Niestety, stwarza to drobny problem, poniewa\u017c w przypadku wyszukania obiektu przez \u201eFind\u201d, zak\u0142adka \u201eAttribute Editor\u201d nie jest widoczna:<\/p>\n\n\n\n Je\u015bli jednak otworzymy jedn\u0105 z grup, do kt\u00f3rych nale\u017cy u\u017cytkownik i z niej wybierzemy jego profil, to zak\u0142adka \u201eAttribute Editor\u201d si\u0119 pojawi:<\/p>\n\n\n\n Tak samo sytuacja wygl\u0105da, gdy wybierzemy u\u017cytkownika znajduj\u0105cego si\u0119 w polu \u201eDirect reports\u201d lub \u201eManager\u201d:<\/p>\n\n\n\n Precyzuj\u0105c: sprawdzenie statusu Zapory Sieciowej komend\u0105 \u201enetsh advfirewall\u201d pokazuje ustawienia lokalne maszyny, a przez GUI (Graphical User Interface) po\u0142\u0105czone (lokalne + domenowe).<\/p>\n\n\n\n Zapora Systemu Windows przechowuje dwa typy konfiguracji \u2013 lokaln\u0105 i zasad grupy. Komenda netsh advfirewall show allprofiles<\/em> pokazuje ustawienia lokalne.<\/p>\n\n\n\n W przypadku naszego testowego \u015brodowiska wskazuje, \u017ce zapora jest wy\u0142\u0105czona:<\/p>\n\n\n\n Dla odmiany w Panelu Sterowania widnieje informacja, \u017ce Zapora Systemu Windows jest w\u0142\u0105czona:<\/p>\n\n\n\n Dzieje si\u0119 tak, poniewa\u017c w Zasadach Grupy (GPO) podpi\u0119tych do tego komputera Windows Firewall zosta\u0142 w\u0142\u0105czony. Panel Sterowania pokazuje rezultat po\u0142\u0105czonych ustawie\u0144 lokalnych i zasad grupy. Oczywi\u015bcie, ustawienia GPO maj\u0105 priorytet<\/strong>, wi\u0119c ostatecznym wynikiem jest w\u0142\u0105czona zapora.<\/p>\n\n\n\n Mo\u017cna r\u00f3wnie\u017c wykorzysta\u0107 komend\u0119 Get-NetFirewallProfile \u2013 standardowo wy\u015bwietla ona ustawienia lokalne:<\/p>\n\n\n\n Jednak z prze\u0142\u0105cznikiem \u201eActiveStore\u201d widzimy \u0142\u0105czne ustawienia lokalne i domenowe jak w przypadku GUI:<\/p>\n\n\n\n Kiedy mierzymy si\u0119 z aspektem usuwania obiekt\u00f3w z kosza, jest to niemo\u017cliwe przez GUI, ale wykonalne przez Powershell. Z nieznanego mi powodu nie da si\u0119 usun\u0105\u0107 obiekt\u00f3w z kosza w Active Directory poprzez interfejs graficzny:<\/p>\n\n\n\n Mo\u017cna to jednak zrobi\u0107 z u\u017cyciem Powershella np. u\u017cywaj\u0105c komendy:<\/p>\n\n\n Wspomniany w tytule Seize r\u00f3l FSMO najpierw pr\u00f3buje wykona\u0107 transfer, a dopiero po nieudanej pr\u00f3bie przechodzi do przechwytywania. Narz\u0119dzie ntsdutil usi\u0142uje wykona\u0107 transfer, nawet je\u015bli u\u017cyli\u015bmy parametru seize<\/em>.<\/p>\n\n\n\n Dopiero kiedy transfer si\u0119 nie uda, wykonywane jest przechwycenie roli:<\/p>\n\n\n\n Dodatkowa porada:<\/strong> w przypadku wykonywania operacji przechwytywania roli RID Master zalecane jest u\u017cycie komendy Powershell Move-ADDirectoryServerOperationMasterRole<\/em> zamiast ntdsutil<\/em>.