watislos
Goto Top

Konto ist vertraulich und kann nicht delegiert werden

Hallo Zusammen,

gibt es eine Möglichkeit den Delegierungs Haken wie hier überall zu aktivieren?
oder muss man das per Hand bei allen Objekten durchführen?
Mein Ziel ist es diese Option für alle Benutzer zu aktivieren.

dele

Content-Key: 12010588067

Url: https://administrator.de/contentid/12010588067

Printed on: July 25, 2024 at 18:07 o'clock

Mitglied: 11078840001
11078840001 Feb 15, 2024 updated at 11:51:06 (UTC)
Goto Top
Get-AdUser -Filter * | Set-Aduser -TrustedForDelegation $false -Confirm:$false -EA SilentlyContinue
https://learn.microsoft.com/en-us/powershell/module/activedirectory/set- ...
Member: watIsLos
watIsLos Feb 15, 2024 updated at 11:48:36 (UTC)
Goto Top
@11078840001

Da bekomme ich dann die Fehlermeldung:

Set-Aduser : Das Kennwort entspricht nicht den Domänenanforderungen bezüglich Länge, Komplexität und Verlauf.
In Zeile:1 Zeichen:24
+ ... er -Filter * | Set-Aduser -TrustedForDelegation $true -Confirm:$false
+                    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidData: (CN=Gruppe1,...,DC=meineFirma:ADUser) [Set-ADUser], ADPasswordComplexi
   tyException
    + FullyQualifiedErrorId : ActiveDirectoryServer:1325,Microsoft.ActiveDirectory.Management.Commands.SetADUser

Ich verstehe nicht ganz, warum er hier von Passwortrichtlinien spricht, das ist doch das Setzen eines ganz anderen Attributs.
Mitglied: 11078840001
11078840001 Feb 15, 2024 updated at 11:52:42 (UTC)
Goto Top
Filtere die speziellen user raus, oder lass es nur über eine entsprechende OU laufen.
Wird nur wenige betreffen, die anderen setzt er ja trotzdem.
Wenn es ein normaler User ist, Kennwort zurücksetzen oder vom User neu setzen lassen damit es euren Richtlinien entspricht.
Member: DerWoWusste
DerWoWusste Feb 15, 2024 at 11:54:37 (UTC)
Goto Top
Darf ich fragen, wozu du das machen möchtest?
Diese Sicherheitsoption ist evtl. gar nicht dazu in der Lage.

Man kann abgegriffene Hashes weiterhin nutzen, um z.B. Prozesse als anderer Nutzer zu starten, auch wenn die Option an ist.
Member: watIsLos
watIsLos Feb 15, 2024 at 11:55:18 (UTC)
Goto Top
Das heißt wenn ich das nur auf z.B. Gruppe1 anwenden möchte dann per -Identity laufen lassen?

Get-AdUser -Filter * | Set-Aduser -Identity Gruppe1 -TrustedForDelegation $true -Confirm:$false
Mitglied: 11078840001
11078840001 Feb 15, 2024 updated at 12:29:29 (UTC)
Goto Top
Nö, Parameter -SearchBase von Get-ADuser ist your friend.
RTFM
https://learn.microsoft.com/en-us/powershell/module/activedirectory/get- ...

Wenns nur User einer Gruppe betreffen soll dann ist Get-ADGroupMember dein Freund

Get-AdGroupMember "Gruppe1" -Recursive | Set-Aduser -TrustedForDelegation $false -Confirm:$false  
Member: watIsLos
watIsLos Feb 15, 2024 updated at 13:36:45 (UTC)
Goto Top
@DerWoWusste

Ich wollte aus Sicherheitsgründen (Uneingeschränkte Delegation) für die User deaktivieren. Ich finde das macht schon Sinn. Das man mit Mimikatz und anderes Tools die Hashes auslesen kann weiß ich.

https://www.semperis.com/de/blog/active-directory-unconstrained-delegati ...

Zitat von @DerWoWusste:

Darf ich fragen, wozu du das machen möchtest?
Diese Sicherheitsoption ist evtl. gar nicht dazu in der Lage.

