Làm cách nào để xóa chính sách nhóm mà không truy cập vào miền (bộ điều khiển)?

Tôi đã có một bộ điều khiển miền (WS2012-R2) và một bộ máy chủ (WS2012-R2) là thành viên của miền. Tôi đã vô tình thêm một nhóm tất cả quản trị viên là thành viên của Chính sách nhóm "Từ chối truy cập đăng nhập cục bộ", "Từ chối đăng nhập như dịch vụ", "Từ chối truy cập từ xa" và "Từ chối truy cập mạng". Điều này dẫn đến tôi và tất cả các quản trị viên khác (ngay cả tài khoản tích hợp) bị khóa khỏi bộ điều khiển miền.

Có cách nào để lấy lại quyền truy cập vào máy chủ bằng cách xóa GPO hoặc xóa tài khoản quản trị viên khỏi nhóm đã bị từ chối không?

Hai ý nghĩ nảy ra trong đầu.

Bạn có thể, có thể hình dung, sử dụng CD khởi động để truy cập bộ điều khiển miền trong khi ngoại tuyến và chỉnh sửa hoặc xóa GPO vi phạm - GPO của tên miền tồn tại trong SYSVOLthư mục trong hệ thống tệp trên bộ điều khiển miền và được áp dụng làm cài đặt đăng ký, cả hai có thể truy cập được từ CD khởi động - tuy nhiên, điều này có thể được hoàn tác bằng cách sao chép hoặc sẽ gây ra lỗi sao chép tên miền ngay khi bộ điều khiển miền bạn thực hiện việc này được kết nối với (các) bộ điều khiển miền khác trong miền. (Tôi đang đưa ra giả định ở đây rằng bạn có nhiều bộ điều khiển miền trong miền của mình, vì bạn nên ... nếu bạn chỉ có một bộ điều khiển, đây sẽ không phải là một cách tiếp cận tồi).

Cách tiếp cận khác xuất hiện trong tâm trí là vào Chế độ khôi phục dịch vụ thư mục và thực hiện khôi phục có thẩm quyền từ bản sao lưu có trước GPO này. (Và điều này cũng vậy, dựa trên giả định rằng bạn đang làm như bạn nên làm và có các bản sao lưu để khôi phục lại.)

Tôi đã không thực sự thử điều này. (Xin lỗi.) Tôi cũng cho rằng RSAT sẽ không hoạt động vì "từ chối truy cập từ xa / mạng." (Nếu bạn chưa thử điều này, nó đáng để thử, nhưng tôi không lạc quan.)

Có lẽ bạn có thể tạo tài khoản quản trị viên mới bằng CD khởi động của Hiren và sử dụng tài khoản đó để chỉnh sửa chính sách.

Chính sách nhóm được áp dụng ở đâu? Chỉ đến DC hay toàn bộ miền?

Nếu nó chỉ được áp dụng cho các DC, thì bạn vẫn có thể đăng nhập vào một máy tính thành viên khác bằng tài khoản quản trị viên tên miền; sau đó bạn có thể kích hoạt bảng điều khiển quản lý chính sách nhóm và / hoặc tất cả các công cụ quản trị AD khác nếu bạn đang sử dụng HĐH máy chủ hoặc cài đặt RSAT và thực hiện tương tự nếu đó là máy trạm; với những công cụ đó, bạn sẽ có thể chỉnh sửa GPO vi phạm hoặc ít nhất là người dùng và nhóm (bảng điều khiển ADUC sử dụng truy vấn LDAP, do đó không phải đăng nhập hạn chế).

Nếu chính sách được áp dụng cho toàn bộ miền và bạn thực sự không thể đăng nhập bất cứ nơi nào bằng tài khoản quản trị viên tên miền, thì một cách giải quyết khác có thể là sử dụng mô-đun PowerShell Active Directory : hầu hết tất cả các lệnh ghép ngắn đều có -credentialtham số cho phép bạn chỉ định thông tin đăng nhập để sử dụng để chạy lệnh, ngay cả khi PowerShell thực sự đang chạy dưới một tài khoản người dùng khác ; điều này bao gồm Remove-ADgroupMember . Vì vậy, một giải pháp khả thi sẽ là:

• Đăng nhập vào bất kỳ máy tính thành viên bằng bất kỳ tài khoản người dùng có sẵn.
• Đảm bảo các công cụ quản trị AD được cài đặt trên hệ thống (có thể kích hoạt chúng trên máy chủ hoặc cài đặt RSAT trên máy trạm).
• Khởi chạy PowerShell.
• Import-Module ActiveDirectory
• $admincreds = Get-Credential (cửa sổ này bật lên một cửa sổ nơi bạn cần nhập thông tin đăng nhập cho tài khoản quản trị viên tên miền)
• Remove-ADGroupMember <GroupName> <UserName> -Credentials $admincreds

Nếu điều này hoạt động, <UserName>sẽ bị xóa khỏi <GroupName>và do đó chính sách vi phạm sẽ không khóa nó nữa.

