TP Active Directory – Changement de mot de passe, réseau et Windows 7

Pas vraiment un TP aujourd’hui mais plus une nouveauté que j’ai découverte en réinitialisant un mot de passe utilisateur dans un Active Directory.

Le problème

En fait en faisant un changement de mot de passe je me suis rendu compte que le PC freezait pendant quelques secondes avant de réussir.
Un coup de netstat plus tard, j’avais repéré un beau SYN_SENT vers un de nos DC avec le protocole kpasswd côté port réseau.

Que ça veut dire ?

Après une rapide recherche autour de kpasswd, je suis tombé sur l’explication.
Depuis Windows 7, Microsoft implémente kpasswd (protocole et programme Opensource-KRB/MIT) qui est utilisé pour gérer les mots de passes des « principaux » (=comptes, pour simplifier) dans Kerberos.
La plupart des gens pensaient que MS avait fait ça pour des histoires de compatibilité UNIX.

QUENiNi vous dis-je !

Seven essaie systématiquement de changer le mot de passe en kpasswd (et ce, que ce soit sur domaine et DC : en 2003 ou 2008R2 ou plus).
XP lui se comporte différemment, et utilise « SAMR » (il pourra faire du ‘Rap’ comme ça) qui passe sur le 445 en « RPC-Over-SMB » (et du coup la ça passe le filtrage firewall)… Lire la suite

TP PowerShell – REPADMIN et Réplication des DCs

Bonjour à tous,

C’est un peu la guerre au boulot en ce moment, donc un TP rapide) sur comment synchroniser les différents DCs d’un AD.

REPADMIN C’est quoi ?

Tout d’abord :
REPADMIN est fourni depuis Server 2008 sur Windows, c’est un outil dédié au diagnostic des problèmes de réplications entre les DCs.
Il est installé par défaut avec les rôles AD-DS ou AD-LDS, ou avec les outils d’administration (RSAT).

Direct, je veux vous montrer qu’on peut lui demander plein de truc sympa à cet exécutable :

REPADMIN, le diagnostic

Récupérer les attributs d’un objet :

PS C:\> .\repadmin.exe /showattr DC-PONEY-1.equestria.com'CN=GARGAMEL,OU=Comptes,DC=equestria,DC=com'
DN: CN=GARGAMEL,OU=Comptes,,DC=equestria,DC=comc
 4> objectClass: top; person; organizationalPerson; user
 1> cn: GARGAMEL
 1> sn: PLOP
 1> c: US
 […]

Mais normalement vous saviez déjà faire ça en PowerShell grâce à mes précédents TPs.

L’intérêt de l’outil est avant tout le contrôler l’état de réplication des DCs, Pour avoir un « joli » rapport de l’état de la synchronisation des DCs (d’ailleurs on a une erreur…)

PS C:\> .\repadmin.exe /replsummary *
 Replication Summary Start Time: 2014-10-31 13:09:20
Beginning data collection for replication summary, this may take awhile:
 .........................
Destination DSA largest delta fails/total %% error
 DC-PONEY-1 14m:16s 0 / 51 0
 
Lire la suite