Как удалить групповую политику без доступа к домену (контроллеру)?

8

У меня есть контроллер домена (WS2012-R2) и набор (WS2012-R2) серверов, которые являются членами домена. Я случайно добавил группу, в которую входят все администраторы, к групповой политике «Запретить вход в систему локально», «Запретить вход в систему как сервис», «Запретить удаленный доступ» и «Запретить доступ к сети». Это привело к тому, что я и все другие администраторы (даже встроенная учетная запись) были заблокированы из контроллера домена.

Есть ли способ восстановить доступ к серверу, удалив объект групповой политики или удалив учетную запись администратора из группы, в которой было отказано?

active-directory group-policy windows-server-2012-r2 shagrinar
источник
3
Просто мысль, возможно академическая, но как ты случайно это сделал?
Colyn1337
@ Colyn1337 Это, вероятно, не случайно, но не очень хорошо продумано. Учетные записи администраторов являются членами группы, членом которой является каждый сотрудник, и я добавил эту группу в вышеупомянутые объекты групповой политики, что привело к блокировке каждой учетной записи. Мне не пришло в голову, что на самом деле есть возможность заблокировать встроенную учетную запись администратора, но мы здесь ...
shagrinar
Применяется ли эта политика также к другим DC или только к этому? (Можете ли вы просто создать новый DC и принудительно захватить любые роли, которые у него есть?)
Кэтрин Вилльярд

Ответы:

6

На ум приходят две мысли.

Можно предположить, что вы можете использовать загрузочный компакт-диск для доступа к контроллеру домена, пока он находится в автономном режиме, и вручную отредактировать или удалить вызывающий беспокойство объект групповой политики - объекты групповой политики домена существуют в SYSVOLпапке в файловой системе на контроллерах домена и применяются как параметры реестра, оба из которые доступны с загрузочного компакт-диска - однако это либо отменит репликацией, либо вызовет ошибки репликации домена, как только контроллер домена, на котором вы это сделали, подключится к другому контроллеру (ам) домена в домене. (Я предполагаю, что у вас в домене более одного контроллера домена, как и должно быть ... если у вас есть только один, это не будет плохим подходом).

Другой подход, который приходит на ум, - войти в режим восстановления служб каталогов и выполнить принудительное восстановление из резервной копии, предшествующей этому объекту групповой политики. (И это также зависит от предположения, что вы делаете то, что должны делать, и у вас есть резервные копии для восстановления.)

HopelessN00b
источник
Если у вас небольшое количество DC (2,3,4?) И вы можете потерять все, кроме одного, первый вариант может сработать. Завершите работу, выйдите на пенсию, уничтожьте все, кроме одного DC, постарайтесь, захватите роли FSMO. Если вы доберетесь до этого, постройте новые DC, чтобы заменить тех, кого вы должны были уничтожить.
Клейтон
4

Я на самом деле не пробовал это. (Извините.) Я также предполагаю, что RSAT не будет работать из-за «запрета удаленного / сетевого доступа». (Если вы еще не пробовали, стоит попробовать, но я не оптимистичен.)

Возможно, вы могли бы создать новую учетную запись администратора с загрузочным CD Hiren и использовать эту учетную запись для редактирования политики.

Кэтрин Вилляр
источник
Спасибо за ваш ответ, к сожалению, я не могу запустить загрузочный компакт-диск Hiren на моей виртуальной машине, так как это машина поколения 2 Hyper-V. Возможно, есть альтернативная версия загрузочного CD Hiren?
Шагринар
ADUC использует запросы LDAP, таким образом , он должен не быть блокированы «запретить доступ к сети» ограничения ... но вы должны были бы на самом деле запустить его с помощью учетной записи администратора домена, который вы можете сделать это только если у вас есть по крайней мере одна машина , к которой оскорбительный объект групповой политики не применяется. Однако вместо этого может помочь PowerShell (подробности см. В моем ответе).
Массимо
3
Мысль возникает об этом ответе. Поскольку мы имеем дело с контроллером домена, у которого нет локальных учетных записей ... как создать новую учетную запись администратора с помощью загрузочного компакт-диска на контроллере домена? Я рисую бланк. Я использовал эту технику для сброса пароля администратора / DSRM на контроллерах домена, но сомневаюсь, что с ним можно создать нового пользователя. Я что-то пропустил?
HopelessN00b
1
@KatherineVillyard FalconFour - более продвинутая / современная / полезная версия HBCD ... Просто
@shagrinar Если вы можете загрузить PE - у меня есть PXE-опция PE только для аварийных ситуаций и диагностики - это также может сработать, хотя у вас не будет MMC без искажений. Но попробуйте сначала RSAT, если вы этого не сделали. Это наименее болезненный вариант.
Кэтрин Вилльярд
3

