¿Existe una política de grupo que empuje un nuevo nombre de usuario y contraseña a todas las máquinas locales en una red?

8

Trabajo en una red pequeña que se ejecuta en Windows Server 2003 y con máquinas que ejecutan XP. ¿Existe una política de grupo que podría impulsar un nuevo nombre de usuario y contraseña para reemplazar nuestras antiguas cuentas de usuario administrador locales?

windows-server-2003 windows-xp group-policy password killamjr
fuente
¿Estás usando Active Directory?
Sam Cogan

Respuestas:

5

Yo uso pspasswd de sysinternals.

http://www.microsoft.com/technet/sysinternals/Utilities/PsPasswd.mspx

Aquí hay un usuario que lo automatiza:

http://forum.sysinternals.com/forum_posts.asp?TID=9469

Editar:

También encontré esto, que es exactamente lo que estás pidiendo:

http://www.gilham.org/Blog/Lists/Posts/Post.aspx?List=aab85845-88d2-4091-8088-a6bbce0a4304&ID=505

MathewC
fuente
Ick ¿Qué pasa con las computadoras que no están encendidas?
Evan Anderson
Consulte mi edición para ver la forma GP de hacerlo.
MathewC
Eso funcionará si tiene el cliente de preferencias de directiva de grupo implementado para sus clientes, o si está utilizando clientes que tienen esa funcionalidad incorporada. Sin embargo, si tiene Windows 2000 o Windows XP sin el cliente GPP instalado, no tiene suerte con este método.
Evan Anderson
Por defecto, el valor de la política será legible por cualquier persona en el dominio. La contraseña estará en ese archivo, y mientras está encriptada, la clave utilizada para encriptar la contraseña ha sido publicada .
Zoredache
2

Utilizo un script de inicio de computadora para hacer esto para las contraseñas locales de "Administrador", combinado con una membresía de grupo de "trampilla" para que el script solo se ejecute una vez.

  • Cree un grupo en el AD - "Conjunto de contraseña de administrador local". Modifique los permisos en el grupo para permitir que "Equipos de dominio" "Agregar / Eliminar Self como miembro".

  • Cree un nuevo GPO, "Establecer contraseña de administrador local" y vincúlelo donde desee en el directorio. Modifique el permiso en el GPO para DENEGAR "Aplicar directiva de grupo" a los miembros del grupo "Conjunto de contraseñas de administrador local". Elimine los "Usuarios autenticados" del permiso de inventario y agregue "Equipos de dominio" con el permiso "Leer" y "Aplicar directiva de grupo".

  • Agregue un script de inicio al GPO con:

    NET USER Administrator new_password_here NET GROUP "Conjunto de contraseñas de administrador local"% COMPUTERNAME% $ / ADD / DOMAIN

  • Enlace el GPO donde quiera que se aplique.

(Realmente disfruto haciendo scripts "trapdoor" como este. Los uso para ejecutar SYSOCMGR la primera vez que una nueva PC se une al dominio, etc.)

Evan Anderson
fuente
1
Pero entonces la contraseña está en texto sin formato ...
K. Brian Kelley
Legible por "Equipos de dominio", sí. Elimine el script después de que se ejecute en cualquier lugar que desee si le preocupa. La contraseña debe existir en texto plano en alguna parte, al menos una vez.
Evan Anderson
1

Contraseña no; Sin embargo, puede establecer el nombre de usuario Administrador utilizando GP. Está debajo:

  • Configuraciones de computadora
  • Configuraciones de Windows
  • Configuraciones de seguridad
  • Políticas locales
  • Opciones de seguridad

Busque la llamada "Cambiar nombre de cuenta de administrador" y cámbiela a lo que desee.

Para volver a configurar la contraseña, simplemente las configuramos todas en la instalación en cadenas ridículamente largas, luego creamos un grupo "Administrador de la estación de trabajo" en Active Directory; luego, usando la Política de grupo, vaya a:

  • Computadora -> Windows -> Seguridad -> Grupos restringidos

Agregue el nuevo grupo y conviértalo en miembro de "Administradores". Siempre y cuando sus PC estén unidas al dominio, y usted le otorgue a sus expertos en tecnología este grupo, pueden iniciar sesión utilizando sus cuentas personales de Active Directory, en lugar de compartir una cuenta de administrador local (¡lo que le da mucha más responsabilidad!).

Su kilometraje puede variar al usar esta técnica en computadoras portátiles o máquinas que a menudo están desconectadas de AD, por supuesto.

¡Espero que ayude!

Keith Williams
fuente
Creo que lo que está pensando aquí es el cambio de nombre de usuario del administrador del dominio. Estaba buscando una política de grupo que empujaría a un administrador local y contraseña para reemplazar el original.
killamjr
No, esta configuración también funciona para los nombres de usuario de la cuenta de administrador local: se aplica a todos los equipos afectados por la política. A menos que se refiera a reemplazar el perfil del administrador original con una plantilla ...
Keith Williams
0

Puede adjuntar un script de inicio para la cuenta de la computadora. Esto puede verificar la existencia de un usuario y, si no está allí, crearlo. El problema es asegurar que la contraseña esté encriptada de alguna manera. Sin embargo, parece que solo desea cambiar el nombre de la cuenta de administrador. Si es así, vea la respuesta de Keith. Puede cambiar el nombre a través de GPO y ese es el camino a seguir. Establecer la contraseña es más difícil y no se puede hacer directamente a través de GPO, excepto a través de un script de inicio.

K. Brian Kelley
fuente