Windows Kimlik Bilgisi Yöneticisini Kullanarak Kayıtlı Parolaları Yönetme

Windows Kimlik Bilgisi Yöneticisi , ağ kaynaklarına, web sitelerine ve uygulamalara erişmek için kimlik bilgilerinin (kullanıcı adları ve parolalar) kaydedilmesine olanak tanır. Windows Kimlik Bilgisi Yöneticisi ile uzak kaynaklara parolanızı girmeden otomatik olarak bağlanabilirsiniz. Uygulamalar, Kimlik Bilgisi Yöneticisi'ne kendileri erişebilir ve kayıtlı şifreleri kullanabilir.

Windows'ta Parolaları Saklamak için Kimlik Bilgisi Yöneticisini Kullanma

Kimlik Bilgisi Yöneticisi, Windows 7'de ortaya çıktı ve parolalarınızı saklamak için oldukça güvenli bir yer olarak konumlandırıldı.

Windows 10'daki Kimlik Bilgisi Yöneticisi aşağıdaki hesap türlerini tutabilir:

• Windows Kimlik Bilgileri - Windows'ta oturum açmak veya uzak bilgisayarlara erişmek için kimlik bilgileri, RDP bağlantıları için kayıtlı parolalar, entegre Windows kimlik doğrulama desteğine sahip web siteleri için parolalar vb.

  Windows Kimlik Bilgisi Yöneticisi, otomatik oturum açma Windows veya etki alanı Önbelleğe Alınmış Kimlik Bilgileri için kimlik bilgilerini saklamaz.

• Sertifika Tabanlı Kimlik Bilgileri - akıllı kartlar kullanarak kimlik doğrulamak için;

• Genel Kimlik Bilgileri - Kimlik Bilgileri Yöneticisi ile uyumlu üçüncü taraf uygulamalar tarafından kullanılır;

• Web Kimlik Bilgileri - Edge ve IE'de, Microsoft uygulamalarında (MS Office, Teams, Outlook, Skype vb.) kayıtlı parolalar.

Örneğin, “

Save Password

” seçeneğini seçerseniz, girdiğiniz şifre Kimlik Bilgisi Yöneticisine kaydedilir.

Aynı şekilde, uzak bir RDP/RDS ana bilgisayarına bağlanmak için bir parola Uzak Masaüstü Bağlantısı (mstsc.exe) istemcisine kaydedilir.

Windows 10'daki Kimlik Bilgileri Yöneticisine klasik Denetim Masası'ndan (

Control Panel\User Accounts\Credential Manager

).

Gördüğünüz gibi, daha önce kaydettiğimiz Credential Manager'da iki şifre var.

TERMSRV\hostname

Burada kayıtlı bir kimlik bilgisi ekleyebilir, düzenleyebilir (kaydedilmiş bir şifreyi grafik arayüzde görüntüleyemezsiniz) veya girişlerden herhangi birini silebilirsiniz.

Ayrıca, kayıtlı şifreleri yönetmek için klasik Saklanan Kullanıcı Adları ve Şifreler arayüzünü kullanabilirsiniz. Çağırmak için aşağıdaki komutu çalıştırın:

rundll32.exe keymgr.dll,KRShowKeyMgr

Burada kaydedilen kimlik bilgilerini de yönetebilirsiniz ve Kimlik Bilgisi Yöneticisi için bazı yedekleme ve geri yükleme özelliklerine sahiptir (bunları bir Kimlik Bilgisi Yöneticisi veritabanını başka bir bilgisayara aktarmak için kullanabilirsiniz).

Bu

vaultcmd

aracı, Kimlik Bilgisi Yöneticisini komut isteminden yönetmek için kullanılır. Örneğin, kaydedilmiş Windows Kimlik Bilgilerinin bir listesini görüntülemek için şu komutu çalıştırın:

vaultcmd /listcreds:"Windows Credentials"

Credential schema: Windows Domain Password Credential
Resource: Domain:target=mun-dc01
Identity: RESDOM\j.brion
Hidden: No
Roaming: No
Property (schema element id,value): (100,3)
Property (schema element id,value): (101,SspiPfAc)

Aşağıdaki komut, kaydedilmiş tüm RDP şifrelerini Kimlik Bilgisi Yöneticisinden silecektir:

For /F "tokens=1,2 delims= " %G in ('cmdkey /list ^| findstr "target=TERMSRV"') do cmdkey /delete %H

Kaydedilen tüm parolalar Windows Kasası'nda saklanır. Windows Vault, sırları, parolaları ve diğer hassas kullanıcı bilgilerini saklamak için korumalı bir depodur. Windows Vault'ta veriler yapılandırılmıştır ve bir Vault şemasına ait bir dizi giriş gibi görünür. Windows Vault girişleri için şifreleme anahtarları seti, Policy.vpol dosyasında saklanır.

