ค้นหาเว็บไซต์

ค้นหาผู้ใช้ใน Active Directory ด้วยรหัสผ่านที่ตั้งไว้ไม่มีวันหมดอายุ

การตรวจสอบมาตรฐานที่คุณควรทำเมื่อพยายามปรับปรุงมาตรการรักษาความปลอดภัยของสภาพแวดล้อม Active Directory ของคุณคือเพื่อให้แน่ใจว่าคุณมีเหตุผลที่ถูกต้องสำหรับบัญชีใดๆ ที่มีรหัสผ่านที่ตั้งไว้ไม่ให้หมดอายุ คุณควรตรวจสอบให้แน่ใจด้วยว่าบัญชีในแต่ละวันที่ผู้ใช้ใช้นั้นสอดคล้องกับนโยบายรหัสผ่านของคุณ และไม่ได้ตั้งค่าให้ไม่มีวันหมดอายุ

ในบทช่วยสอนนี้ ฉันจะแสดงวิธีใช้ PowerShell เพื่อค้นหาบัญชีทั้งหมดที่ตั้งค่าไม่ให้หมดอายุใน Active Directory

ค้นหาผู้ใช้ทั้งหมดที่มีรหัสผ่านที่ตั้งไว้ไม่มีวันหมดอายุ

หากคุณต้องการค้นหารายการบัญชีผู้ใช้ทั้งหมดที่มีการตั้งค่ารหัสผ่านให้ไม่มีวันหมดอายุ คุณสามารถเรียกใช้สคริปต์ต่อไปนี้ใน PowerShell

เริ่มต้นด้วยการเปิด PowerShell จากตัวควบคุมโดเมน เพื่อให้แน่ใจว่าเครื่องมือการดูแลระบบที่จำเป็นได้รับการติดตั้งแล้วเพื่อรันคำสั่งเหล่านี้

เรียกใช้คำสั่งต่อไปนี้เพื่อดูรายชื่อผู้ใช้ Active Directory ทั้งหมดที่มีรหัสผ่านที่ตั้งไว้ไม่มีวันหมดอายุ นี่จะแสดงผลลัพธ์ของชื่อผู้ใช้รวมถึงว่าบัญชีนั้นเปิดใช้งานหรือไม่ ซึ่งเป็นประโยชน์ที่จะทราบ

Get-ADUser -Properties PasswordNeverExpires | `
where {$_.passwordNeverExpires -eq "true" } | `
Select-Object Name,Enabled

เมื่อคุณมีข้อมูลนี้แล้ว คุณควรแจ้งให้ผู้ใช้ทราบถึงความตั้งใจของคุณก่อนที่จะแก้ไขคุณสมบัติในออบเจ็กต์บัญชีของพวกเขา และยกเลิกการทำเครื่องหมายในช่องเพื่อให้รหัสผ่านหมดอายุ

ค้นหาผู้ใช้ผู้ดูแลระบบทั้งหมดที่มีรหัสผ่านที่ตั้งไว้ไม่มีวันหมดอายุ

ในสภาพแวดล้อมขนาดใหญ่ มักจะเป็นเรื่องยากที่จะแยกแยะระหว่างบัญชีที่เป็นบัญชีผู้ใช้ปกติและบัญชีใดเป็นบัญชีผู้ดูแลระบบ เครื่องมือสแกน Active Directory ทั่วไป เช่น ‘Ping-Castle’ จะรายงานบัญชีผู้ดูแลระบบที่ตั้งค่ารหัสผ่านไว้ไม่หมดอายุด้วย

หากต้องการค้นหาข้อมูลนี้ใน PowerShell เราจะรวมส่วนคำสั่งตัวกรอง 2 รายการไว้ในคำสั่งของเราเมื่อค้นหาบัญชีของเรา:

  • (AdminCount -eq 1) - สิ่งนี้บ่งชี้ว่าบัญชีนั้นเป็นบัญชีที่มีสิทธิ์
  • (AccountNotDelegated -eq $false) - สิ่งนี้บ่งชี้ว่าบัญชีไม่ได้ถูกใช้สำหรับการบริการ

เรียกใช้คำสั่งด้านล่างเพื่อสร้างรายการบัญชีผู้ใช้ของผู้ดูแลระบบโดยตั้งรหัสผ่านให้ไม่มีวันหมดอายุ

Get-ADUser -Filter {(AdminCount -eq 1) -and (AccountNotDelegated -eq $false)} `
-Properties PasswordNeverExpires | where {$_.passwordNeverExpires -eq "true" } | `
Select-Object Name,Enabled

มีกลุ่มความปลอดภัยที่แตกต่างกันมากมายซึ่งอาจกระตุ้นให้เกิดคุณสมบัติ AdminCount ของบัญชีผู้ใช้เพื่ออัปเดตเป็น 1 ซึ่งรวมถึง:

  • ผู้ดำเนินการบัญชี
  • ผู้ดูแลระบบ
  • ผู้ประกอบการสำรอง
  • ผู้ดูแลระบบโดเมน
  • ตัวควบคุมโดเมน
  • ผู้ดูแลระบบองค์กร
  • ผู้ดูแลระบบคีย์องค์กร
  • ผู้ดูแลระบบที่สำคัญ
  • Kbtgt
  • ผู้ประกอบการพิมพ์
  • ตัวควบคุมโดเมนแบบอ่านอย่างเดียว
  • เครื่องจำลอง
  • ผู้ดูแลระบบสคีมา
  • ผู้ดำเนินการเซิร์ฟเวอร์

บทความที่เกี่ยวข้อง