BT'nin bir kullanıcının alan adı şifresine ihtiyacı var mı?

10

Yeni bir kullanıcı için bir iş istasyonunu yapılandırırken Windows etki alanı yöneticisinin kullanıcının etki alanı hesabı parolası olmadan kesinlikle yapılamayacağı bir şey var mı? Kullanıcılardan parolalarını istemekten kaçınmak için yönetici, teorik olarak parolayı değiştirebilir, kullanıcı olarak oturum açabilir ve yapmak istediklerini yapabilir, ancak bu onlara zaten sahip olmadıkları ek izinleri verebilir. etki alanı yöneticisi olmanın avantajı?

GÜNCELLEME:

Şimdiye kadar verilen cevaplar "ayar" veya kullanıcının profilini değiştirmeyle ilgilidir. Ancak, Microsoft'tan, ilk kez oturum açtıklarında kullanıcılara uygulanan varsayılan profili değiştirme ve başka bir kullanıcının Windows kayıt defteri ayarlarını herhangi bir zamanda değiştirme yönergeleri hakkında bu makale bulunmaktadır . Bir kullanıcı olarak oturum açıldığında bir yönetici, kullanıcı olarak oturum açmayı içermeyen bu veya diğer kullanılabilir teknikler kullanılarak yöneticinin değiştiremediği durum ne değiştirir? Sadece "kullanıcı olarak giriş yapmak" kullanıcının şifresini istemek veya değiştirmek için bir neden değildir. Bunu yapmak için pratik bir neden arıyorum .

windows domain

— Isaac Truett
kaynak

2

Bu soruyu sormadan önceki şüphem, Windows yönetiminin zaman zaman olabileceğine rağmen, daha az ayrıcalıklı bir son kullanıcı için mümkün olacak bir yönetici için imkansız olacak hiçbir şey olmadığıydı. Bir kullanıcının şifresini sorma veya şifresini değiştirme ve hesabıyla giriş yapma motivasyonu deneyimsizlik veya kolaylık olacaktır; yönetici bir şeylerin nasıl yapılacağını bilmiyor veya kayıtlarla uğraşmak ve yapılandırma dosyalarını elle düzenlemek istemiyor ve gerekli değişiklikleri yapmak için araçlara sahip değil.

— Isaac Truett

1

Öncelikle kullanıcı parolaları hakkında sorduğunuzda bu soruyu yeniden yazmak isteyebilirsiniz, daha sonra kullanıcı olarak oturum açmaya geçebilirsiniz. Bunlar 2 ayrı konu

— Jim B

Kullanıcının Outlook profiline (Outlook kullanan bir CRM uygulaması gibi) erişim gerektiren bir uygulamayı yüklemeye ne dersiniz? Uygulama geliştiricisinin yükleyici komut dosyasının merhametindesiniz.

— gravyface

@Jim Aslında, orijinal sorumun ikinci cümlesinde şifre sıfırlama caddesine yön vermeye çalıştım. Bir kullanıcının şifresini sıfırlarsanız, artık o kullanıcının şifresine sahip olursunuz. ESKİ şifreniz yok. Bir kullanıcının profilini değiştirme konusunda belirsiz yanıtlar alıyordum, bu yüzden kullanıcının kimliğine bürünmeden bunu nasıl yapabileceğinizi gösteren bağlantılar sağladım. Ayrıca, "kullanıcı olarak oturum açmayı" kabul edilebilir bir son hedef olarak kabul ettim, çünkü bir yorumda kullanıcının şifresini istemeden / değiştirmeden yapamayacağınız bir şey olarak belirtildi.

— Isaac Truett

@gravyface Yani cevabınız "kötü yazılmış yazılım yüklemek mi?" İlginç. Bir cevap olarak göndermek ister misiniz?

— Isaac Truett

12

Bir yöneticinin kullanıcı şifresi istemesi ne kabul edilebilir ne de gereklidir.

Bir yöneticinin kullanıcı olarak oturum açmasının gerekli olabileceği durumlarda (ve bu tür koşulların mevcut olduğuna inanmıyorum), kullanıcı oturum açmalı ve yöneticinin faaliyetlerini denetlemelidir.

Bunun nedeni hesap verebilirliktir. Parolalarının güvenli olduğundan emin olmak her kullanıcının sorumluluğundadır. Kötü amaçlı etkinlikler kullanıcının kimlik bilgileriyle geriye doğru izlenirse, söz konusu kullanıcı sorumlu tutulabilir. Bu nedenle kimlik bilgilerinin güvenli kalmasını sağlamalıdırlar.

