Централизованно меняем пароли локального системного администратора

[advin]

А можно еще сделать вот так :wink:
Берем отсюда (http://technet.microsoft.com/ru-ru/sysinternals/bb897543(en-us).aspx) утилитку от Марка Руссиновича.

Using PsPasswd You can use PsPasswd to change the password of a local or domain account on the local or a remote computer.
usage: pspasswd [[\\computer[,computer[,..] | @file [-u user [-p psswd]]] Username [NewPassword]
computer Perform the command on the remote computer or computers specified. If you omit the computer name the command runs on the local system, and if you specify a wildcard (\\*), the command runs on all computers in the current domain.
@file Run the command on each computer listed in the text file specified.

-u Specifies optional user name for login to remote computer.

-p Specifies optional password for user name. If you omit this you will be prompted to enter a hidden password.

Username Specifies name of account for password change.

NewPassword New password. If ommitted a NULL password is applied.

Как это сделать на практике, для тех кто в танке.

pspasswd \\компьютер_1 -u user -p psswd Username NewPassword
pspasswd \\компьютер_n -u user -p psswd Username NewPassword
компьютер_1,компьютер_n - список компьютеров, либо IP адресов
-u - имя администратора домена.
-p - пароль администратора домена.
Username - имя локального администратора
NewPassword - пароль локального администратора

pspasswd \\192.168.0.1 -u Admin -p Parol Администратор Пароль
pspasswd \\192.168.0.2 -u Admin -p Parol Администратор Пароль
pspasswd \\192.168.0.N -u Admin -p Parol Администратор Пароль

[zosa]

Всем привет
Есть вопрос, так и не понял, так куда прятать скрипт от пользователей, в папку с политиками не пойдет ведь пользователь видит папку SYSVOL ????!!
Или я не прав ?

[victor111]

ну во первых разве все пользователи такие грамотные ?
во вторых лучше имя админа сменить на другое через ГПО

[zosa]

И толку, не ужели они не могут узнать его имя ????
Получается, скрипт будет доступен все же всем пользователям ??? И они смогут прочитать пароль который установлен ?
Я б за такое сразу уволил того, кто это сделал ((

[victor111]

так надежнее
если будет постянно работать пропишет на все компы в домене
ну а если есть грамотеи то они и с диска смогут если что загрузиться
zosa, чем вариант с SYSVOL неустраивает?
часто SYSVOL кто то лазит ?

zosa, вообще есть программы типа Ideal Administration или еще проще через MMC - управление ПК
но там сидишь и ручками забиваешь новые пароли на каждый ПК и если кто то умный их поменяет ты даже и не узнаешь

можно через Admin toys

Я б за такое сразу уволил того, кто это сделал (( »
ну и как ты сделал ????????????????????????????

[zosa]

Я потому и написал, что полагал есть решение выполнения скрипта но при это м его не доступности простым пользователям, про MMC ежу известно ))))
А теперь представь что ктото в корп сети все же найдет твой пароль и снесет к примеру данные ген директора, а, как тебе ?
Да можно выделить отдельно компьютеры так называемой 1 категории , но управление от этого не упростится (((

[victor111]

к примеру данные ген директора »
поставь у гд фаерфол сеть то большая ?
у нас для особо опасных стоит запрет на уровле коммутатора
для гд можно и другой пароль сделать ручками

http://www.oszone.net/8755/IPsec_Server_Windows-Server_2008
посмотри эту тему

zosa, других очень надежных решений пока нет и врятли найдешь
если найдешь то это будет применятся нецетрализовано

[zosa]

Виктор, это пока мысли вслух, потому сильно не принимай на свой счет, решение хорошее но полагаю , его можно рассматривать только как временное или разовое
По твоему предложению полагаю такое решение, все что ты предлагаеш, да , но с добавками
1. Пишем скрипт с обработчиком ошибки, на наличие отсутствие фалы по пути
2. Пр необходимости кидаем файл например \\serv\priv$\restpass.bat или VBS , кто на чем пишет ))) и убираем его через определенное время
3. При необходимости смены просто добавляем файл по указанному пути в скрипте

Свой вариант еще думаю, пока только мысли но и они есть
Написать не скрипт а на VB прогу, или EXELL файл с запоролленым скриптом и его выполнять
Вот это уже решение по моему )))

Надо еще подумать, кому интересно, отпишу результат позже, как раз этим и занят, достали "умники" в сети

