Windows Server 2012 R2

Bewertung: 5 / 5

Stern aktivStern aktivStern aktivStern aktivStern aktiv

Über GPP (Group Policy Preferences) lassen sich auch Kennwörter für bestimmte Aufgaben vertielen (z. B. Lokale Benutzer und Gruppen). So kann man z. B. das Kennwort des lokalen Admin Kontos auf einem Client recht schnell ändern.

Das Kennwort wird in einer XML Datei verschlüsselt gespeichert. (Verzeichnis SYSVOL, Attribut cPassword, 32-bit AES Verschlüsselung)

Leider ist die verwendete Verschlüsselung realtiv schwach und es wurde der Schlüssel veröffentlicht.

 

Schlüssel: The 32-byte AES key is as follows:

4e 99 06 e8  fc b6 6c c9  fa f4 93 10  62 0f fe e8
f4 96 e8 06  cc 05 79 90  20 9b 09 a4  33 b6 6c 1b

 

Mit einem Powershell Script kann die XML Datei ausgelesen werden und das Kennwort entschlüselt werden. Dazu sucht man einfach im SYSVOL Verzeichnis nach allen Dateien die Groups.xml heißen. 

 

GPP Password 03

 

Microsoft hat schon vor längerer Zeit einen Security Patch dazu veröffentlicht. Nach dem Einspielen des Patches steht das Ändern von Kennwörtern über die GPP nicht mehr zur Verfügung.

 

GPP Password 01

 

GPP Password 02

Bewertung: 5 / 5

Stern aktivStern aktivStern aktivStern aktivStern aktiv

Möchte man einer Benutzergruppe das Recht einräumen, bestimmte Felder im AD zu beschreiben, dann kann dies über die Objektverwaltung erledigt werden.

Im folgenden Beispiel wird den Mitgliedern einer Gruppe erlaubt, einen Wert in das Feld Postfach zu schreiben.

Objectverwaltung 09

 

Im AD wählt man die gewünschte OU aus, für die die Delegierung gelten soll.

Rechte Maustaste Objektverwaltung

Objectverwaltung 03

Weiterlesen: AD Verwaltung Benutzergruppe Schreibrechte auf bestimmte Felder geben

Stern inaktivStern inaktivStern inaktivStern inaktivStern inaktiv

Windows und Unix/Linux sind auch in Sachen Zertifikate sehr unterschiedlich. Folgende Schritte sind notwendig um ein Windows Zertifikat auf einem PfSense Server zu nutzen.

Voraussetzungen: exportiertes Windows Zertifkat mit inkludiertem privatem Schlüssel. Das Zertifikat muss mit der Option erzeugt worden sein, dass der private Schlüssel exportiert werden darf.

 

Alle Schritte sind in diesem Artikel perfekt erklärt, sodass ich mir eine weitere Erklärung spare.

 

Windows Zertifikate lassen sich auch online in PfSense taugliche Zertifikate konvertieren.

 

Stern inaktivStern inaktivStern inaktivStern inaktivStern inaktiv

Mit Hilfe von GPOs kann der Zugriff auf Wechselmedien eingeschränkt bzw. unterbunden werden. Auch Speicherkarten und Smartphones werden als Wechselmedien eingestuft.

 

In der Gruppenrichtlinienverwaltung eine vorhandene Richtlinie aufrufen oder eine neue Richtlinie erstellen.

Soll die Einschränkung für Computer gelten:

Unter Computerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff die Einstellung Alle Wechselmedienklassen: Jeglichen Zugriff verweigern aufrufen.

Soll die Einschränkung für Benutzer gelten:

Unter Benutzerkonfiguration/Administrative Vorlagen/System/Wechselmedienzugriff die Einstellung Alle Wechselmedienklassen: Jeglichen Zugriff verweigern aufrufen.

 

 

GPO Wechselmedien

Stern inaktivStern inaktivStern inaktivStern inaktivStern inaktiv

Mit einer Enterprise CA lassen sich auch SAN (Subject Alernative Name) Zertifikate erstellen.

Damit SAN Zertifikate auch über die Webschnittstelle angefordert werden können, muss in der CA folgender Eintrag hinzugefügt werden.

Administrative Kommandozeile auf der CA öffnen

 

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2

 

SAN 01

 

CA neu starten

 

net stop certsvc

net start certsvc

 

Nun erfolgt die Webregistrieung fast gleich wie bei einem Wildcard Zertifikat. Folgenden Änderungen bzw. Ergänzungen müssen gemacht werden.

Bei Name kann ein beliebiger Wert eingetragen werden.

Bei Attribute werden die DNS Namen eingetragen:

 

san:dns=mydomain.com&dns=mydomain.org&dns=mydomain.net

 

SAN 02

Nach der Installation des Zertifikates kann man sich die Eigenschaften anzeigen lassen. Dort sieht man die alternativen Antragsstellernamen.

 

SAN 04

Copyright © winxperts4all.com. All Rights Reserved.