GPO, campo deshabilitado

Hola,

Solo tengo una idea simple: instala GPMC en un equipo y haz la modificación del GPP desde ese equipo, no lo hagas directamente en un DC. Quizás tengas más éxito.
El hecho de que esté gris podría ser un problema de derechos...

No vincules la GPO directamente al dominio, sino a una OU que contenga las máquinas de las que deseas cambiar la contraseña. (en resumen, no apunters a tus DCs o servidores).
Deberías tener contraseñas de administrador local diferentes para tus estaciones de trabajo y tus servidores.

-

De lo contrario, no te recomiendo proceder de esta manera (utilizando este método, GGP) para hacer esto.

Aquí estamos trabajando con GPP, y cuando utilizamos los GPP, todas las contraseñas introducidas en el GPP (cambiar la contraseña de una cuenta local, montar una unidad de red con una cuenta particular, etc.) se almacenan en el GPP.

Sin embargo, están cifradas con algoritmos que Microsoft publicó hace algunos años.

Un usuario común puede encontrar la contraseña de una cuenta referenciada en un GPP. Con un simple script, podemos recuperar un XML específico almacenado en el SYSVOL, que todos pueden leer... y dentro está la contraseña cifrada.
Recuperamos la contraseña cifrada, un toque de magia y ¡listo!

La clave publicada por MS:
http://msdn.microsoft.com/en-us/library/2c15cbf0-f086-4c74-8b70-1f2fa45dd4be.aspx

Un pequeño artículo:
http://www.grouppolicy.biz/2013/11/why-passwords-in-group-policy-preference-are-very-bad/

Seguramente encontrarás los scripts para descifrar en Internet... Get-GPPPassword...

-

Por lo tanto, si logras hacer funcionar tu GPO, debes eliminar la GPO que contiene el parámetro GPP una vez que hayas terminado. Evitarás almacenar la contraseña en un XML.
Sabiendo que un GPP se aplica una vez, no necesitas mantener la GPO activa, así que eliminarla permite deshacerte del XML.
Sin embargo, esto implica que en la cadena de producción de una máquina (el mastering), la contraseña debe ser gestionada a ese nivel para las nuevas estaciones.

-

Otra solución sería hacer un script (PS o VBS) que reinicie la contraseña de admin local... creo que los ejemplos en Internet no faltan.

¡Hasta luego!

Hola, y gracias por tu respuesta!

instala GPMC en un equipo y realiza la modificación del GPP desde este equipo, no lo hagas directamente en un DC. Quizás tengas más éxito.

Creo que voy a buscar sobre todo ese lado, efectivamente. Sin embargo, hay un problema de derechos, en la medida en que incluso con la cuenta de Administrador del dominio no puedo acceder a esos campos, me parece extraño.

Me dices que no es el buen método, pero si lo hago a través de un script, los usuarios también tienen acceso a este script, ¿con la contraseña en claro? Porque para poder ejecutarlo, también tendrán al menos un derecho de lectura, ¿no? No cuestiono lo que me dices. Lejos de mí esa idea. Simplemente estoy tratando de entender.

Luego, sí, aplicaré la GPO a los equipos de los usuarios y no a los servidores, ya está previsto y ya he organizado mi AD para que funcione de esta manera :)

Gracias de todos modos por tomarte el tiempo de explicarme todo esto en detalle, también voy a investigar sobre los enlaces que me proporcionaste.

Te haré un retorno sobre lo que he realizado para que la manipulación funcione!

Hasta luego.