Вопрос о блокировке учётной записи

[amarao_san]

С одной стороны, временная блокировка (минут на 15) учётной записи при 100+ попытках подбора пароля - правильное решение. Особенно для пользователей, у которых таки может оказаться "нехороший" пароль

Comments

[ext_95147]

Учетная запись администратора созданная при создании AD не должна блокироватся при любом значении политики блокировки. По крайней мере так утверждалось в материалах от MS

[amarao_san]

Учётная запись администратора, созданная при создании AD (с именем Administrator) давным-давно умерла смертью храбрых.

[ext_95147]

Ну этим ты сам создал себе проблему возможности возникновения в твоем домене DoS атаки. Эта учетка важна, единственное "но" ее нужно не использовать для каждодневных работ. Ну и конечно должна иметь очень сложный пароль

[amarao_san]

Я не люблю, когда в домене есть дефолтная учётная запись администратора. А защита от ддоса решается (в минимальном виде) отдельным OU с отключенной автоблокировкой.

[sevaa]

Переименовать, и все тут. При DoS подбор идет по имени, а не по SID.

[amarao_san]

да, в свете прочей дискуссии тут, это именно так.

PS Но я всё-таки найду метод удалить админа и создать на его место другого, привелегированного.

[sevaa]

"Я тебе другого волка куплю, хорошего!" (С)

Для Чувства Полноты Достигнутого Решения - уважаю, сам такой. Я вот тоже недавно - для тестовых прогонов выставил в makefile все возможные runtime-проверки, и софтина перестала запускаться вовсе. Спустя неделю времени, одну дискуссию с автором компилятора, и выпиленную нахрен опцию -Ct (check stack) все заработало...

[amarao_san]

это _интересно_. Если я научусь что-то разумно менять в схеме (да и даже в конфигурации) домена - это будет офигительно круто.

[ext_95147]

Кстати, а поделись как ты грохнул администратора. AD должна защищать эту запись от удаления... но это теория, никогда не пытался ее грохнуть только переименовывал

[amarao_san]

delete и всё. Как можно что-то защитить от администратора? (Если что, там заодно и всякие scheme masters и т.д.)

[ext_95147]

Насчет "и т.д." то они запросто удаляются... но админ у которого sid 500, ну вот почти порушил веру в триединого админа ) завтра подниму тестовый домен - поэкспериментирую

[amarao_san]

так-так-так, расскажи подробнее... У "первоединого" доменного админа SID==500? Ну, можно сделать админа и прописать ему снова. А возможность удалить админа сейчас проверю...

[ext_95147]

Да у "истинного" админа SID = S-1-5-.....-500