<\/p>\n\n\n\n Przyczyn\u0105 takich zalece\u0144 jest fakt, \u017ce narz\u0119dzie ntdsutil<\/strong> zwi\u0119ksza nast\u0119pny dost\u0119pny identyfikator RID w puli o 10 000 po przechwyceniu roli w celu unikni\u0119cia duplikat\u00f3w SID-\u00f3w w domenie. Potencjalnie mo\u017ce to spowodowa\u0107 tak zwany \u201eRID burn\u201d czyli zu\u017cycie ca\u0142ego dost\u0119pnego zakresu warto\u015bci RID w lesie. Natomiast w przypadku komendy Powershell<\/strong> nie jest zwi\u0119kszany nast\u0119pny dost\u0119pny identyfikator RID wi\u0119c zjawisko to nie wyst\u0119puje.<\/p>\n\n\n\n Wymuszenie pobierania biletu Kerberosowego z wybranego Kontrolera Domeny wi\u0105\u017ce si\u0119 z komend\u0105 klist add_bind, pozwalaj\u0105c\u0105 na okre\u015blenie preferowanego kontrolera domeny dla autentykacji Kerberosowej. Standardowo kontroler domeny wybierany jest automatycznie.<\/p>\n\n\n\n Po u\u017cyciu komendy klist add_bind okre\u015blony kontroler domeny zostaje zapisany na li\u015bcie preferowanych kontroler\u00f3w domeny. List\u0119 mo\u017cemy podejrze\u0107 poleceniem klist query_bind:<\/p>\n\n\n\n Jak wida\u0107, przy okazji pobierania nowego biletu zapytanie zosta\u0142o wys\u0142ane do okre\u015blonego kontrolera domeny, kt\u00f3ry nast\u0119pnie dostarczy\u0142 klientowi bilet.<\/p>\n\n\n\n Mam nadziej\u0119, \u017ce przedstawione w tym artykule informacje oka\u017c\u0105 si\u0119 dla was przydatne. Pewnie cz\u0119\u015b\u0107 z nich (lub nawet wszystkie) jest ju\u017c wam znana, ale my\u015bl\u0119, \u017ce dla wielu os\u00f3b b\u0119d\u0105 to nowe i przydatne informacje.<\/p>\n\n\n\n Dla mnie najbardziej u\u017cyteczne w codziennej pracy jest otwieranie obiekt\u00f3w przez grup\u0119\/managera w celu uwidocznienia zak\u0142adki \u201eAttribute Editor\u201d. Jest to ciekawostka, kt\u00f3r\u0105 pozna\u0142am na samym pocz\u0105tku mojej kariery, a stosuje regularnie do dzisiaj.<\/p>\n\n\n\n A czy wy znacie jakie\u015b ciekawostki zwi\u0105zane z Active Directory<\/strong>, kt\u00f3rymi chcieliby\u015bcie si\u0119 podzieli\u0107 w komentarzach?<\/p>\n\n\n\n ***<\/p>\n\n\n\n Je\u015bli interesuje Was temat Active Directory w r\u00f3\u017cnym kontek\u015bcie, zach\u0119camy do przeczytania artyku\u0142\u00f3w naszych ekspert\u00f3w: OAuth 2.0 On Behalf flow in Azure Active Directory and .NET Core<\/a> oraz Uwierzytelnianie za pomoc\u0105 JWT w ASP .NET Core 2.2.<\/a><\/p>\n\n\n![\"Brak](\"https:\/\/sii.pl\/blog\/wp-content\/uploads\/2022\/06\/Ryc1.png\")
<\/a><\/a><\/a>Sprawdzenie statusu Zapory Sieciowej<\/h2>\n\n\n\n
<\/a><\/a><\/a><\/a>Usuwanie obiekt\u00f3w z kosza<\/h2>\n\n\n\n
<\/a>\nGet-ADObject -Filter {isDeleted -eq $True -and Name -like '*Test*'} -IncludeDeletedObjects| Remove-ADObject\n<\/pre><\/div>\n\n\n<\/a>Seize r\u00f3l FSMO<\/h2>\n\n\n\n
<\/a>Pobieranie biletu Kerberosowego<\/h2>\n\n\n\n
<\/a>Podsumowanie<\/h2>\n\n\n\n