Где применяется групповая политика? Только для контроллеров домена или для всего домена?

Если он применяется только к контроллерам домена, то вы все равно можете войти на другой членский компьютер, используя учетную запись администратора домена; затем вы можете включить консоль управления групповой политикой и / или все другие инструменты администрирования AD, если вы находитесь на серверной ОС, или установить RSAT и сделать то же самое, если это рабочая станция; с помощью этих инструментов вы сможете редактировать вызывающий беспокойство объект групповой политики или, по крайней мере, пользователей и группы (консоль ADUC использует запросы LDAP, поэтому она не подлежит ограничениям на вход в систему).

Если вместо этого политика применяется ко всему домену, и вы не можете войти нигде, используя учетную запись администратора домена, то возможный обходной путь может заключаться в использовании модуля PowerShell Active Directory : почти все командлеты имеют -credentialпараметр, который позволяет указывать учетные данные использовать для запуска команды, даже если PowerShell фактически выполняется под другой учетной записью пользователя ; это включает в себя Remove-ADGroupMember . Таким образом, возможное решение будет:

  • Войдите на любой членский компьютер, используя любую доступную учетную запись пользователя.
  • Убедитесь, что инструменты администрирования AD установлены в системе (либо включите их на сервере, либо установите RSAT на рабочей станции).
  • Запустите PowerShell.
  • Import-Module ActiveDirectory
  • $admincreds = Get-Credential (открывается окно, в котором необходимо ввести учетные данные для учетной записи администратора домена)
  • Remove-ADGroupMember <GroupName> <UserName> -Credentials $admincreds

Если это работает, <UserName>будет удалено из <GroupName>, и, таким образом, нарушающая политика больше не будет его блокировать.

Massimo
источник
4
Не Deny network accessраспространяется на доступ через RSAT (и PowerShell)? Не то чтобы я собирался протестировать или у меня есть опыт блокировки себя из моих DC, чтобы вернуться к нему, но я считаю, что по этой причине это не сработает.
HopelessN00b
ADUC использует запросы LDAP, это должно быть за пределами области, ограниченной "запретить доступ к сети"; проблема в том, чтобы запустить его с помощью учетной записи администратора домена. Я не уверен насчет PowerShell, но вместо этого он не обязательно должен работать под той же учетной записью пользователя, которую вы используете для запуска команды, поэтому он определенно стоит попробовать.
Массимо
В режиме восстановления рекламы, если он удалит папку gpo или добавит к ней команду ntfs, он будет хорош.
yagmoth555
@Massimo Как я уже сказал, я не могу сказать наверняка, но документация по этому конкретному объекту групповой политики в разделе «Лучшие практики» гласит: «Поскольку все программы доменных служб Active Directory используют сетевой вход в систему для доступа, будьте осторожны при назначении этого права пользователя. на контроллерах домена. " Это звучит как предупреждение о том, что данная конкретная конфигурация применима ко всем программам доменных служб Active Directory.
HopelessN00b
3
Я попробовал оба вышеупомянутых, но безуспешно. Доступ к LDAP отключен.
Шагринар
3

Загрузите контроллер домена в режиме восстановления активного каталога с учетной записью, которую вы настроили при создании домена. (Это просто локальная учетная запись администратора на Administratorконтроллере домена , названная , и пароль был установлен в dcpromo.)

Оттуда удалите все разрешения NTFS на SYSVOLтоме в папке идентификатора объекта групповой политики. (Проверьте последнюю измененную папку, чтобы найти последний измененный объект групповой политики).

