Wachtwoorden aanpassen via Group Policy Preferences

[rookie no. 1]

Nog niet zo lang geleden is er een update uitgekomen die, vanwege security issues, wachtwoorden aanpassen via Group Policy Preferences onmogelijk maakt (MS14-025: Vulnerability in Group Policy Preferences could allow elevation of privilege: May 13, 2014).

Deze functionaliteit is natuurlijk niet voor niets toegevoegd sinds Windows Server 2008 en is behoorlijk makkelijk gebleken bv. in omgevingen waar lokale administrator wachtwoorden niet consequent waren ingesteld en waar je dit op een eenvoudige manier gelijk wilde trekken.

De alternatieve manier die Microsoft aangeeft is via een (voorbeeld) Powershell script de functionaliteit alsnog te kunnen benutten en betekent dit dat deze functionaliteit geheel niet meer via GPO's (GUI) benut kan worden?

Zijn er handige alternatieven die jullie gebruiken?

[CMD-Snake]

rookie no. 1 schreef op maandag 30 juni 2014 @ 16:15:
Zijn er handige alternatieven die jullie gebruiken?

Niet voor het achteraf aanpassen. Normaliter wordt er een sterk wachtwoord op gezet en zit dit in de template van een server of wordt het gezet bij installatie middels SCCM bijvoorbeeld.

Altijd alle wachtwoorden van lokale accounts gelijk houden kan ook een risico zijn. Als het wachtwoord lekt dan kan een misbruiker op alle machines ineens inloggen als bijvoorbeeld het lokaal administrator account.

Zolang de wachtwoorden sterk zijn, en ergens bekend in bijvoorbeeld een oplossing als Keepass dan is het redelijk veilig.

[rookie no. 1]

Ik begrijp wat je bedoelt, alleen is het doel bij ons:
1-bij werkstations/laptops waar geen local admin account wachtwoord van bekend is (omgevingen die we overnemen van bv. andere leveranciers) snel en eenvoudig de wachtwoorden bijwerken
2-in het geval local admin voor security redenen snel gewijzigd moet worden, dat dit ook centraal uitgevoerd kan worden.

Als punt 1 niet lukt, dan gaan IT medewerkers als workaround eenvoudig weg met domain admin wachtwoorden aanmelden op werkstations en laptops en dát wil je echt niet.
Als punt 2 niet makkelijk gaat, kost het gewoonweg teveel tijd om dat uit te voeren per werkstation c.q. laptop

Kortom ik ben nog steeds benieuwd hoe andere IT-ers hun local admin passwords centraal wijzigen op een eenvoudige en snelle manier

[akimosan]

Zal dus via scripts moeten (microsoft levert een powershell script hiervoor, zoals je zelf al aangaf)
Eventueel third party oplossingen (even geen bij mij bekend)
Via een package en package management oplossing als SCCM (wrap je script in een MSI of bouw een MSI wat hetzelfde doet als het powershell script of via net user iets doet op de machine zelf)

[mindcre8r]

Rookie, het is gedaan om dat met reverse engineering de gpo kon worden uitgelezen in de sysvol.

the way to go now is idd een powershell script, je kan meerdere scripts maken uiteraard om verschillende ou's aan te pakken. je kan hier ook een variabele in maken.

zie deze link om je goed op weg te helpen.

ik gebruik zelf ESD om scripts te sturen naar al mijn computers / users.