Come reimpostare la password dell'amministratore del dominio Active Directory

In questo articolo esamineremo gli scenari di reimpostazione della password dell'amministratore del dominio Active Directory. Potrebbe essere necessario nei casi in cui i privilegi di amministratore di dominio siano andati perduti a causa di dimenticanza o sabotaggio deliberato da parte di un amministratore in pensione, di un attacco di hacker e così via. Per reimpostare correttamente la password di un amministratore di dominio, è necessario disporre dell'accesso fisico o remoto alla console del controller di dominio AD (iLO, iDRAC o console VMware vSphere/Hyper-V/Proxmox quando si utilizza un controller di dominio virtuale).

In questo esempio, reimposteremo la password dell'amministratore su un controller di dominio che esegue Windows Server 2019. Se sulla rete è presente più di un controller di dominio, puoi reimpostare la password dell'amministratore di dominio su ciascuno di essi.

Lettura consigliata:Come reimpostare la password della modalità di ripristino dei servizi directory dimenticata in Active Directory

Contenuto:

• Come reimpostare la password di un amministratore di dominio persa se non conosci la password DSRM?
• Reimpostazione della password dell'amministratore del dominio su un controller di dominio virtualizzato
• Reimposta la password dell'amministratore del dominio da DSRM

Per reimpostare la password dell'amministratore di dominio, è necessario accedere alla modalità ripristino servizi directory (DSRM) utilizzando la password dell'amministratore DSRM (impostata quando Windows Server viene promosso a controller di dominio). Si tratta infatti di un account amministratore locale archiviato in un database SAM locale nel controller di dominio. Utilizzare il metodo 1 o 2 se non si conosce la password DSRM.

Come reimpostare la password di un amministratore di dominio persa se non conosci la password DSRM?

Avvia il tuo server da qualsiasi supporto di installazione di Windows (può essere una chiavetta USB di installazione di Windows o un'immagine ISO):

1. PremereShift+F10per aprire il prompt dei comandi nella schermata di installazione di Windows;
2. Ora devi conoscere la lettera assegnata alla partizione in cui è installato Windows Server. Esegui il comando:wmic logicaldisk get volumename,name
   Nel mio esempio, puoi vedere che la mia immagine Windows Server offline è attivaC:. Questa è la lettera di unità che utilizzeremo nei seguenti comandi.Puoi anche identificare i dischi in Windows utilizzando diskpart:diskpart->list disk->list vol
3. Eseguire il backup del file utilman.exe originale:
   copy C:windowssystem32utilman.exe C:windowssystem32utilman.exebak
4. Quindi sostituire il file utilman.exe con cmd.exe:
   copy c:windowssystem32cmd.exe c:windowssystem32utilman.exe /y
   
5. Estrai l'immagine di avvio (USB/ISO) e riavvia il tuo host:wpeutil reboot
6. Dopo aver avviato il controller di dominio, fare clic sul pulsante "Accesso facile" nella schermata di accesso. Questo aprirà un prompt dei comandi;
7. Esegui ilwhoamicomando per assicurarsi che il prompt dei comandi sia in esecuzione come NT AuthoritySYSTEM;
8. Elenca le informazioni sull'account amministratore:net user administrator
9. In questo esempio, puoi vedere che questo utente è un membro del gruppo Domain admins ed è ora disabilitato:

   Account active: No

10. Abilita l'account amministratore del dominio:
    net user administrator /active:yes
11. Ora puoi reimpostare la password dell'amministratore del dominio:
    net user administrator *
    Imposta una nuova password di amministratore (la nuova password deve corrispondere alla politica della password del dominio);.
12. Avvia nuovamente il server dal supporto di installazione e sostituisciutilman.execon il file originale (per evitare di lasciare una falla di sicurezza nel server):
    copy c:windowssystem32utilman.exebak c:windowssystem32utilman.exe /y
13. Riavvia il controller di dominio in modalità normale e assicurati di poter ora accedere al tuo controller di dominio utilizzando la nuova password dell'amministratore di dominio.

