Perguntas[active-directory](server)

Peço desculpas se esta pergunta fugir do assunto; estou tentando solucionar algo que foge da minha área de especialização.

Recentemente, migrei um aplicativo da web interno para o IIS. Também habilitei a Autenticação do Windows (IWA), que eu não estava usando antes. O problema que estou vendo é que minha conta de usuário (e, evidentemente, apenas minha conta de usuário) às vezes (não em todos os lugares) é identificada incorretamente pelo processo de autenticação.

Aqui estão os detalhes da configuração de autenticação do IIS para meu site:

• Tenho a Autenticação do Windows habilitada e todo o resto (incluindo a Autenticação Anônima) desabilitado.
• A autenticação do Windows está usando a autenticação no modo Kernel e o Negotiateprovedor.

Em relação à identificação errônea a que aludi:

• Tenho duas contas de usuário no mesmo domínio do AD. Chamo-as ​​de acct1e acct2. Normalmente, entro como acct1, alternando para acct2quando preciso de privilégios elevados.
• Fiz login na VM que está executando o IIS acct2para configurar o site.
• Quando volto ao meu PC local para acessar o site, o site me identifica como acct2, mesmo que eu esteja conectado ao meu PC como acct1.
• Todos os outros que acessaram o site foram devidamente identificados, mesmo aqueles que têm mais de uma conta, como eu.
• Se eu acessar o site de um PC diferente enquanto estiver conectado como acct1, serei identificado corretamente pelo site como acct1.
• Perversamente, se eu acessar o site da própria máquina do servidor, onde estou logado como acct2, ele me identifica como acct1.
• Pelo que vale, acct2ele tem privilégios de administrador no meu PC local, mas não no outro PC de onde acessei o site.
• Isso vem acontecendo há mais de uma semana e persiste mesmo depois de reiniciar meu PC local. Também acontece em diferentes navegadores.

Se eu mudar o provedor IWA de Negotiatepara NTLM, aqui está o que vejo:

• Sou devidamente identificado acct1quando acesso o site do meu PC local.
• Sou solicitado a inserir credenciais quando acesso o site da máquina do servidor web. No entanto, ele não aceita credenciais para acct1ou acct2.

Não estou muito preocupado em acessar o site do servidor, mas preciso ser identificado corretamente ao acessá-lo do meu PC. Gostaria de usar Negotiateem vez de NTLM.

Sou um desenvolvedor e não um administrador de sistema, mas estou tentando encontrar pistas que possam me ajudar a restringir o que está acontecendo e potencialmente apontar nossa equipe de infraestrutura na direção certa. Isso parece um problema de configuração do Active Directory ou do Kerberos?

O site é um aplicativo Python Flask rodando como um aplicativo FastCGI no IIS por meio da wfastcgibiblioteca Python. O site lê o valor da REMOTE_USERvariável request para obter o resultado do processo de autenticação IWA.

Nosso controlador de domínio travou e não temos como recuperá-lo. Nossos computadores foram autenticados e conectados ao nosso antigo controlador de domínio, e os perfis de roaming foram desabilitados. Nossos usuários salvam arquivos localmente em c:\users\mylocaluser\ e usam o controlador de domínio para autenticação na rede.

Agora, precisamos recuperar os arquivos de um usuário local, mas quando autenticamos em nosso novo controlador de domínio, os arquivos antigos desaparecem.

Tentamos instalar o disco rígido em outro PC, mas os arquivos parecem ter sumido.

Pesquisei e descobri que talvez os arquivos estejam em c:\windows\csc, mas não podemos ter acesso a essa pasta. Então estamos presos.

Você já passou por um problema semelhante?

Tenho uma rede com servidor Active Directory Windows Server 2003 e computadores Windows 11. Meu plano é substituir o Windows Server 2003 pelo Fedora Linux Server Edition - fedora 40. Eu poderia testá-lo com clientes Windows 11 e um cliente Fedora Linux 40.

O antigo reino é SONCANALS. O novo reino é SCNG.

Eu segui o guia da Revista Fedora .

Configurações

• O IP do servidor é 10.216.1.16e o domínio éscng.educaib

• O nome do host do servidor él1.scng.educaib

• samba.conf:

  cat /etc/samba/smb.conf
  # Global parameters
  [global]
          dns forwarder = 1.1.1.1
          netbios name = L1
          realm = SCNG.EDUCAIB
          server role = active directory domain controller
          workgroup = SCNG
          idmap_ldb:use rfc2307 = yes
          ldap server require strong auth = no 
  
  [sysvol]
          path = /var/lib/samba/sysvol
          read only = No
  
  [netlogon]
          path = /var/lib/samba/sysvol/scng/scripts
          read only = No
  

• Configuração do Kerberos:

  # cat /etc/krb5.conf.d/samba-dc 
  [libdefaults]
          default_realm = SCNG.EDUCAIB
          dns_lookup_realm = false
          dns_lookup_kdc = true
  
  [realms]
  SCNG.EDUCAIB = {
          default_domain = SCNG
  }
  
  [domain_realm]
          l1.scng.educaib = SCNG.EDUCAIB
  

• /etc/systemd/resolved.conf.d/custom.conf:

  [Resolve]
  DNSStubListener=no
  Domains=scng.educaib
  DNS=10.216.1.16
  

Tenho uma máquina com Fedora 40 que uso para testar o samba. Quando testo, tudo fica bem (seção "Testing" no guia do tutorial). Quando executo realm discover, só obtenho o realm antigo, não o novo:

realm discover -v
 * Resolving: _ldap._tcp.soncanals
 * Performing LDAP DSE lookup on: 10.216.1.2
 * Performing LDAP DSE lookup on: 10.216.1.10
 * Performing LDAP DSE lookup on: 10.216.1.4
 * Successfully discovered: soncanals
soncanals
  type: kerberos
  realm-name: SONCANALS
  domain-name: soncanals
  configured: no
  server-software: active-directory
  client-software: sssd
  required-package: sssd-common
  required-package: oddjob
  required-package: oddjob-mkhomedir
  required-package: sssd-ad
  required-package: adcli
  required-package: samba-common-tools

No Windows, quando tento entrar SCNG, sou solicitado a fazer logon de administrador, mas quando coloco credenciais, demora muito e sai uma caixa de diálogo.

Como posso fazer a triagem do problema aqui? Por exemplo, quais logs posso ver (tenho muitos em /var/log/samba/). Minha versão do samba é 4.20.5.

Minha prioridade é ingressar em um novo domínio e fazer login no Windows como usuário regular neste domínio. Descarto, por enquanto, compartilhar diretórios.

Editar (2024-11-11): Os testes no guia da revista Fedora foram aprovados corretamente:

Testando

Teste de conectividade

$ smbclient -L localhost -N
Anonymous login successful

        Sharename       Type      Comment
        ---------       ----      -------
        sysvol          Disk      
        netlogon        Disk      
        IPC$            IPC       IPC Service (Samba 4.21.1)
SMB1 disabled -- no workgroup available

$ smbclient //localhost/netlogon -UAdministrator -c 'ls'
Password for [SCNG\Administrator]:
  .                                   D        0  Thu Oct 31 10:17:05 2024
  ..                                  D        0  Thu Oct 31 10:17:05 2024

                15663104 blocks of size 1024. 12979380 blocks available

Teste DNS

$ host -t SRV _ldap._tcp.scng.educaib.
_ldap._tcp.scng.educaib has SRV record 0 100 389 l1.scng.educaib.
$ host -t SRV _kerberos._udp.scng.educaib.
_kerberos._udp.scng.educaib has SRV record 0 100 88 l1.scng.educaib.
$ host -t A l1.scng.educaib.
l1.scng.educaib has address 10.216.1.16

Teste Kerberos

$  kinit administrator
Password for [email protected]: 
ladmin@l1:~$ klist
Ticket cache: KCM:1000
Default principal: [email protected]

Valid starting     Expires            Service principal
11/11/24 10:15:10  11/11/24 20:15:10  krbtgt/[email protected]
        renew until 18/11/24 10:15:06

Temos uma conta de usuário antiga do AD com uma senha estática que é usada em várias máquinas para uma tarefa agendada e um serviço. Sei que o gMSA é melhor e, separadamente, estou no processo de colocá-lo em prática, mas essa conta precisa ficar ativa por mais um tempo.

Voltando a esta conta: Quero alterar a senha para atender aos critérios atuais de força de senha e garantir o hash AES, mas não tenho certeza se preciso alterá-la duas vezes com uma pausa de 10 horas entre elas ou se posso alterá-la consecutivamente e enviar a atualização da senha para os endpoints afetados.

Se alguém puder esclarecer o método de redefinição de intervalo de 2x e 10 horas ou se é possível fazer isso consecutivamente para essa finalidade, eu ficaria grato.

Obrigado!

Para habilitar o LDAPS, preciso de certificados em ambos os controladores de domínio. Não posso usar o Certificate Services, pois não tenho uma máquina Windows sobressalente e instalar essa função em um DC é um grande não-não, então prefiro usar um certificado autoassinado com SANs cobrindo ambos os DCs (FQDN e nomes curtos de máquina).

Algo que eu deva prestar atenção? Por exemplo:

• o certificado deve ter uma duração máxima (ou seja: 1, 5, 10, 100 anos)?
• isso pode interromper/afetar a conexão com a máquina cliente (improvável, pois o DC não tem certificado no momento);
• EFS - não ter uma CA significa que os próprios clientes são responsáveis ​​por suas chaves. O que acontecerá com o certificado autoassinado?

Estou configurando contas de usuário para dispositivos MAB (Mac Authentication Bypass) na minha rede. No GPO, criei uma UO para que as contas do dispositivo sejam criadas com herança de bloco para que a política de senha não seja aplicada às contas do dispositivo. A política de senha se aplica ao Controlador de Domínio. Quando vou criar a conta para o dispositivo, o nome de usuário/senha deve ser o endereço mac do dispositivo. O problema é que mesmo com a herança de bloco definida na UO, quando consigo criar a conta de usuário nessa UO, ela ainda aplica a política de senha. Sem desativar a política com a política de senha, há uma maneira de criar a conta de usuário para o dispositivo MAB?

Estou configurando um GPO OU para firewall e outras configurações para recomendações do CIS SCA. Eu tive um problema com as configurações do firewall. Os PCs na OU estão recebendo todas as configurações de GPO exatamente como você esperaria, e tudo está funcionando bem; No entanto, após um período de tempo desconhecido, algumas horas ou no dia seguinte, no controlador de domínio, as configurações de GPO da OU para "Windows Defender Firewall com configurações avançadas de segurança" estão de volta aos padrões, como se eu não tivesse alterado nada - todas as outras configurações de GPO estão definidas como eu tinha e permanecem.

Então, o problema está no controlador de domínio, não no cliente incluído na UO.

Configuração do computador\Políticas\Configurações do Windows\Configurações de segurança\Firewall do Windows Defender com Segurança Avançada

Configurações: Estado:

• Ativando todos os 3 (Domínio, Privado, Firewall Público)
• Bloquear entrada (padrão)
• Permitir saída (padrão)

Configurações:

• Exibir notificação = Não
• Mesclagem de regras: aplicar regras de firewall local = Não
• Aplicar regras de segurança de conexão local = Não

Registro

• %SystemRoot%\System32\logfiles\firewall\domainfw.log (privatefw.log e publicfw.log respectivamente)
• Limite de tamanho 16.384
• Log de pacotes descartados = Sim
• Registrar conexões bem-sucedidas

Observação* O firewall está gravando com sucesso em todos os 3 arquivos.

• Windows Server 2019, os PCs são Dell Wyse ThinClients Windows 10 Enterprise LTSC
• NÃO há outros GPOs, exceto Domínio Padrão e Controladores de Domínio Padrão...

Estou travado. Alguém já viu isso antes ou tem sugestões?

Obrigado pelo seu tempo,

Estou criando um laboratório do Active Directory , com um Windows Server 2022 como o Controlador de Domínio .
Gostaria de remover requisitos de complexidade para senhas no domínio com o powershell .

Eu tentei usar os seguintes comandos:

$passwordPolicy = Get-ADDefaultDomainPasswordPolicy
$passwordPolicy.ComplexityEnabled = $false
Set-ADDefaultDomainPasswordPolicy $passwordPolicy

Não houve mensagens de erro. Mas os requisitos de complexidade ainda estão presentes , conforme indicado por ComplexityEnabled:

> Get-ADDefaultDomainPasswordPolicy


ComplexityEnabled           : True
DistinguishedName           : DC=poudlard,DC=wizard
LockoutDuration             : 00:30:00
LockoutObservationWindow    : 00:30:00
LockoutThreshold            : 0
MaxPasswordAge              : 42.00:00:00
MinPasswordAge              : 00:00:00
MinPasswordLength           : 0
objectClass                 : {domainDNS}
objectGuid                  : 6f5b0803-0227-4454-899f-28df34343bfa
PasswordHistoryCount        : 0
ReversibleEncryptionEnabled : False

E meu usuário faz parte do Domain admins:

PS C:\Users\vagrant> whoami /groups

GROUP INFORMATION
-----------------

Group Name                                      Type             SID                                          Attributes
=============================================== ================ ============================================ ===============================================================
Everyone                                        Well-known group S-1-1-0                                      Mandatory group, Enabled by default, Enabled group
BUILTIN\Administrators                          Alias            S-1-5-32-544                                 Mandatory group, Enabled by default, Enabled group, Group owner
BUILTIN\Users                                   Alias            S-1-5-32-545                                 Mandatory group, Enabled by default, Enabled group
BUILTIN\Pre-Windows 2000 Compatible Access      Alias            S-1-5-32-554                                 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\NETWORK                            Well-known group S-1-5-2                                      Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users                Well-known group S-1-5-11                                     Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization                  Well-known group S-1-5-15                                     Mandatory group, Enabled by default, Enabled group
poudlard\Domain Admins                          Group            S-1-5-21-1683605283-797255120-3757226006-512 Mandatory group, Enabled by default, Enabled group
Authentication authority asserted identity      Well-known group S-1-18-1                                     Mandatory group, Enabled by default, Enabled group
poudlard\Denied RODC Password Replication Group Alias            S-1-5-21-1683605283-797255120-3757226006-572 Mandatory group, Enabled by default, Enabled group, Local Group
Mandatory Label\High Mandatory Level            Label            S-1-16-12288

Qual poderia ser o problema?

Usamos um Active Directory local para domínio e uma assinatura do Microsoft Office 365 para e-mails. E temos MIIS para sincronizá-los.

Notei que quando movo um usuário de uma UO para outra no AD local, o usuário perde a licença do Microsoft 365 e sua conta de e-mail para de funcionar.

Ao investigar e perguntar, encontrei alguns registros no cliente MIIS sobre os usuários movidos. Parece que o MIIS está configurado de alguma forma para excluir a conta da Microsoft quando um usuário é movido.

Alguém pode me orientar a corrigir esse erro fatal?

Acabamos de converter 4 dos nossos grupos de segurança do AD para habilitados para e-mail. Esses grupos concedem acesso a diferentes áreas de um aplicativo e ocasionalmente precisamos notificar os usuários sobre interrupções planejadas, interrupções inesperadas, etc., desse aplicativo. É por isso que convertemos esses grupos para habilitados para e-mail.

No entanto, alguns dos nossos usuários estão em vários grupos. Gostaria de enviar um e-mail para todos os 4 grupos para notificar os usuários. Se eu fizer isso, quantos e-mails os membros que existem em >1 grupo receberão?

Por exemplo:

Member Aestá em group 1e group 2. Eu envio um e-mail para onde ambos os grupos estão no Tocampo. Quantos e-mails Member Areceberei?

Normalmente eu testaria isso sozinho, mas criar um novo grupo de segurança requer uma autorização de instalação e outras informações da equipe de administração, então espero que alguém possa me dar a resposta.