Bunun sadece benimsenmesini değil, uygulanmasını sağlamak da kuruluşun sorumluluğundadır. Bir kuruluştaki birinin başka birinin posta kutusunu kullanarak kötü amaçlı bir e-posta gönderdiği yasal bir durum vardı. Posta kutusunun sahibi nihayetinde reddedildi. Parolalarını bir başkasına verdiklerini iddia etseler de, şirket, kimlik bilgilerinin bütünlüğünü korumanın kendi sorumluluğu olduğunu ve bu nedenle şirket BT politikalarının da belirlediği gibi sorumlu olduklarını vurguladı. Daha sonra, bu kullanıcı kuruluş içinde endemik bir parola paylaşımı kültürü olduğunu kanıtladığında, bu bir mahkeme tarafından bozuldu. Mahkeme, şirketin BT politikalarını aktif olarak uyguladığı görülmezse, bu koşullar altında hesap verebilirliğe güvenemeyeceğine karar verdi.

Bu teori ve pratik arasında açıkça bir uçurum olduğunu söyledi. Diğer şeylerin yanı sıra BT danışmanlık hizmetleri sağlayan büyük bir çok uluslu firma için sözleşme yaptım ve bir SOE yükseltmesi için belgelenmiş prosedürün bir parçası olarak son kullanıcının şifresini istememiz istendi.

Şahsen, buna karşı sert bir yaklaşım benimsiyorum. Şifrelerin istenmesinin (veya bir kullanıcının hesabına erişmek için yeniden ayarlanmasının) gerekli olduğuna inanmıyorum. Eğer bunun üstesinden gelmek için büyük ölçüde artan bir iş yükü varsa, öyle olsun. Güvenlikten ödün vermek için bir bahane yok. Sanırım sadece bir yönetici olmadığım için şanslıyım ve bu yüzden daha üst düzey biri tarafından yapılması istendiğinde bu kararların sorumluluğunu almak zorunda değilim.

— Mat
kaynak

5

Gezegendeki akla gelebilecek her durumda neyin kabul edilebilir veya neyin gerekli olduğunu bildiğinizi ciddiye alıyor musunuz?

— John Gardeniers

3

Tabii ki hayır - eğer biri bana aksine bir örnek verebilirse bunu memnuniyetle kabul edeceğim. Gezegendeki akla gelebilecek her durumdan bahsetmiyorum, ancak bununla birlikte, yalnızca bir kullanıcının giriş kimlik bilgilerinden ödün vererek ulaşılabilecek herhangi bir hedefi düşünemiyorum.

— Matt

2

Cevabınızın ilk cümlesini tamamen geçersiz kılan "elbette hayır" dersiniz. Buna göre düzenlemenizi öneririm.

— John Gardeniers

7

Belki de net değildim. Bilimsel bir yaklaşım benimsiyorum. Güneşin son beş milyar yıldır her gün doğması, yarın doğacağını kesin olarak söyleyebileceğim anlamına gelmez. Ama bana "yarın güneş doğacak mı?" Diye sorarsanız, bunu daha fazla nitelendirmeye gerek duymadan evet diyeceğim. Bu yüzden, "gezegendeki akla gelebilecek her durum" ile ilgili aynı derecede varsayımsal ve soyut bir nitelik olması ile ilgili sorunuzu alıyorum.

— Matt

3

aklıma gelen yeni kullanıcı ayarları akla geliyor - ve aklınız burada sıkışmış. Yeni kullanıcı = "Hiçbir kullanıcı parolaya sahip değildir", bu nedenle BT kullanıcıyı ayarlar, ardından kullanıcıya parolayı verir (anında değişen). Asla kullanıcıya sormazlar çünkü - ah bu noktada kullanıcı şifreyi bilmiyor.

— TomTom

18

Açık olalım: Alan Adı Yöneticisi iseniz, kelimenin tam anlamıyla her şeyi yapabilen bir yazılım parçası yükleyebilirsiniz - bir aygıt sürücüsü aklınıza gelir -. Ancak, "Masaüstü arka planı için kayıt defteri anahtarı tekrar nedir?" "Ve sonra şifrelenmiş profil katmanı içindeki dosya okuma çağrısını, Firefox'u doubleclick.net'ten gelen çerezleri devre dışı bıraktıklarını düşünerek taklit etmek için bağlarız".

