sites

Moin,

 

dann wäre die Gelegenheit günstig, die Frage noch mal zu stellen.

 

Die eigentliche Aufgabe ist nur lösbar, wenn

  • entweder der User, der das ausführt, eben kein normaler User ist, sondern das Recht hat, im AD den User zu entsperren
  • oder man mit einer Infrastruktur dahinter arbeitet, mit der der ausführende "normale" User etwas auslöst, was den gesperrten Account entsperrt, dieser Vorgang aber mit einem separaten, dazu berechtigen Konto läuft

Beide Varianten bedeuten erheblichen Aufwand und ebenso erhebliches Risiko.

 

Gruß, Nils

 

  • Like 1

Share this post


Link to post
Share on other sites

Dem User also eine Möglichkeit geben hochberechtigte Aufgaben mit gespeicherten credentials auszuführen und dann auch noch ohne den Grund für das eigentliche Problem zu kennen? Finde nur ich das merkwürdig?

Share this post


Link to post
Share on other sites
vor 1 Minute schrieb NorbertFe:

Dem User also eine Möglichkeit geben hochberechtigte Aufgaben mit gespeicherten credentials auszuführen und dann auch noch ohne den Grund für das eigentliche Problem zu kennen? Finde nur ich das merkwürdig?

Nein, ich finde es ebenfalls Merkwürdig. 

Share this post


Link to post
Share on other sites

Naja, dann hinterfrage doch, warum der Account andauernd gesperrt ist.

 

Ich hatte jetzt an sowas banales wie einen externen "Support Account" gedacht, der vor dem Zugriff eines Externen entsperrt und danach gesperrt wird. Und das soll jetzt an jemanden aus der "Fachabteilung" delegiert werden. :)

Share this post


Link to post
Share on other sites
vor 3 Minuten schrieb testperson:

Naja, dann hinterfrage doch, warum der Account andauernd gesperrt ist.

 

Ich hatte jetzt an sowas banales wie einen externen "Support Account" gedacht, der vor dem Zugriff eines Externen entsperrt und danach gesperrt wird. Und das soll jetzt an jemanden aus der "Fachabteilung" delegiert werden. :)

Es geht darum, das der Chef möchte das diese Anfrage nicht andauernd zu uns kommt weil es lästig ist . Die Hinterfragung ist meine 2. Aufgabe und herausfinden von welchem Rechner der Acc immer gesperrt wird.

Share this post


Link to post
Share on other sites
vor 2 Minuten schrieb NorbertFe:

Wäre ja zu einfach mal das logging anzuschauen. Wie häufig kommt das denn vor?

Im Monat bestimmt 10 - 15 Mal. Die anderen Lösung (welche ich auch Vorgeschlagen habe) sind anscheinend zu einfach:rolleyes:

Share this post


Link to post
Share on other sites

Ich gehe davon aus, dass es sich um ein domänenkonto handelt. Also wäre die erste Frage welche Anzahl von Fehlversuchen löst eigentlich eine kontosperrung aus, und loggt ihr die auch?

Share this post


Link to post
Share on other sites

Moin,

 

man könnte sowas überlegen, das wäre meine Variante 2 oben. Es bleibt aber dabei: Sinnvoller ist, das Problem zu lösen statt die Auswirkungen zu beseitigen.

 

[Just Enough Administration: Material von der CDC Germany 2017 | faq-o-matic.net]
https://www.faq-o-matic.net/2017/06/12/just-enough-administration-material-von-der-cdc-germany-2017/

 

Gruß, Nils

 

  • Like 1

Share this post


Link to post
Share on other sites
vor 32 Minuten schrieb NorbertFe:

Ich gehe davon aus, dass es sich um ein domänenkonto handelt. Also wäre die erste Frage welche Anzahl von Fehlversuchen löst eigentlich eine kontosperrung aus, und loggt ihr die auch?

Ja meines Wissens nach werden sie geloggt und es erfolgt eine Sperrung nach 3 Versuchen. Meine Idee war falls es nicht anders geht einfach 50 Versuche einzutragen im AD denn im falle eines Angriffs würde das trotz allerdem reichen das Konto zu schützen. Richtig ist ein Domänenkonto.

Share this post


Link to post
Share on other sites

Naja vielleicht nicht 50 aber deutlich mehr als 10. damit kann man schonmal problemlos die versehentlichen versuche ausschließen. Wenn du zu hoch ansetzt ohne aktives Monitoring, kann es die dagegen passieren, dass du gar nichts mehr mitbekommst vom „hacking“. Insofern logging überprüfen und schauen wer und von wo die Sperrungen kommen.

  • Like 1

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

Werbepartner:



×
×
  • Create New...