В этом режиме база данных Active Directory не загружается, но у вас есть доступ к файловой системе.

Если ничего не работает, в этом режиме вы можете попробовать gpofixкоманду, но имейте в виду, что она удалит ВСЕ объекты групповой политики.

yagmoth555
источник
Есть ли способ сделать резервные копии всех объектов групповой политики, чтобы я мог вернуть их обратно (без блокировки-GPO)?
Шагринар
2
@shagrinar Нет ... но может быть лучше только удалить все разрешения NTFS для папки объекта групповой политики, так как это заблокирует применение объекта групповой политики и только заставит ваш DC-дисплей показать, что ваш объект групповой политики поврежден в MMC объекта групповой политики.
yagmoth555
Удаление всех разрешений NTFS для SYSVOL не имеет никакого эффекта, так же, как удаление всех файлов из каталога. Вход в DSRM был возможен, и я мог войти в систему с учетной записью, но при запуске dcgpofix я получил сообщение об ошибке, в котором говорилось, что я должен войти в систему с учетной записью члена домена ...
shagrinar
Настройки gpo все еще применяются, вы можете стереть кеш в режиме DSRM? (см. там расположение реестра; support.microsoft.com/en-us/kb/201453 )
yagmoth555
Я удалил все из истории , к сожалению, безуспешно при входе в систему.
Шагринар,
2

Когда домен был изначально создан, была создана учетная запись «бога». Узнайте, что это было, его пароль, и вы сможете войти в DC, где размещен глобальный каталог. Оттуда вы должны быть в состоянии отменить то, что вы сделали, и дать ему время для распространения.

Если это не помогает, есть несколько хакерских техник, которые вы можете использовать, но для меня было бы неуместно передавать это здесь. Обратитесь к местному специалисту по безопасности, поскольку он обычно знаком с хакерскими методами и может помочь вам восстановить домен.

Конечно, если это всего лишь несколько серверов, и это не критично, вы можете просто стереть и начать все сначала.

Colyn1337
источник
Можете ли вы дать мне подсказку о том, как узнать, что это может быть за аккаунт? Я знаю учетную запись локального администратора контроллера домена, которая при установке Active Directory превратилась в учетную запись домена, но это также влияет. Стирание серверов было бы моим последним вариантом.
Шагринар
При создании нового домена, будь то по сценарию или мастеру, вам нужно создать одну основную учетную запись и дать ей пароль. Обычно он используется только во время аварийного восстановления (как сейчас), и знать об этом может только тот, кто создал домен. Если вы не знаете, кто создал домен, уточните у своего директора, есть ли вероятность, что кто-то в цепочке управления получил эту информацию.
Colyn1337
1
Учетная запись, о которой вы говорите, является учетной записью режима восстановления служб каталогов; он используется только для обслуживания автономных контроллеров домена, но на самом деле он не является администратором домена; в этом случае это будет совершенно бесполезно, если только вы не захотите восстановить AD из резервных копий.
Массимо
@Massimo Я думаю, что ваша информация немного устарела ... "вы можете настроить контроллер домена так, чтобы вы могли входить в него с учетной записью администратора DSRM, если контроллер домена был запущен нормально, но служба AD DS остановлена ​​для некоторая причина." technet.microsoft.com/en-us/library/cc816897(v=ws.10).aspx
Colyn1337
1
@Massimo Было бы возможно удалить объект групповой политики из его местоположения в папке sysvol в файловой системе, а также отредактировать реестр, чтобы изменить настройки, используя эту технику. Я предполагаю, что это то, что предлагается в этом ответе.
HopelessN00b
1

Сначала отключите все контроллеры домена. Это позволит избежать странных проблем с репликацией.

Первый шаг - удалить неверный параметр групповой политики. Назначения привилегий хранятся в GptTmpl.infфайле в MACHINE\Microsoft\Windows NT\SecEditкаждой папке политики. Вы будете знать , что есть правильную политику , когда этот .infфайл содержит строку для SeDenyNetworkLogonRight, SeDenyInteractiveLogonRightи так далее. Удалить все SeDeny...Rightстроки из него.

