防止用户将计算机添加到域

淩亂°似流年 2023-10-07 06:56 19阅读 0赞

前段时间，我们得出的结论是域中的计算机帐户是杂乱无章的。在完成了对现有帐户进行分类的繁琐工作之后，我们看到新的计算机帐户仍在添加到“计算机”容器中，并且我们不知道它们背后是哪台计算机（服务器/工作站，测试/生产等）。经过一些研究，我们设法阻止每个人都无法将计算机加入域，而无需预先创建计算机帐户（在组织的OU中）。

加入域过程

要加入域，Windows需要一个计算机帐户。Windows尝试按以下顺序使用以下方法获取自己的计算机帐户：

1.  搜索名称与自己名称相同的现有帐户。  
    如果找到了一个匹配帐户（并被禁用），Windows会尝试使用它自己的帐户（写FQDN，重设密码等）。
2.  尝试使用默认计算机容器中的用户权限创建新帐户
3.  尝试使用“将工作站添加到域”特权在默认计算机容器中创建一个新帐户

关于“将工作站添加到域”的一些知识：

Microsoft打算让用户将自己的工作站加入域中，这可能会减少帮助台上的负载。为此，DC具有一个称为“将工作站添加到域” 的[用户权限分配][Link 1]。  
默认情况下，经过身份验证的用户是该组的成员，这意味着所有域用户都可以使用此特权。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70][]

具有此特权的用户可以在默认计算机容器中最多创建10个（默认）计算机帐户。  
每个用户可以创建的帐户限制是在域对象的属性下定义的ms-DS-MachineAccountQuota。要查看它，执行

get-addomain | select \-exp DistinguishedName | get-adobject \-prop 'ms-DS-MachineAccountQuota' | select \-exp ms-DS-MachineAccountQuota

用户已加入的计算机数量是通过对与ms-DS-CreatorSID用户SID相同的计算机进行计数来确定的。要查找使用此特权添加到域的所有计算机，可以尝试

Get-ADComputer \-fi \{ms-DS-CreatorSID \-like '\*'\}

要查找特定用户使用此特权添加到域的计算机，请执行：

$sid = (get-aduser OneBoredAdmin).SID

Get-ADComputer \-fi \{ms-DS-CreatorSID \-eq $sid\}

要获得所有添加了特权的计算机以及添加它们的用户的摘要，请尝试：

get-adcomputer \-fi \{ms-DS-CreatorSID \-like '\*'\} -prop ms-DS-CreatorSID | group ms-DS-CreatorSID | %\{

$ret = $\_ | select Count,@\{name='UserName';Expression=\{ $\_.Name\}\},@\{name='ComputerNames';Expression=\{ $\_.Group | select \-exp Name\}\}

*\# Try to resolve the SID into an account*

**try**\{

$\_.Name = $\_.Name.Translate(\[System.Security.Principal.NTAccount\])

\}**catch**\{\}

$ret

顺便说一句，使用此特权创建帐户时，将使用“域管理员”作为其所有者（而不是创建用户）创建该帐户，并在ms-DS-CreatorSID属性中创建该用户的SID 。

行动计划

**注意：**虽然这些操作应按计划进行，并防止用户在未准备好计算机帐户的情况下添加计算机，但步骤1将中断DC降级。您可以将默认计算机目录重定向到该过程的另一个OU（请参阅[KB324949][]），也可以恢复原始权限。由于降级不是日常工作，因此我仍然认为此过程值得一做。

为了防止用户在未预先创建计算机帐户的情况下将计算机加入域，您必须执行以下操作：

1.  删除权限以在默认计算机容器上创建计算机帐户。要检查您域中当前的默认计算机容器是什么，您可以尝试：

(Get-ADDomain).ComputersContainer

1.  禁止用户使用“将工作站添加到域”特权。可以通过ms-DS-MachineAccountQuota 将域上的属性修改为零，或从DC上的URA中删除“经过身份验证的用户”来完成（使用组策略以确保它也适用于将来的DC）。

只要您不执行这两个步骤，用户仍然可以将计算机添加到域中。

进一步阅读：

*  [将工作站添加到域][Link 2]
 *  [用户可以加入域的工作站数量的默认限制][Link 3]

--------------------

[Link 1]: http://technet.microsoft.com/en-us/library/cc780182%28v=ws.10%29.aspx
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200111195639902.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[KB324949]: http://support.microsoft.com/kb/324949
[Link 2]: http://technet.microsoft.com/en-us/library/cc780195%28v=ws.10%29.aspx
[Link 3]: http://support.microsoft.com/kb/243327