创建密码文件

Question 1

正如 Tomasz 和 Zoredache 所说：微软提供的脚本只能用于将远程机器上的本地帐户密码设置为随机密码。存储在 CSV 文件中的帐户密码可以使用管理员选择的密码（参数-EncryptionKey）进行加密，以确保明文帐户密码不会写入磁盘。

可以使用同一文件中的另一个函数 ConvertTo-CleartextPassword 解密加密的密码（存储在 TSV 文件中）。

在我们的环境中，我们还想定期更改密码，因此我们创建了两个脚本：一个脚本创建一个带有加密密码（我们自己选择的）的新文件，并将该文件分发到我们所有的工作站。第二个脚本（也分发到工作站）每 X 小时运行一次，并根据文件的内容重置密码。当然，用于加密和解密的密码仍然以纯文本形式存储，但密码本身不是。这样，您真的需要知道您正在做什么来检索本地管理员密码，因为加密文件和脚本保存在不同的位置，所以非常安全。

创建密码文件

我们使用以下脚本（我删除了错误日志和 try/catches）来创建密码文件：

$LocalAdminPW = "0urAdminP@ssword" #the password that is used to set as the local admin password
$EncryptionPW = "0urEncryptionP@ssword" #password to encrypt and decrypt the password
$File = "C:\Temp\Password.tsv" #file to create

#Create encryption key
$Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
$SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))

#Encrypt the password with the user supplied encryption password
PasswordSecureString = ConvertTo-SecureString -AsPlainText -Force -String $LocalAdminPW

#Create TSV-File with the encrypted password
ConvertFrom-SecureString -Key $SecureStringKey -SecureString $PasswordSecureString | Out-File -Force -FilePath "$File"

#Gathering the new encrypted password for the local administrator account
$LocalAdminPW = Get-Content $FileLocation

使用创建的密码文件设置本地管理员密码

我们使用以下脚本从密码文件中解密密码并使用它来设置管理员密码（我删除了错误处理和日志记录）：

#function to get decrypted password
Function Get-DecryptedPassword {
    [CmdletBinding()]
    param(
        $EncryptedPW,
        $LocalAdminPW
    )

    #Decrypt the password with the user supplied encryption password
    $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
    $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))
    [SecureString]$SecureStringPassword = ConvertTo-SecureString -String $LocalAdminPW -Key $SecureStringKey
    return ([System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($SecureStringPassword)))
}

#Change password local admin account
$LocalAdmin = "Administrator"
$objUser = [ADSI]"WinNT://localhost/$($LocalAdmin), user"
$objUser.psbase.Invoke("SetPassword", (Get-DecryptedPassword -EncryptedPW $EncryptionPW  -LocalAdminPW $LocalAdminPW))

Answer

正如 Tomasz 和 Zoredache 所说：微软提供的脚本只能用于将远程机器上的本地帐户密码设置为随机密码。存储在 CSV 文件中的帐户密码可以使用管理员选择的密码（参数-EncryptionKey）进行加密，以确保明文帐户密码不会写入磁盘。

可以使用同一文件中的另一个函数 ConvertTo-CleartextPassword 解密加密的密码（存储在 TSV 文件中）。

在我们的环境中，我们还想定期更改密码，因此我们创建了两个脚本：一个脚本创建一个带有加密密码（我们自己选择的）的新文件，并将该文件分发到我们所有的工作站。第二个脚本（也分发到工作站）每 X 小时运行一次，并根据文件的内容重置密码。当然，用于加密和解密的密码仍然以纯文本形式存储，但密码本身不是。这样，您真的需要知道您正在做什么来检索本地管理员密码，因为加密文件和脚本保存在不同的位置，所以非常安全。

创建密码文件

我们使用以下脚本（我删除了错误日志和 try/catches）来创建密码文件：

$LocalAdminPW = "0urAdminP@ssword" #the password that is used to set as the local admin password
$EncryptionPW = "0urEncryptionP@ssword" #password to encrypt and decrypt the password
$File = "C:\Temp\Password.tsv" #file to create

#Create encryption key
$Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
$SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))

#Encrypt the password with the user supplied encryption password
PasswordSecureString = ConvertTo-SecureString -AsPlainText -Force -String $LocalAdminPW

#Create TSV-File with the encrypted password
ConvertFrom-SecureString -Key $SecureStringKey -SecureString $PasswordSecureString | Out-File -Force -FilePath "$File"

#Gathering the new encrypted password for the local administrator account
$LocalAdminPW = Get-Content $FileLocation

使用创建的密码文件设置本地管理员密码

我们使用以下脚本从密码文件中解密密码并使用它来设置管理员密码（我删除了错误处理和日志记录）：

#function to get decrypted password
Function Get-DecryptedPassword {
    [CmdletBinding()]
    param(
        $EncryptedPW,
        $LocalAdminPW
    )

    #Decrypt the password with the user supplied encryption password
    $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider
    $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionPW))
    [SecureString]$SecureStringPassword = ConvertTo-SecureString -String $LocalAdminPW -Key $SecureStringKey
    return ([System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($SecureStringPassword)))
}

#Change password local admin account
$LocalAdmin = "Administrator"
$objUser = [ADSI]"WinNT://localhost/$($LocalAdmin), user"
$objUser.psbase.Invoke("SetPassword", (Get-DecryptedPassword -EncryptedPW $EncryptionPW  -LocalAdminPW $LocalAdminPW))

Question 2

将密码存储在电子表格中并不是最佳选择，并且将所有机器设置为相同的密码是凭据盗窃的另一个问题（即使您定期更改密码）。 LAPS 工具可用于安全地随机化本地管理员密码。如果您尝试解决文章中的问题，请考虑使用域凭据。如果您只是想更改密码，请使用 LAPS 工具（https://technet.microsoft.com/en-us/library/security/3062591.aspx）

Answer

将密码存储在电子表格中并不是最佳选择，并且将所有机器设置为相同的密码是凭据盗窃的另一个问题（即使您定期更改密码）。 LAPS 工具可用于安全地随机化本地管理员密码。如果您尝试解决文章中的问题，请考虑使用域凭据。如果您只是想更改密码，请使用 LAPS 工具（https://technet.microsoft.com/en-us/library/security/3062591.aspx）

Question 3

只需阅读粘贴脚本中的注释：

如果系统中存在本地帐户“administrator”和/或“CustomLocalAdmin”，则其密码将更改为长度为 20 的随机生成的密码（默认值）。

用户名/密码/服务器组合存储在 LocalAdminCredentials.tsv 中，帐户密码使用密码“Password1”进行 AES 加密。

Answer

只需阅读粘贴脚本中的注释：

如果系统中存在本地帐户“administrator”和/或“CustomLocalAdmin”，则其密码将更改为长度为 20 的随机生成的密码（默认值）。

用户名/密码/服务器组合存储在 LocalAdminCredentials.tsv 中，帐户密码使用密码“Password1”进行 AES 加密。

创建密码文件

答案1

创建密码文件

使用创建的密码文件设置本地管理员密码

答案2

答案3

相关内容