建立密碼文件

Question 1

就像Tomasz和Zoredache所說：微軟提供的腳本只能用於將遠端機器上的本機帳戶密碼設定為隨機密碼。可以使用管理員選擇的密碼（參數）對儲存在 CSV 檔案中的帳戶密碼進行加密，-EncryptionKey以確保明文帳戶密碼不會寫入磁碟。

加密的密碼（儲存在 TSV 檔案中）可以使用同一檔案中的另一個函數進行解密：ConvertTo-CleartextPassword。

在我們的環境中，我們還希望定期更改密碼，因此我們創建了兩個腳本：一個用於使用加密密碼（我們自己選擇的）創建一個新文件，並將該文件分發到我們所有的工作站。秒腳本（也分發到工作站）每 X 小時執行一次，並根據檔案的內容重設密碼。當然，用於加密和解密的密碼仍然以明文形式存儲，但密碼本身不是。這樣，您確實需要知道您正在做什麼來檢索本機管理員密碼，因為加密檔案和腳本保存在不同的位置，因此非常安全。

建立密碼文件

我們使用以下腳本（我刪除了錯誤日誌記錄和 try/catches）來建立密碼檔案：

$LocalAdminPW = "0urAdminP@ssword" #the password that is used to set as the local admin password
$EncryptionPW = "0urEncryptionP@ssword" #password to encrypt and decrypt the password
$File = "C:\Temp\Password.tsv" #file to create

#Create encryption key
$Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
$SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))

#Encrypt the password with the user supplied encryption password
PasswordSecureString = ConvertTo-SecureString -AsPlainText -Force -String $LocalAdminPW

#Create TSV-File with the encrypted password
ConvertFrom-SecureString -Key $SecureStringKey -SecureString $PasswordSecureString | Out-File -Force -FilePath "$File"

#Gathering the new encrypted password for the local administrator account
$LocalAdminPW = Get-Content $FileLocation

使用建立的密碼檔案設定本機管理員密碼

我們使用以下腳本從密碼檔案中解密密碼，並使用它來設定管理員密碼（我刪除了錯誤處理和日誌記錄）：

#function to get decrypted password
Function Get-DecryptedPassword {
    [CmdletBinding()]
    param(
        $EncryptedPW,
        $LocalAdminPW
    )

    #Decrypt the password with the user supplied encryption password
    $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
    $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))
    [SecureString]$SecureStringPassword = ConvertTo-SecureString -String $LocalAdminPW -Key $SecureStringKey
    return ([System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($SecureStringPassword)))
}

#Change password local admin account
$LocalAdmin = "Administrator"
$objUser = [ADSI]"WinNT://localhost/$($LocalAdmin), user"
$objUser.psbase.Invoke("SetPassword", (Get-DecryptedPassword -EncryptedPW $EncryptionPW  -LocalAdminPW $LocalAdminPW))

Answer

就像Tomasz和Zoredache所說：微軟提供的腳本只能用於將遠端機器上的本機帳戶密碼設定為隨機密碼。可以使用管理員選擇的密碼（參數）對儲存在 CSV 檔案中的帳戶密碼進行加密，-EncryptionKey以確保明文帳戶密碼不會寫入磁碟。

加密的密碼（儲存在 TSV 檔案中）可以使用同一檔案中的另一個函數進行解密：ConvertTo-CleartextPassword。

在我們的環境中，我們還希望定期更改密碼，因此我們創建了兩個腳本：一個用於使用加密密碼（我們自己選擇的）創建一個新文件，並將該文件分發到我們所有的工作站。秒腳本（也分發到工作站）每 X 小時執行一次，並根據檔案的內容重設密碼。當然，用於加密和解密的密碼仍然以明文形式存儲，但密碼本身不是。這樣，您確實需要知道您正在做什麼來檢索本機管理員密碼，因為加密檔案和腳本保存在不同的位置，因此非常安全。

建立密碼文件

我們使用以下腳本（我刪除了錯誤日誌記錄和 try/catches）來建立密碼檔案：

$LocalAdminPW = "0urAdminP@ssword" #the password that is used to set as the local admin password
$EncryptionPW = "0urEncryptionP@ssword" #password to encrypt and decrypt the password
$File = "C:\Temp\Password.tsv" #file to create

#Create encryption key
$Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
$SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))

#Encrypt the password with the user supplied encryption password
PasswordSecureString = ConvertTo-SecureString -AsPlainText -Force -String $LocalAdminPW

#Create TSV-File with the encrypted password
ConvertFrom-SecureString -Key $SecureStringKey -SecureString $PasswordSecureString | Out-File -Force -FilePath "$File"

#Gathering the new encrypted password for the local administrator account
$LocalAdminPW = Get-Content $FileLocation

使用建立的密碼檔案設定本機管理員密碼

我們使用以下腳本從密碼檔案中解密密碼，並使用它來設定管理員密碼（我刪除了錯誤處理和日誌記錄）：

#function to get decrypted password
Function Get-DecryptedPassword {
    [CmdletBinding()]
    param(
        $EncryptedPW,
        $LocalAdminPW
    )

    #Decrypt the password with the user supplied encryption password
    $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
    $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))
    [SecureString]$SecureStringPassword = ConvertTo-SecureString -String $LocalAdminPW -Key $SecureStringKey
    return ([System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($SecureStringPassword)))
}

#Change password local admin account
$LocalAdmin = "Administrator"
$objUser = [ADSI]"WinNT://localhost/$($LocalAdmin), user"
$objUser.psbase.Invoke("SetPassword", (Get-DecryptedPassword -EncryptedPW $EncryptionPW  -LocalAdminPW $LocalAdminPW))

Question 2

將密碼儲存在電子表格中並不是最佳選擇，並且將所有電腦設定為相同的密碼是憑證盜竊的另一個問題（即使您定期更改密碼）。 LAPS 工具可用於安全地隨機化本機管理員密碼。如果您嘗試解決本文中的問題，請考慮使用網域憑證。如果您只是想更改密碼，請使用 LAPS 工具（https://technet.microsoft.com/en-us/library/security/3062591.aspx）

Answer

將密碼儲存在電子表格中並不是最佳選擇，並且將所有電腦設定為相同的密碼是憑證盜竊的另一個問題（即使您定期更改密碼）。 LAPS 工具可用於安全地隨機化本機管理員密碼。如果您嘗試解決本文中的問題，請考慮使用網域憑證。如果您只是想更改密碼，請使用 LAPS 工具（https://technet.microsoft.com/en-us/library/security/3062591.aspx）

Question 3

只需閱讀貼上腳本中的評論：

如果系統上存在本機帳戶“administrator”和/或“CustomLocalAdmin”，則其密碼將變更為隨機產生的長度為 20 的密碼（預設值）。

使用者名稱/密碼/伺服器組合儲存在 LocalAdminCredentials.tsv 中，帳戶密碼使用密碼「Password1」進行 AES 加密。

Answer

只需閱讀貼上腳本中的評論：

如果系統上存在本機帳戶“administrator”和/或“CustomLocalAdmin”，則其密碼將變更為隨機產生的長度為 20 的密碼（預設值）。

使用者名稱/密碼/伺服器組合儲存在 LocalAdminCredentials.tsv 中，帳戶密碼使用密碼「Password1」進行 AES 加密。

建立密碼文件

答案1

建立密碼文件

使用建立的密碼檔案設定本機管理員密碼

答案2

答案3

相關內容