Etki alanı kullanıcıları için şu konumda bulunur:

%userprofile%\AppData\Roaming\Microsoft\Vault

Yerel kullanıcılar için, içinde bulabilirsiniz.

%userprofile%\AppData\Local\Microsoft\Vault

Kimlik Bilgisi Yöneticisi kullanılırken VaultSvc hizmeti çalışıyor olmalıdır:

Get-Service VaultSvc

Hizmet devre dışı bırakılırsa, Kimlik Bilgisi Yöneticisine erişmeye çalışırken aşağıdaki hatayı görürsünüz:

Credential Manager Error
The Credential Manager Service is not running. You can start the service manually using the Services snap-in or restart your computer to start the service.
Error code: 0x800706B5
Error Message: The interface is unknown.

Kullanıcıların Kimlik Bilgileri Yöneticisi'nde ağ parolalarını kaydetmesini önlemek istiyorsanız, Bilgisayar Yapılandırması -> Windows Ayarları -> Güvenlik altında Ağ erişimi: Ağ kimlik doğrulaması için parolaların ve kimlik bilgilerinin depolanmasına izin verme GPO seçeneğini etkinleştirin Ayarlar -> Yerel İlkeler -> Güvenlik Seçenekleri.

Ardından, bir kullanıcı parolayı Windows Vault deposuna kaydetmeye çalışırsa aşağıdaki hatayı görür:

Credential Manager Error
Unable to save credentials. To save credentials in this vault, check your computer configuration.
Error code: 0x80070520
Error Message: A specified logon session does not exist. It may already have been terminated.

PowerShell'den Windows Kimlik Bilgisi Yöneticisine Erişme

Windows, PowerShell'den PasswordVault deposuna erişmek için yerleşik cmdlet'lere sahip değildir. Ancak PowerShell galerisinden CredentialManager modülünü kullanabilirsiniz.

Modülü kurun:

Install-Module CredentialManager

CredentialManager modülünde bir cmdlet listesi görüntüleyebilirsiniz:

Get-Command -module CredentialManager

Modülün yalnızca 4 cmdlet'i vardır:

• Get-StoredCredential

  - Windows Kasasından kimlik bilgilerini almak için;

• Get-StrongPassword

  - rastgele bir parola oluşturmak için;

• New-StoredCredential

  - kimlik bilgileri eklemek için;

• Remove-StoredCredential

  - kimlik bilgilerini kaldırmak için.

Windows Kimlik Bilgileri Yöneticisine yeni kimlik bilgileri eklemek için şu komutu çalıştırın:

New-StoredCredential -Target 'a-d' -Type Generic -UserName 'maxbak@a-d.site' -Password 'Pass321-b' -Persist 'LocalMachine'

Kimlik Bilgisi Yöneticisi'nde kaydedilmiş herhangi bir kullanıcı kimlik bilgisinin olup olmadığından emin olmak için:

Get-StoredCredential -Target a-d

PowerShell betiklerinizde Credential Manager'dan kaydedilmiş parolaları kullanabilirsiniz. Örneğin, Windows Vault'tan bir PSCredential nesnesi olarak kaydedilmiş bir ad ve parola alabilir ve PowerShell'den Exchange Online'a bağlanabilirim:

$psCred = Get-StoredCredential -Target "a-d"
Connect-MSolService -Credential $psCred

Kimlik bilgilerini Windows Kasası'ndan kaldırmak için şu komutu çalıştırın:

Remove-StoredCredential -Target a-d

Yerleşik CLI araçlarını kullanarak parolaları düz metin olarak görüntüleyemezsiniz. Ancak, kaydedilmiş şifreleri almak için Mimikatz benzeri yardımcı programları kullanabilirsiniz.

credman

düz metin olarak (buradaki örneğe bakın).