Active Directory'de Parolaları Hiçbir Zaman Sona Ermeyecek Şekilde Ayarlanmış Kullanıcıları Bulma

Active Directory ortamınızın güvenlik durumunu iyileştirmeye çalışırken yapmanız gereken standart bir kontrol, şifreleri geçerliliğini yitirmeyecek şekilde ayarlanmış tüm hesaplar için geçerli gerekçelere sahip olduğunuzdan emin olmaktır. Kullanıcılar tarafından kullanılan günlük hesapların şifre politikanıza uygun olduğundan ve hiçbir zaman sona ermeyecek şekilde ayarlanmadığından da emin olmalısınız.

Bu eğitimde size Active Directory'de süresi dolmayacak şekilde ayarlanmış tüm hesapları bulmak için PowerShell'i nasıl kullanacağınızı göstereceğim.

Parolaları hiçbir zaman sona ermeyecek şekilde ayarlanmış tüm kullanıcıları bulun

Parolasının hiçbir zaman geçerliliğini yitirmeyecek şekilde ayarlanmış tüm kullanıcı hesaplarının bir listesini bulmak istiyorsanız aşağıdaki betiği PowerShell'de çalıştırabilirsiniz.

PowerShell'i bir etki alanı denetleyicisinden açarak başlayın; bu, bu komutları çalıştırmak için gerekli yönetim araçlarının zaten yüklü olmasını sağlayacaktır.

Parolası hiçbir zaman sona ermeyecek şekilde ayarlanmış tüm Active Directory kullanıcılarının listesini görüntülemek için aşağıdaki komutu çalıştırın. Bu, kullanıcı adının sonucunun yanı sıra hesabın etkin olup olmadığını da gösterecektir; bunu bilmek faydalıdır.

Get-ADUser -Properties PasswordNeverExpires | `
where {$_.passwordNeverExpires -eq "true" } | `
Select-Object Name,Enabled

Bu bilgiyi aldıktan sonra, hesap nesnesindeki özellikleri düzenlemeden ve şifrelerinin süresinin dolmasına izin vermek için kutunun işaretini kaldırmadan önce kullanıcıyı niyetiniz konusunda bilgilendirmelisiniz.

Parolaları hiçbir zaman sona ermeyecek şekilde ayarlanmış tüm yönetici kullanıcıları bulun

Daha büyük ortamlarda, hangi hesapların normal kullanıcı hesapları ve hangi hesapların yönetici hesapları olduğunu ayırt etmek genellikle zor olabilir. 'Ping-Castle' gibi yaygın Active Directory tarama araçları, parolaları geçerliliğini yitirmeyecek şekilde ayarlanmış yönetici hesapları hakkında da rapor verecektir.

Bu bilgiyi PowerShell'de bulmak için hesaplarımızı ararken komutumuza 2 filtre cümlesi dahil edeceğiz:

  • (AdminCount -eq 1) - Bu, hesabın ayrıcalıklı bir hesap olduğunu gösterir.
  • (AccountNotDelegated -eq $false) - Bu, hesabın bir hizmet için kullanılmadığını gösterir.

Aşağıdaki komutu çalıştırın ve şifreleri hiçbir zaman sona ermeyecek şekilde ayarlanmış yönetici kullanıcı hesaplarının bir listesini oluşturun.

Get-ADUser -Filter {(AdminCount -eq 1) -and (AccountNotDelegated -eq $false)} `
-Properties PasswordNeverExpires | where {$_.passwordNeverExpires -eq "true" } | `
Select-Object Name,Enabled

Bir kullanıcı hesabının AdminCount özelliğinin 1'e güncellenmesini sağlayabilecek birçok farklı güvenlik grubu vardır. Bunlar şunları içerir:

  • Hesap Operatörleri
  • Yöneticiler
  • Yedekleme Operatörleri
  • Etki Alanı Yöneticileri
  • Etki Alanı Denetleyicileri
  • Kurumsal Yöneticiler
  • Kurumsal Anahtar Yöneticiler
  • Önemli Yöneticiler
  • Krbtgt
  • Yazdırma Operatörleri
  • Salt Okunur Etki Alanı Denetleyicileri
  • Çoğaltıcı
  • Şema Yöneticileri
  • Sunucu Operatörleri

İlgili makaleler