Sen mutlak için soruyorsun ve Cevap "Sen Kullanıcının şifresini gerek kalmaz olacak çünkü bu bakmak için yanlış bir yol olduğunu düşünüyorum gerçekten çok hangi yanıltıcıdır,". Gerçek şu ki, Microsoft * NIX su/ gibi bir özellik sunana (veya izin vermek için üçüncü taraf yazılım yükleyene kadar) sudo, ara sıra gerek kalmadan bir akıl sağlığını korurken bir kullanıcının hesabını hiçbir zaman mükemmel bir şekilde taklit edemeyeceksiniz. kullanım-not "ifşa!" demedim.

— BMDan
kaynak

Çok adil bir nokta. Kendi silinen cevabımda belirttiğim bir nokta, bu alanda araç desteği eksikliği olduğuydı.

— Isaac Truett

sudo noktasında olduğu gibi, windows güvenlik modeli bir sudo tipi yardımcı programın kullanılmasını engeller; hepsi güvenlik modelini dolaşmak için çaba sarf eder).

— Jim B

1

+1 - Bu cevap teori kadar gerçekleri de kapsıyor.

— John Gardeniers

8

Birçoğumuz, çeşitli nedenlerle şifre ifşasının gerekli olduğu ortamlarda çalıştık. Hepimizin bunu kötü bir fikir olarak gördüğünü söyleyecek kadar ileri gideceğim. Böyle yapılması gerekiyorsa, son kullanıcının buna izin vermesi gerekir, zorlanmamalıdır.

O günlerde, 1998 gibi, BT departmanım bir PC değiştirme yaparken bir kullanıcının şifresini isterdi, böylece eskisi gibi ayarlayabildik. Simge konumlarına gidin. Karşılık gelen WinNT etki alanı olmayan bir Novell NetWare ortamında olduğumuzdan, ağ parolalarını değiştirmek yerel parolalarını değiştirmedi, bu nedenle bu kesintisiz hizmet düzeyini sunmak istiyorsak bu parolaya ihtiyacımız vardı.

13 yıl önceydi. Özellikle Windows Etki Alanları hakkında sorular sordunuz. Az önce bıraktığım işte, büyük bir Üniversite, bir şifre ifşa edip etmemek veya yapılan herhangi bir iş için orada olmak son kullanıcıya kalmıştı. Diğer bir deyişle, son kullanıcı seçen buna ziyade BT tarafından zorladı. Kuruluş şemasının yukarısındaki bazı çok yoğun yönetici türleri genellikle yönetici asistanları için giriş yaptılar, bu nedenle BT çalışanlarının kayması kolaydı (rıza zaten yetkilendirilmişti).

Windows'da, bir kullanıcının Profilini elle ayarlamanın tek yolu bu kullanıcı olarak oturum açmaktır. Bu profilin herhangi bir nedenle el ile ayarlanması gerekiyorsa (yeniden yükleme veya diğer garip şeylerin önüne geçmekte olan kötü bir kaldırma kaldı kalır), BT kullanıcısının bu kullanıcı olarak giriş yapması gerekir. Bu, bir yönetici parola değişikliğini zorlayarak, kullanıcının parolasını açıklamasını veya kullanıcının BT kişisini kendileri olarak oturum açmasını ve BT kişisinin çalışmasına izin vermesini sağlayarak yapılabilir.

— sysadmin1138
kaynak

Kullanıcı oturum açmadan önce burada açıklandığı gibi varsayılan profili değiştirerek, kullanıcı olarak ne tür bir profil ayarlaması yapabilirsiniz ?

— Isaac Truett

Çoğunlukla, hayır, o kullanıcı için yapılandırılması gereken şeyler var. Örneğin, Outlook 2007 / Exchange 2007'den önce, söz konusu kullanıcı için Outlook'u el ile yapılandırmanız gerekiyordu. Şimdi otomatik bulma ile, muhtemelen kendileri denemelerine izin vermeyi düşünebilirsiniz, ancak yine de çoğu yönetici kullanıcıların giriş yaptıkları sırada başlamasını

— istemez

@KContreau Microsoft burada Outlook profillerinin bir yöneticinin kendi hesaplarından düzenleyebileceği kayıt defterinde saklandığını söylüyor . Başka fikir var mı?

— Isaac Truett

4

@IsaacTruett Teknik olarak her şey doğrudan regedit veya bu desktop.ini dosyalarını elle düzenleyerek yapılabilir. Ancak, birçok BT kullanıcısı UI araçlarıyla çok daha rahat. Bir kısayol olarak, kötü tavsiye edilmiş olsa da, BT personeli bir kullanıcıdan bahsettiğim üç şeyden herhangi birini yapmasını isteyebilir (onlar için giriş yapın, şifre sıfırlama işlemini gerçekleştirin veya şifreyi verin) ve araçları kullanın iyi biliyorlar, GUI.

— sysadmin1138

1

@KCotreau @Isaac Teknik olarak kayıt defteri kovanını geçici olarak yöneticinin profiline kopyalayabilir, düzenlemek için gerekli olan her şeyi kullanabilir ve sonra geri koyabilirsiniz. Bu, vakaların% 99'unda İyi Bir Fikir ™ değildir . Bu günlerde kullanıcı parolasını bilmenin gerekli olduğu çok az durumu biliyorum; ve hepsi aptal kolaylıklarla ilgilidir (SysAdmin1138'in verdiği Netware örneği gibi).

— Chris S

5

Kurulum sırasında bazı uygulamalar,% userprofile%, HK_CURRENT_USER ve benzerlerini değiştirerek çevresel değişkenleri kullanarak değişiklik yapma veya kullanıcının profiline (örneğin Outlook ile entegre olan CRM uygulamaları) gönderme yeteneğini gerektirir.

Procmon gibi araçlarla bir kurulumu "tersine mühendislik" yapabilir ve daha sonra kullanıcının profilini, kayıt defterini vb.

— gravyface
kaynak

1

+1. Bunun bir faktör olduğunu kesinlikle görebiliyordum. Bir yazılım mühendisi olarak, kurulum işlemi yazmak için son kullanıcının kurulum sırasında oturum açmasını gerektirmekten daha iyi yollar olduğunu savunuyorum. Aslında, Google Chrome gibi farklı tek kullanıcılı ve çok kullanıcılı yükleme işlemlerine izin veren mevcut yazılım ürünleri vardır .

— Isaac Truett

@Isaac, yükleyici tarafından halledilemeyen, kullanıcı başına yapılandırmanın temel ilkesini göz ardı ettiğine inanıyorum. Örneğin, belirli bir makinede birden fazla kullanıcı tarafından kullanılacak, her kullanıcının farklı bir yapılandırmaya ihtiyacı olduğu / istediği / gerektirdiği ve bu kullanıcıların paketi kullanmaya başlamadan önce yerinde olması gereken bir paketi ele alalım.

— John Gardeniers

@ John / Isaac: Sanırım, John, kullanıcı adına bu özelleştirmeyi tamamlamaktan mı bahsediyorsun? Öyleyse, evet, özellikle yapılandırma uygulama dışında değiştirilemiyorsa (ikili biçimde depolanırsa) ve o anda oturum açmış olan kullanıcıya bağlıysa, neden kullanıcı olarak oturum açmak istediğiniz veya ihtiyaç duyduğunuza ilişkin başka bir iyi nokta.

— gravyface

bu doğru. Böyle bir durumda kullanıcının parolasını sıfırlamak yalnızca sorunlara neden olur ve şu anda başka bir makinede ne yapıyorlarsa yapma yeteneklerine müdahale eder.

— John Gardeniers

4

Kesinlikle% 100 değil. Başka bir kullanıcı hesabıyla yapılması gereken her şey, kullanıcı parolasını sıfırlayarak, oturum açarak ve ardından kullanıcının yardım masasını aramasını veya parolayı kullanıcılardan bir şeyle dinlendirerek ve hesabın parolayı değiştirmeye zorlaması için ayarlanarak yapılmalıdır. bir sonraki girişinizde. İtiraf ederken, şifrenizi kimseye açıklayan oldukça büyük ve / veya güvenli ortamlarda çalıştığım genellikle fesih sebebiydi (ve çoğu durumda böyle olmalıdır)

— Jim B
kaynak

1

Bu çok geniş bir ifade. Bunun işe yaramayacağı birçok ortam var. Ben belki% 98 ama kesinlikle% 100 için gitmek istiyorum.

— John Gardeniers

1

@John Son kullanıcı olarak giriş yapmadan yapması imkansız bir şey için belirli bir örnek sunabilir misiniz?

— Isaac Truett

1

@Isaac: yükleme sırasında, dosya yerleşimi için% userprofile% referansı veren, belki de Word veya Outlook'ta araç çubukları yükleme gibi değişiklikler yapan birçok uygulama vardır. vb. değişir, ama neden dünyada rahatsız oluyorsun?

— gravyface

@john, bana açıklandığı gibi kullanıcı şifresini sıfırlamanın imkansız olduğu bir örnek verebilir misiniz? Kullanıcıların çok şikayetçi veya yöneticilerin çok tembel olduğu yerler olduğunu kabul ediyorum, ancak henüz bunun işe yaramadığı bir yerle karşılaşmadım.