Это не решение в рамках корпоративной сети, пользователи могут перемещаться по предприятию, садится за другие станции, при этом им это может быть необходимо (отпадает вариант логона на конкретных станциях)
Потому Вижу выход 1 в данный момент, сделать запороленный EXELL с скриптом смены пароля или написать прогу самому по смене пароля и ее выполнять при логоне станции, при этом EXE можно выложить хоть в паблик, результирующий его выполнения будет один, сброс пароля на тебе известный, Вариант ?
Брандмауэр на клиенте также не вариант, количество станций порядка 700 из них участвуют в бизнесе предприятия порядка 200 все будешь настраивать ? Тогда смысл централизованного управления ?

[victor111]

есть вариант такой
делаешь ГПО
батник с паролем помещаешь в политику старта компьютера.
а на вкладке безопасность добавляешь всех пользавателей и ставишь запрет
будет работать не знаю но попробовать надо
доступ у пользователя к этой политике отсутствует и пароль посмотреть он не сможет
а батник по идее должен примениться на комп :)
zosa, можешь попробовать может такой вариант тебя устроит

[zosa]

Твой варинат тоже имеет возможность "жить"
Но, Все же, реализовал по своему варианту, эт надежней,в крупной корп сети, тем более что бывают варианты необходимо давать права админа нект пользователям
Выполнение моего вариант позволит от части думать об этой проблеме по меньше ))
Всем спасибо и Удачи

[azhur]

Можно попробовать побаловаться с Microsoft Script Encoder.
http://www.microsoft.com/downloads/details.aspx?FamilyId=E7877F67-C447-4873-B1B0-21F0626A6329&displaylang=en
Шифрование там простецкое, ключ как я понял - постоянный,
но от невооруженного взгляда новый пароль админа защитить - хватит.

[Virtual]

есть вариант такой
делаешь ГПО
батник с паролем помещаешь в политику старта компьютера.
а на вкладке безопасность добавляешь всех пользавателей и ставишь запрет
будет работать не знаю но попробовать надо »
мой пост №14 этой темы ;)
все правильно, работать будет
1. запуск скрипта из политики компа
2. доступ на шару со скриптом, группе "*Компьютеры домена"

[zosa]

Что то логова кипит уже ((
VBS скрипт не отрабатывает , батник простой работает
И хотел еще загнать скрипт с установкой msi пакетов тоже не идет
пишет отказано в доступе, никто не сталкивался с таким ?
Под админом все запускается локально на ура ((((

[victor111]

Вот кому надо читаем. нарыл из учебника + скрипт прилагается

Скрипт ChangeLocalPassword.wsf позволяет вам указывать один или несколько компьютеров. Чтобы применить этот скрипт для одного удаленного компьютера с именем Server А и изменить пароль для учетной записи Administrator, нужно использовать следующий код:
ChangeLocalPassword.wsf /computer:ServerA /user:Administrator / password: Новый_пароль
Вы можете также указать список компьютеров, содержащийся в текстовом файле. В каждой строке этого текстового файла указывается имя одного компьютера и никакой другой информации. Предполагая, что файл имеет имя C:\Computers.txt, нужно использовать следующий синтаксис: ChangeLocalPassword.wsf /list:C:\Computers.txt/user:Administrator /password:Новый_ пароль
И, наконец, вы можете указать целое подразделение (organizational" unit, OU) с учетными записями компьютеров. Если ваш домен содержит OU с именем West, то нужно использовать следующий синтаксис:
ChangeLocalPassword.wsf /containenwest /usenAdministrator / password: Новый_пароль
Отметим, что параметр /container будет действовать только в домене по умолчанию компьютера, на котором запускается этот скрипт. Иначе говоря, указанное OU должно находиться в том же домене, что и компьютер, на котором выполняется этот скрипт. Если указанное OU имеет вложенные OU, то вы можете также включить учетные записи их компьютеров с помощью одного дополнительного параметра:
ChangeLocalPassword.wsf /containenwest /recurse /usenAdministrator /password: Новый_пароль

если есть права админа на домен можно к себе в запланированные задания поместить и пусть отрабатывается хоть каждый час
и никуда можно не выкладывать

[victor111]

нашел ошибки испраленое ниже

ChangeLocalPassword.wsf /container:west /user:Administrator / password: Новый_пароль

ChangeLocalPassword.wsf /container:west /recurse /user:Administrator /password: Новый_пароль