Reimpostazione della password dell'amministratore del dominio su un controller di dominio virtualizzato

Se disponi di un controller di dominio virtualizzato in esecuzione su qualsiasi hypervisor (ESXi, Hyper-V, Proxmox), puoi utilizzare ilDSInternalsModulo PowerShell per reimpostare la password dell'amministratore.
Per farlo:

1. Arrestare la macchina virtuale che esegue il ruolo Servizi di dominio Active Directory (controller di dominio) e connettere la relativa unità virtuale (vhdx, vmdk e così via) a qualsiasi altra macchina virtuale che esegue Windows. Assegnagli una lettera di unità, ad esempio,E:;
2. Installa il modulo DSInternals da PowerShell Gallery:
   Install-Module DSInternals –Force
   I moduli PowerShell possono essere installati offline quando non è disponibile una connessione Internet.
3. Ottieni una chiave di avvio utilizzata per crittografare gli hash delle password nel database AD (ntds.dit):
   $bootkey= Get-BootKey -SystemHiveFilePath "E:WindowsSystem32configSYSTEM"
4. Ora puoi ottenere informazioni su qualsiasi account utente nel database AD:
   Get-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:WindowsNTDSntds.dit" -BootKey $bootkey
5. Se l'account amministratore del dominio è disabilitato, abilitalo e imposta una nuova password:
   Enable-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:WindowsNTDSntds.dit"
Set-ADDBAccountPassword -SamAccountName 'administrator' -DBPath "E:WindowsNTDSntds.dit" -BootKey $bootkey
   
6. Scollegare l'unità virtuale, ricollegarla alla VM di origine e accendere il controller di dominio;
7. Successivamente, la nuova password dell'amministratore del dominio verrà replicata in tutti i controller di dominio.

Reimposta la password dell'amministratore del dominio da DSRM

Se conosci la password dell'amministratore DSRM, puoi avviare il controller di dominio in DSRM selezionando l'opzione appropriata dal menu Opzioni di avvio avanzate.

Immettere il nome utente locale (amministratore) e la password (password DSRM) nella schermata di accesso.

In questo esempio, il nome del controller di dominio è DC01.
Controlliamo quale utente ha effettuato l'accesso al sistema eseguendo il comando:

whoami /user

USER INFORMATION
----------------
User Name          SID
================== ============================================
dc01administrator S-1-5-21-3244332244-312345677-2454632109-500

Come puoi vedere, abbiamo effettuato l'accesso come utente amministratore locale.

Il passaggio successivo consiste nel modificare la password dell'amministratore di Active Directory (per impostazione predefinita, l'account è anche chiamato Amministratore). Per reimpostare la password dell'amministratore del dominio, creeremo un servizio che reimposterà la password dell'account amministratore in SISTEMA:
sc create ResetADPass binPath= "%ComSpec% /k net user administrator P1SSsw0rd21!" start= auto

Nota.Tieni presente che è richiesto uno spazio tra il segno '=' e il suo valore quando si imposta il percorso nella variabile binPath. Inoltre, la nuova password deve soddisfare i requisiti del dominio in termini di lunghezza e complessità della password.

Assicurati che il servizio sia stato creato:
sc qc ResetADPass

[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ResetADPass
TYPE               : 10  WIN32_OWN_PROCESS
START_TYPE         : 2   AUTO_START
ERROR_CONTROL      : 1   NORMAL
BINARY_PATH_NAME   : C:Windowssystem32cmd.exe /k net user administrator P@ssw0rd1
LOAD_ORDER_GROUP   :
TAG                : 0
DISPLAY_NAME       : ResetADPass
DEPENDENCIES       :
SERVICE_START_NAME : LocalSystem

Riavviare il controller di dominio in modalità normale:
shutdown -r -t 0
All'avvio, il servizio che abbiamo creato modifica la password dell'amministratore del dominio in P1SSsw0rd21!. Utilizza questo account e la password per accedere al DC.
whoami /user

USER INFORMATION
----------------
User Name             SID
===================== ============================================
corpadministrator S-1-5-21-1737425439-23123122-1234318981-500

Quindi elimina il servizio Windows che abbiamo appena creato:
sc delete ResetADPass

[SC] DeleteService SUCCESS

In questo articolo, daremo un'occhiata a come reimpostare la password di un amministratore di dominio AD. Ci teniamo a ribadire l'importanza di garantire la sicurezza fisica della propria infrastruttura IT. Se qualcuno diverso dal personale autorizzato ha accesso locale al tuo host fisico che esegue i controller di dominio, può facilmente reimpostare qualsiasi password utente o amministratore. Se è necessario distribuire controller di dominio in posizioni meno attendibili, è consigliabile utilizzare una funzionalità di controller di dominio di sola lettura (RODC).