Jump to content

Gruppenrichtlinie und Batchdatei


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo, 

bin Azubi bei uns in der IT und bräuchte ein wenig Unterstützung. 

Leider bin ich noch nicht richtig in der Materie und lese mich gerade ein in PowerShell und Co.

Ich soll mithilfe eines PowerShell befehls bzw. einer .bat ein Icon für einen normalen User erstellen der keine weiteren Berechtigungen hat. Diese Datei soll beim ausführen das Benutzerkonto eines anderen Mitarbeiters innerhalb unserer Domäne freischalten. (Da dieser durch dritte immer wieder gesperrt wird). Habt ihr eine kleine Anleitung für mich oder Hilfestellung? 

 

Mfg

 

Link zu diesem Kommentar

Hi,

 

der PowerShell / Batch Befehl wird dir nichts helfen ohne das dem "normalen" User entsprechende Rechte im Active Directory delegiert werden. Die Befehle wären dann vermutlich:

 

Gruß

Jan

Link zu diesem Kommentar
vor 5 Minuten schrieb NilsK:

Moin,

 

abgesehen davon, dass die Aufgabe so, wie sie formuliert ist, nicht umsetzbar ist - wäre es nicht klüger, die Ursache dafür abzustellen, dass der betreffende Account immer gesperrt wird?

 

Gruß, Nils

 

Ja das habe ich mir auch gedacht aber der Vorschlag wurde abgelehnt. Ich kann mir auch nicht erklären wieso.

vor 13 Minuten schrieb testperson:

Hi,

 

der PowerShell / Batch Befehl wird dir nichts helfen ohne das dem "normalen" User entsprechende Rechte im Active Directory delegiert werden. Die Befehle wären dann vermutlich:

 

Gruß

Jan

Ja es ist möglich mit SafeCredentials wenn ich mich richtig erinner (bin mir bei dem Namen nicht sicher) Das man die Datei einmal als Admin ausführt und die Datei sich das Passwort merkt. Vielen Dank schon mal für die Links. :thumb1:

Link zu diesem Kommentar

Moin,

 

dann wäre die Gelegenheit günstig, die Frage noch mal zu stellen.

 

Die eigentliche Aufgabe ist nur lösbar, wenn

  • entweder der User, der das ausführt, eben kein normaler User ist, sondern das Recht hat, im AD den User zu entsperren
  • oder man mit einer Infrastruktur dahinter arbeitet, mit der der ausführende "normale" User etwas auslöst, was den gesperrten Account entsperrt, dieser Vorgang aber mit einem separaten, dazu berechtigen Konto läuft

Beide Varianten bedeuten erheblichen Aufwand und ebenso erhebliches Risiko.

 

Gruß, Nils

 

Link zu diesem Kommentar
vor 3 Minuten schrieb testperson:

Naja, dann hinterfrage doch, warum der Account andauernd gesperrt ist.

 

Ich hatte jetzt an sowas banales wie einen externen "Support Account" gedacht, der vor dem Zugriff eines Externen entsperrt und danach gesperrt wird. Und das soll jetzt an jemanden aus der "Fachabteilung" delegiert werden. :)

Es geht darum, das der Chef möchte das diese Anfrage nicht andauernd zu uns kommt weil es lästig ist . Die Hinterfragung ist meine 2. Aufgabe und herausfinden von welchem Rechner der Acc immer gesperrt wird.

Link zu diesem Kommentar

Moin,

 

man könnte sowas überlegen, das wäre meine Variante 2 oben. Es bleibt aber dabei: Sinnvoller ist, das Problem zu lösen statt die Auswirkungen zu beseitigen.

 

[Just Enough Administration: Material von der CDC Germany 2017 | faq-o-matic.net]
https://www.faq-o-matic.net/2017/06/12/just-enough-administration-material-von-der-cdc-germany-2017/

 

Gruß, Nils

 

Link zu diesem Kommentar
vor 32 Minuten schrieb NorbertFe:

Ich gehe davon aus, dass es sich um ein domänenkonto handelt. Also wäre die erste Frage welche Anzahl von Fehlversuchen löst eigentlich eine kontosperrung aus, und loggt ihr die auch?

Ja meines Wissens nach werden sie geloggt und es erfolgt eine Sperrung nach 3 Versuchen. Meine Idee war falls es nicht anders geht einfach 50 Versuche einzutragen im AD denn im falle eines Angriffs würde das trotz allerdem reichen das Konto zu schützen. Richtig ist ein Domänenkonto.

Link zu diesem Kommentar

Naja vielleicht nicht 50 aber deutlich mehr als 10. damit kann man schonmal problemlos die versehentlichen versuche ausschließen. Wenn du zu hoch ansetzt ohne aktives Monitoring, kann es die dagegen passieren, dass du gar nichts mehr mitbekommst vom „hacking“. Insofern logging überprüfen und schauen wer und von wo die Sperrungen kommen.

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...