Khởi động bộ điều khiển miền của bạn trong chế độ khôi phục thư mục hoạt động, với tài khoản bạn thiết lập khi bạn tạo miền. (Đơn giản là tài khoản quản trị viên cục bộ trên DC, được đặt tên Administratorvà mật khẩu đã được thiết lập trong dcpromo.)

Từ đó, xóa tất cả các quyền NTFS trên SYSVOLổ đĩa của bạn , trong thư mục ID GPO. (Kiểm tra thư mục đã sửa đổi lần cuối để tìm GPO được sửa đổi lần cuối).

Trong chế độ đó, cơ sở dữ liệu Active Directory không được tải, nhưng bạn có quyền truy cập vào hệ thống tệp.

Nếu không có gì hoạt động, trong chế độ đó, bạn có thể thử một gpofixlệnh, nhưng lưu ý rằng nó sẽ xóa TẤT CẢ GPO.

Khi tên miền ban đầu được tạo, có một tài khoản "thượng đế" được tạo. Tìm hiểu xem đó là gì, mật khẩu của nó và bạn sẽ có thể đăng nhập vào DC lưu trữ danh mục toàn cầu. Từ đó bạn sẽ có thể hoàn tác những gì bạn đã làm và cho nó thời gian để tuyên truyền.

Nếu thất bại, có một số kỹ thuật hacker bạn có thể sử dụng, nhưng nó sẽ không phù hợp với tôi để chuyển tiếp nó ở đây. Liên hệ với một chuyên gia bảo mật địa phương vì họ thường tăng tốc về các kỹ thuật của hacker và có thể giúp bạn lấy lại tên miền.

Tất nhiên, nếu đây chỉ là một vài máy chủ và nó không quan trọng, bạn cũng có thể xóa sạch và bắt đầu lại.

Đầu tiên, tắt tất cả các bộ điều khiển miền. Làm như vậy sẽ tránh được các vấn đề nhân rộng kỳ quái.

Bước đầu tiên là xóa cài đặt Chính sách nhóm xấu. Nhiệm vụ đặc quyền được lưu trữ trong GptTmpl.inftệp trong MACHINE\Microsoft\Windows NT\SecEditmỗi thư mục chính sách. Bạn sẽ biết bạn có chủ trương đúng đắn khi mà .inftập tin chứa một dòng cho SeDenyNetworkLogonRight, SeDenyInteractiveLogonRight, vân vân. Xóa tất cả các SeDeny...Rightdòng từ nó.

Windows sẽ không áp dụng các cài đặt mới trừ khi thấy GPO đã thay đổi, điều này xác định bằng cách tham khảo versionNumberthuộc tính trên đối tượng Active Directory. Chúng ta đừng cố chỉnh sửa AD nhé. Thay vào đó, chúng tôi sẽ xóa cài đặt xấu khỏi Sổ đăng ký theo cách thủ công.

Gắn \Windows\System32\config\SECURITYtổ ong của bộ điều khiển miền vào Registry của hệ thống Windows khác với reg load. Mở Registry Editor và điều hướng đến Policy\Accountsbên dưới tổ ong được gắn kết. (Bạn có thể cần phải chạy regeditnhư HỆ THỐNG để hoạt động. PsExec có thể làm điều đó.) Mỗi ​​khóa con tương ứng với một người dùng hoặc nhóm và ActSysAckhóa con của mỗi người giữ "quyền". (Các "đặc quyền" là tất cả trong Privilgskhóa.) Tìm một với một ActSysAcgiá trị C0 03 00 00, mà tương ứng với bốn quyền bạn bị từ chối. Xóa ActSysAchoặc thay đổi giá trị của nó thành 00 00 00 00. Đóng Registry Editor và ngắt kết nối với tổ ong reg unload.

Khởi động bộ điều khiển miền bạn đã sửa đổi. Bạn sẽ có thể đăng nhập ngay bây giờ. Sử dụng Bảng điều khiển quản lý chính sách nhóm để thực hiện bất kỳ chỉnh sửa nào (bất kể tầm thường) đối với Chính sách địa phương của GPO có liên quan. Điều đó sẽ tăng số phiên bản của GPO.

Khởi động các bộ điều khiển miền khác và để các thay đổi nhân rộng.

Bạn có thể thử mở trong explorer \ domain.controler \ c $ \ windows \ sysvol \ sysvol \ domain.local \ polices (Bạn vẫn có quyền truy cập)

Ở đó bạn sẽ tìm thấy tất cả các chính sách. Di chuyển tất cả thư mục này đến một số đích tạm thời và thử khởi động lại PC. Nó sẽ giúp.