Man kann abgegriffene Hashes weiterhin nutzen, um z.B. Prozesse als anderer Nutzer zu starten, auch wenn die Option an ist.
Member: watIsLos
watIsLos Feb 15, 2024 at 12:35:16 (UTC)
Goto Top
@11078840001

wenn ich das durchgebe, bekomme ich die Meldung:

Get-AdGroupMember : Unter "DC=meineFirma" kann kein Objekt mit der ID "Gruppe1" gefunden werden.  
In Zeile:1 Zeichen:1
+ Get-AdGroupMember "Gruppe1" -Recursive | Set-Aduser -TrustedForDelegati ...  
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ObjectNotFound: (Users:ADGroup) [Get-ADGroupMember], ADIdentityNotFoundException
    + FullyQualifiedErrorId : ActiveDirectoryCmdlet:Microsoft.ActiveDirectory.Management.ADIdentityNotFoundException,M
   icrosoft.ActiveDirectory.Management.Commands.GetADGroupMember

Was kurios ist, weil die Gruppe gibt es.
Mitglied: 11078840001
11078840001 Feb 15, 2024 updated at 12:50:12 (UTC)
Goto Top
Dann gib mal den DistingusihedName der Gruppe an. Sind da Domains im Trust mit dabei? Dann den entsprechend anzufragenden DC mit angeben. Rechte? AD-Sync? ... Glaskugel.
Member: watIsLos
watIsLos Feb 15, 2024 updated at 13:05:26 (UTC)
Goto Top
Ich habe die Admin-Domän Rechte über die Konsole.

Get-AdGroupMember "CN=Gruppe1,DC=meineFirma,DC=com" -Recursive | Set-Aduser -TrustedForDelegation $false -Confirm:$false   

Fehlermeldung:
Get-AdGroupMember : Verzeichnisobjekt nicht gefunden
Mitglied: 11078840001
11078840001 Feb 15, 2024 updated at 13:24:05 (UTC)
Goto Top
Dann hast du ein Replikationsproblem mit deinem abgefragten DC. Frag mal einen GlobalCatalog DC mit dem -Server Parameter

Was sagt ein
Get-ADGroup "Gruppe1" -Server dcXYZ.meinefirma.com  
?
Member: watIsLos
watIsLos Feb 15, 2024 at 13:31:36 (UTC)
Goto Top
jap, scheint irgendwas mit der DFS Replikation nicht zu stimmen, billig.
Danke!
Member: DerWoWusste
DerWoWusste Feb 15, 2024 at 14:14:50 (UTC)
Goto Top
@DerWoWusste
Ich wollte aus Sicherheitsgründen (Uneingeschränkte Delegation) für die User deaktivieren. Ich finde das macht schon Sinn.
Das wagte ich doch zu hinterfragen. Es kommt nämlich drauf an, was du dir erhoffst. Diese Option wird oft missverstanden. Hackingtools wie inkognito.exe können weiterhin genutzt werden, obwohl diese Option gesetzt worden ist.
Member: watIsLos
watIsLos Feb 15, 2024 at 14:18:12 (UTC)
Goto Top
@DerWoWusste

Ich denke mal das deaktivieren der delegierung für alle Benutzer auf jeden Fall Sinn macht, oder?

Und was kann man gegen Tools wie Inkognito tun, wenn man glaubt, dass es ihnen egal ist, ob es aktiviert ist oder nicht?
Member: DerWoWusste
DerWoWusste Feb 15, 2024 at 15:05:00 (UTC)
Goto Top
Ich denke mal das deaktivieren der delegierung für alle Benutzer auf jeden Fall Sinn macht, oder?
Wenn du keine Nebeneffekte siehst, warum nicht.
Gegen Tools wie inkognito.exe kannst Du Applocker nutzen, Virenschutz, Adminrechte vermeiden, das Übliche. Aber das jemand einen Token auf diese Weise hijacken könnte, lässt sich prinzipiell nicht vermeiden.
Member: watIsLos
watIsLos Feb 15, 2024 at 15:14:59 (UTC)
Goto Top
Wir haben Applocker und AV aktiv, das müsste er erstmal durchbrechen.