— Jim B

1

@Jim, çalıştığım yerde sık sık diğerleri gibi oturum açmamız gerekiyor ve şifreleri sıfırlamak insanları iyi bir neden olmadan kızdırıyor. Şifrelerin (çoğu kullanıcı için) şirket içinde gizli olmadığı bir ortamımız var. Bunun daha büyük şirketlerde çalışan herkes için tahıllara karşı olduğunu biliyorum ve burada başladığımda benim için gerçek bir kültür şokuydu. Bu bir yönetim tercihi, benim değil, o kadar.

— John Gardeniers

3

Bu yazıların çoğu oldukça eski görünüyor, ancak umarım bazı bilgili insanlar hala iş parçacığı üzerinde aktif, çünkü bu güncel bir konu olmaya devam edecek gibi görünüyor.

Kesinlikle parola istemeniz gerekmeyeceği iddiaları yapılabilir . Kullanıcılarıma "hiç paylaşma" demeyi tercih ederim. Evet, yapılandırma çoğu durumda bir kullanıcı tarafından bir yönetici tarafından yapılabilir. Ancak sorun giderme başka bir meseledir.

2600 öğrenci ve 500 çalışanı ile birebir programı destekliyoruz. "Garip" yazılım sorunlarını günlük olarak ele alıyoruz. Sorunu çözmek için sorunu sıklıkla kullanıcı olarak deneyimlememiz gerekir (veya yeniden yüklemeye ihtiyaç duyulacağından emin olarak). Kesinlikle, bunu mevcut kullanıcı ile yapmaya çalışıyoruz - ancak bu her zaman pratik değildir; sürdürmek için bir planları var.

Akıllı kartlar ne olacak? 2010/2012 AD Ortamında bir akıllı kartın bir etki alanı hesabıyla (geçici olarak) ilişkilendirilebileceği herhangi bir fizibilite var mı? Bu, şifresini özel olarak açığa çıkarmadan kullanıcının hesabına tam olarak erişilmesine izin verir. Sorun giderme işlemi tamamlandığında kart devre dışı bırakılabilir. Teknisyenler hesabı kullanabilir, ancak kartlar iyi denetlenebilir.

Yıllardır parmak izi okuyucuları kullandık, ancak bunu belirli bir teknoloji için ayarlama süreci, daha sonra bu baskıyı temizlemek mümkün değil. Sürecin "yetkilendirmek" ve daha sonra belirli bir kullanıcı için bir akıllı kartı "devre dışı bırakmak" ne kadar karmaşık olduğundan emin değilim, ama iyi bir uzlaşma olabilir gibi görünüyor.

— JABlaine
kaynak

StackExchange, geleneksel forumlardan farklı bir model üzerinde çalışmaktadır, çünkü bu bir tartışma dizisi değil, bir soru ve ardından potansiyel cevapların seçilmesidir. Dezavantajı da bu SSS bölümümüze göre kötü bir soru örneği .

— Scott Pack

1

Evet: Profillerine yapılması gereken her şey. Böyle bir durumda, parolalarını bilmeniz veya söylediğiniz gibi ayarlamanız gerekir. Sonra işiniz bittiğinde bunu değiştirebilirler.

Bu kullanıcı olarak oturum açarsanız, onlara ek izinler vermezsiniz. Onların izinleri ile giriş yapıyorsunuz.

— KCotreau
kaynak

beni dövdü. Özellikle Outlook ile bütünleşen uygulamaları düşünüyordum.

— gravyface

Evet, elbette kullanıcıya fazladan izin vermiyorsunuz. Soru şu: Bir yönetici, bir kullanıcının kendi yönetici izinleriyle yapamadıkları izinlerle ne yapabilirdi? Peki, bir yönetici kullanıcının profiline kendi yönetici hesabından yapamayacakları ne yapardı?

— Isaac Truett

Sorunuzun cevabı yönetici ne yapamaz: Sadece bu kullanıcı olarak giriş yapın. Bu kullanıcı oturum açtığında, yalnızca o kullanıcıyla ilişkili profilde değişiklikler yapılabilir. Yönetici olarak oturum açtığınızda, yönetici profilinizle oturum açarsınız.

— KCotreau

Soruyu yanlış okuduğumu düşünmüştüm, ancak hayır, profile bir şey yapmak için kullanıcı şifresine ihtiyacınız yok.

— Jim B