GPO, champ grisé

Lecteur

Utilisateur anonyme -
Utilisateur anonyme - 8 août 2014 à 11:45

Bonjour,

Je souhaite via GPO sur windows 2k8r2, activer le compte administrateur local de tous les postes et lui attribuer un mot de passe.

Pour ce faire, j'ai suivi ce lien : http://www.frenchteam-it.com/jeremylebon/2012/12/11/configuration-compte-administrateur-local-gpo-2008-r2/#comment-2600

Cependant, pour changer le mot de passe, mes deux champs "Mot de passe" et "Confirmer le mot de passe" sont grisés. J'ai également le même soucis lorsque je passe par le compte Administrateur du domaine, et non par un simple compte administrateur.

Merci par avance,

f4b3n

Afficher la suite

A voir également:

Gpo mappage lecteur se connecter en tant que grisé
Se connecter à gmail sur téléphone - Guide
Se connecter à ma boite hotmail - Guide
Se connecter a chromecast - Guide
Tu dois avoir accès au live pour passer live en tant qu'invité - Forum TikTok
Facebook se connecter à un autre compte - Guide

3 réponses

Réponse 1 / 3

Kelu

Patch de mai qui désactive le comportement que j'ai cité plus haut :

http://support.microsoft.com/kb/2962486

Cette fonctionnalité est maintenant "deprecated" , comprendre : "ne plus utiliser".

Un workaround propose de passe par un script PS.

Utilisateur anonyme

Je vais regarder tout ça, merci :)

Réponse 2 / 3

Kelu

Salut,

Je n'ai qu'une simple idée : installe GPMC sur un poste et fais la modification du GPP via ce poste, ne le fais pas sur un DC directement. Tu auras peut être plus de réussite.
Le fait que ce soit grisé peut être un problème de droit ...

Ne link surtout pas la GPO sur le domaine, mais sur une OU qui contient tes machines dont tu souhaites changer le mot de passe. (en gros ne target pas tes DCs ou tes serveurs).
Tu devrais avoir des mots de passe admins locaux différents pour tes workstations et tes serveurs.

-

Sinon je ne te conseille pas de procéder ainsi (utiliser cette méthode, GGP) pour faire ceci.

Là on travaille avec du GPP, et lorsque l'on utilise les GPP, tous les mots de passe saisis dans la GPP (changer le mot de passe d'un compte local, monter un lecteur réseau avec un compte particulier etc ... ) sont stockés dans la GPP.

Sauf que c'est chiffré avec des algorithmes que Microsoft a publié il y a quelques années.

Un simple utilisateur peut donc trouver le mot de passe d'un compte référencé dans un GPP. Avec un simple script, on vient récupérer un XML particulier stocké dans le SYSVOL, que tout le monde peut lire ... et dedans il y a le mot de passe chiffré.
On récupère password chiffré, un coup de moulinette et hop ...

La clé publiée par MS :
http://msdn.microsoft.com/en-us/library/2c15cbf0-f086-4c74-8b70-1f2fa45dd4be.aspx

Un petit article :
http://www.grouppolicy.biz/2013/11/why-passwords-in-group-policy-preference-are-very-bad/

Tu trouveras surement les scripts pour décrypter sur le net ... Get-GPPPassword ....

-

Donc si tu arrives à faire fonctionner ta GPO, il faut que tu supprimes la GPO qui contient le paramètre GPP, lorsque tu as fini. Tu éviteras de stocker le password dans un XML.
Sachant qu'un GPP est appliqué une fois, tu n'as pas besoin de garder la GPO active, donc la supprimer permet d'enlever le XML.
Toutefois ceci implique que dans la chaine de production d'une machine (le mastering), le mot de passe soit géré à ce niveau pour les nouvelles stations.

-

Une autre solution consisterai à faire un script (PS ou VBS) qui reset le mot de passe local admin... je pense que les exemples sur le net ne manquent pas.

@+

Réponse 3 / 3

Utilisateur anonyme

Bonjour, et merci pour ta réponse!

installe GPMC sur un poste et fais la modification du GPP via ce poste, ne le fais pas sur un DC directement. Tu auras peut être plus de réussite.

Je pense que je vais surtout chercher de ce côté-là, en effet. Par contre un problème de droit, dans la mesure où même avec le compte Administrateur du domaine je n'arrive pas à accéder à ces champs, ça me semble bizarre.

Tu me dis que ce n'est pas la bonne méthode, mais si je le fais par un script, les utilisateurs ont aussi accès à ce script, avec le password en clair? Car pour pouvoir l'exécuter, ils auront aussi un droit de lecture au moins? Je ne remets pas en cause ce que tu me dis. Loin de moi cette idée. J'essaie simplement de comprendre.

Ensuite, oui j'appliquerai bien la GPO aux postes utilisateurs et non aux serveurs, c'est déjà prévu et j'ai déjà organisé mon AD pour que ça fonctionne de la sorte :)

Merci en tout cas d'avoir pris le temps de m'expliquer tout cela en détail, je vais aller fouiller également du côté des liens que tu m'as fourni.

Je ferai un retour sur ce que j'ai effectué pour que la manipulation fonctionne!

A plus tard.

Kelu

Yop, le script, tu l'exécutes à distance. (sur une machine d'administrattion/scripting : dédiée aux taches courantes d'administration)
Les utilisateurs standards n'y auront pas accès ;)

Il faut que tu disposes d'un compte de domaine, qui soit admin local de chaque station. Avec ce compte tu pourras exécuter le script, qui pourra changer "à distance" le password admin local sur chaque station.
(il est très fortement déconseillé de travailler avec un compte admin du domaine, et encore moins utiliser le compte administrateur du domaine).

Utilisateur anonyme

Je n'ai utilisé le compte admin du domaine que pour voir si quelque chose changeait, et j'ai déconnecté ensuite. Le compte avec lequel je bossais est administrateur, mais pas du domaine.

Enfin bref, je vais faire mes tests en début d'après midi et sûrement passer le sujet ne résolu. En tout cas merci beaucoup pour votre aide :)

Discussions similaires

renault capture sans lecteur de cd

Lecteur vidéo par défaut

CHKDSK impossible - rien ne se produit

une partition de lecteur requise est manquante

c'est quoi la difference entre partition principale et logique

Branchement Lecteur DVD sur écran d'ordi

Votre réponse

Discussions similaires