Windows не будет применять новые параметры, если не увидит, что объект групповой политики изменился, что определяется путем обращения к versionNumberатрибуту объекта Active Directory. Давайте не будем пытаться редактировать AD в автономном режиме. Вместо этого мы удалим неверные настройки из реестра вручную.

Смонтируйте \Windows\System32\config\SECURITYкуст контроллера домена в реестр другой системы Windows с помощью reg load. Откройте редактор реестра и перейдите к Policy\Accountsмонтированному кусту. (Для этого может потребоваться запуск в regeditкачестве SYSTEM. PsExec может сделать это.) Каждый подраздел этого соответствует пользователю или группе, а ActSysAcподключ каждого из них содержит «права». (Все «привилегии» находятся в Privilgsподразделе.) Найдите тот со ActSysAcзначением C0 03 00 00, которое соответствует четырем правам, которым вы отказали. Удалите ActSysAcили измените его значение на 00 00 00 00. Закройте редактор реестра и размонтируйте улей reg unload.

Загрузите контроллер домена, который вы изменили. Вы должны быть в состоянии войти в систему сейчас. Используйте консоль управления групповыми политиками для внесения любых изменений (независимо от того, насколько это тривиально) в локальные политики соответствующего объекта групповой политики. Это увеличит номер версии объекта групповой политики.

Загрузите другие контроллеры домена и дайте изменениям повторить изменения.

Бен Н
источник
Это выглядит очень многообещающе, к сожалению, я не могу подтвердить, что это работает. К настоящему времени я все перестраиваю. Если кто-нибудь может подтвердить, что это работает, я с радостью отмечу это как ответ!
Шагринар
0

Вы можете попробовать открыть в проводнике \\ domain.controler \ c $ \ windows \ sysvol \ sysvol \ domain.local \ polices (у вас все еще есть доступ)

Там вы найдете все политики. Переместите этот каталог в какое-то временное место и попробуйте перезагрузить компьютер. Это поможет.

kgimpel
источник
Контроллер домена называется asgard, а домен называется yggdrasil, поэтому я ввел: \\ asgard \ c $ \ windows \ sysvol \ sysvol \ yggdrasil \ rules, что привело к сообщению об ошибке, сообщающем, что windows не может получить доступ к каталогу. Я не пытаюсь получить доступ к этому из учетной записи локального администратора компьютера, который находится в домене, но с моего частного ноутбука - он все еще требует входа в систему.
Шагринар
Проверьте каталог, я не уверен после sysvol. Можете ли вы войти в \\\ domaincontroller \ c $, используя учетные данные домена? Или вы можете попробовать использовать локального администратора, такого как "asgard \ admin" или "asgard \ tor" :)
kgimpel
Я попробовал это безрезультатно, но так как это виртуальная машина, на которой работает DC, я только что смонтировал виртуальный жесткий диск. Я нашел каталог C: \ sysvol \ sysvol \ fqdn_of_domain , попытка доступа к нему привела к ошибке (это какая-то символическая ссылка?). Я нашел другую папку C: \ sysvol \ domain, которая содержит скрипты и политики. Я переместил все из этого, размонтировал VHD и включил машину. К сожалению, нет никаких изменений. Куда ведет эта ссылка? Любые другие варианты, которые я могу рассмотреть, имея доступ к жесткому диску?
Шагринар
3
@shagrinar Ссылка на контроллер домена напрямую через общий ресурс SMB, о котором говорится в этом ответе, не будет работать, поскольку вы запретили доступ к сети через объект групповой политики. Возможно, вы сможете сделать \\domainname\sysvol\ и получить доступ к политикам таким образом, но мои надежды не оправдаются. Изменение sysvol требует привилегий администратора домена, и если вы заблокировали всех администраторов домена, вы не сможете получить к нему необходимые привилегии для этого.
HopelessN00b
Внутри SYSVOL \ Domain \ Policies Вы можете сортировать, находить и перемещать только каталоги, созданные за последний день. Одним из них будет ваша «проблемная» политика.
kgimpel