Active Directory'nin Güvenliğini Sağlama: Etki alanına kimler bilgisayar ekleyebilir? Yalnızca alan adı yöneticisi mi?

“Yalnızca Etki Alanı yöneticileri etki alanına bilgisayar ekleyebilir.” Bu sözleri ne kadar sık duyduğumu sayamam. Ancak yeni bir alan adı kurulumu yaparken bir sayaç yapılandırılır ve bu sayaç, her alan adı kullanıcısının alana en fazla 10 bilgisayar eklemesine olanak tanır. Bu varsayılan ayardır. Ayar değiştirilebilir ve BT güvenliği konseptinde dikkate alınmalıdır.

ms-DS-MachineAccountQuota

Ayar dsa.msc dosyasında bulunabilir (gelişmiş özellikleri etkinleştirin!) Dsa.msc'yi (Active Directory Kullanıcıları ve Bilgisayarları) açın. Henüz etkinleştirilmemişse Gelişmiş Özellikler'i etkinleştirin. Daha sonra alan adınızın özelliklerini açın (sağ tıklayın), Özellik düzenleyiciyi tıklayın ve Özellik ms-DS-MachineAccountQuota'ya gidin. Şaşırdın mı? Her kullanıcı (Etki Alanı Kullanıcısı) en fazla 10 Bilgisayar ekleyebilir.

Veya PowerShell'de basit bir One-Liner çalıştırın. Alan adını önemsemeyin. Get-ADDomain'den diyoruz.

Get-ADObject ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota

client01'i alan adına kim ekledi?

client01'i alan adına kim ekledi? Petra bir alan adı kullanıcısıdır ve client01'i alan adına eklemiştir. Basit bir tek satırlık çalıştırarak bunu görebiliriz. Tamam, bunun üç satırlık olduğunu kabul etmeliyim. Bilgisayar hesabının ms-DS-CreatorSID özelliğini inceliyoruz.

Get-ADComputer client01 -Properties mS-DS-CreatorSID | Select-Object -Expandproperty mS-DS-CreatorSID | Select-Object -ExpandProperty Value | Foreach-Object {Get-ADUser -Filter {SID -eq $_}}

Varsayılan değeri değiştirme

0 değeri, etki alanı kullanıcılarının bilgisayar hesabı eklemesine izin verilmediği anlamına gelir.

Etki alanının özelliklerini açın ve ms-DS-MachineAccountQuota'ya çift tıklayın. Değeri değiştirin. Sayı, kullanıcıların etki alanına eklemesini istediğiniz bilgisayar sayısını temsil eder. 0 olarak değiştirmenizi öneririm.

Veya PowerShell'i kullanın. Tekrar: Alan adı konusunda endişelenmeyin. Otomatik olarak doldurulacaktır.

Set-ADDomain (Get-ADDomain).distinguishedname -Replace @{"ms-ds-MachineAccountQuota"="0"}

Darbe

Kullanıcıya maksimum sayıya ulaşıldığı bilgisi verilir. Bilgisayarı etki alanına katılmaya çalışırken aşağıdaki hata oluştu:

İlgili makaleler