1

Итак, позвольте мне предвосхитить этот вопрос, сказав, что я не эксперт по администрированию домена. Я программист, который пишет пользовательские приложения для Интернета.

Моя компания хочет добавить функцию сброса пароля на нашей странице входа в интранет. Наш сервер является ColdFusion 9, который имеет функциональность на языке, который позволяет мне программный доступ к LDAP. При исследовании написания кода для обеспечения работы этой функции смены пароля мне пришло в голову, что было бы гораздо проще написать код, который бы выполнял следующее:

net user <username> <password> /domain

Это, конечно, делается после обычной проверки старого пароля и тому подобного. Команда выполняется как пользователь с соответствующими правами для этого, и на самом деле она прекрасно работает.

Тем не менее, я заметил проблему, заключающуюся в том, что после большого устранения неполадок с одним из наших администраторов серверов мы смогли воспроизвести независимо от любого кода, который я написал.

Проблема заключается в том, что после выполнения команды net user и старый пароль, и новый пароль являются (на неопределенный интервал времени) хорошими паролями для изменяемой учетной записи пользователя.

Вот так. Если у нас есть пользователь testuser с паролем приветствия, и мы запустим следующее:

net user testuser welcome2 /domain

Затем в течение неопределенного периода времени мы можем успешно войти в домен, используя либо "welcome", либо "welcome2" в качестве пароля. Теперь по истечении этого неопределенного интервала времени первый пароль перестает работать, а новый пароль остается единственным оставшимся рабочим паролем.

Этого не происходит, если мы запускаем команду непосредственно на одном из двух наших контроллеров домена, но мне не очень удобно, чтобы мое веб-приложение выполняло эту команду непосредственно на PDC.

Единственное, о чем я могу думать, это то, что есть время распространения и что смена пароля НЕ является немедленной, как это было бы, если бы она запускалась на самом PDC.

Итак, мне интересно ... это ожидаемое поведение? Если я пойду по более сложному программному пути прямого доступа к серверу LDAP и изменения пароля пользователя, могу ли я столкнуться с подобной проблемой распространения?

Спасибо за прочтение.

1 ответ1

0

Хороший способ решить вашу проблему - программирование входа в систему. Я бы сказал больше, есть готовые платные решения проблемы забытых паролей, которые находятся именно по указанному пути.

Существует путь номер два пути системного администрирования, когда отдел или рабочие группы выделяют в подразделении конкретное лицо или в некоторых случаях руководитель подразделения уполномочен менять пароли в подразделении.

Ваш путь довольно странный, потому что в случае с локальной станцией в графическом интерфейсе входа системные сообщения и пароли перехвата могут быть изменены только с помощью драйверов клавиатуры, тогда, как в вашем случае, не очень понятно, как защита паролем и Отказ от вашего обслуживания повлияет непосредственно на все предприятие.

По вашему решению вам нужно изменить пароль в каждом домене или запустить синхронизацию, что не очень хорошо. Может быть, не настроение на рабочей станции, какой из доменов является основной рабочей станцией. Это можно сделать, что в первую очередь получит пароль от определенного контроллера домена.

Тогда agoritm будет выглядеть так: чтение ldap-сервера с наивысшим приоритетом, просмотр первичного днс на рабочей станции, просмотр журнала безопасности на контроллере, чтобы определить, где станция получает пароль. После этого конкретный контроллер может сменить пароль. Чтобы уменьшить необходимые разрешения, вы можете создать пользователя и удалить его из группы «Пользователи» и «Пользователи домена» и дать разрешения на чтение только в определенных ветвях реестра. Для работы с журналами событий лучше использовать промежуточную индексацию базы данных для поиска, доступную немедленно, а также предоставить непривилегированному пользователю базы данных доступ только для чтения.

Или терпеть ситуацию от 15 до 0 минут).

Установщик службы интеграции ColdFusion 9 .NET

SAML, SSO и ColdFusion

SAML Сервис провайдер с холодным сплавом

ColdFusion / SAML (часть 1)

Active Directory как LDAP

Понимание прокси AD FS 2.0

Обзор служб Active Directory облегченного доступа к каталогам

Автоматизируйте инструмент миграции Active Directory с помощью Windows PowerShell

Миграция учетных записей пользователей

Функция для миграции отдельного пользователя в инструменте миграции Active Directory на основе примера сценария Invoke-ADMTUserMigration.ps1

небольшой оффтоп:обзор служб подключения к бизнесу в SharePoint 2013

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .