централизованая смена пароля

[dustcore Профиль]

добрый день!
возник вопрос: а можно ли централизовано политикой изменить пароль локал админу? я не нашел - может просто плохо искал?
спасибо!

[Stratofortress Профиль Сайт]

dustcore
ровно один скрипт.

[Xenon[BMSTU] Профиль]

передает по сети в открытом виде ?

[slz Профиль]

Xenon[BMSTU]
Конечно.
А еще есть любители вставлять такой скрипт в GPO, как startup, т.е. любой желающий и знающий может этот пароль посмотреть
Встроенный пользователь administrator на рабочей станции, в доменных структурах воще не нужен и должен быть деактивирован. Так же должен быть запрещен сетевой вход на комп с использованием этой учетки.

[Stratofortress Профиль Сайт]

slz
делать это логон-скриптом глупо.

Xenon[BMSTU]
ну и что?

пароль локального администратора сбрасывается на "раз". достаточно иметь физический доступ к машине. о чём разговор?
а тётя зина "с бухалтерии" сниффер запускать ради этого не станет.

[slz Профиль]

Stratofortress
Я написал то, что видел своими глазами.

[Stratofortress Профиль Сайт]

slz
я не сомневаюсь.

просто товарищ, видимо, передавал переменную %computername% в качестве параметра скрипту.
возможно, он заодно менял всем пользователям (переменная %username%) пароль на один и тот же.

[slz Профиль]

Stratofortress
Нет, вот чего он делал

ON error resume next
Set objNetwork = WScript.CreateObject("WScript.Network")
strComputer = "."
Set objUser = GetObject("WinNT://" & objNetwork.ComputerName & "/Администратор, user")
objUser.SetPassword "1234567890"
objUser.SetInfo
Set objUser = Nothing
set objNetwork = Nothing

И все это воткнуто в startup скрипт в GPO.

[Stratofortress Профиль Сайт]

slz
всё верно. но.
если пользователь — локальный админ. раз. если в домене все пользователи и так есть локал админы где хотят, то пароль какого-то там ещё %computername%/администратор в открытом виде — ерунда. он — этот пользователь — сможет и так его сменить на какой угодно.

второе. рациональность. можно ведь в цикле опросить все машины в домене (можно и не в домене), проанализировать их доступность (ping) и, будучи локал админом, сменить пароли? скрипт держать где угодно, подальше от пользователей и запускать шедулером от своего имени.

т.е., всё-таки, делать подобные вещи из логон-скрипта imho глупо.

[slz Профиль]

Stratofortress
Так я и не призываю никого делать это из логон-скрипта.
А там где этот скрпит лежал, пользователи уже дано не админы на рабочих станциях.