Jak sprawdzić, kiedy wygasa hasło konta użytkownika AD za pomocą PowerShell

Active Directory (AD) jest używane przez wiele organizacji do zarządzania użytkownikami i usługami uwierzytelniania. Zrozumienie, kiedy wygasa hasło kont użytkowników AD, jest ważne dla utrzymania bezpieczeństwa. Korzystając z PowerShell, to zadanie może być zautomatyzowane, co ułatwia zarządzanie. Ten artykuł wyjaśni, jak sprawdzić, kiedy wygasa hasło konta użytkownika AD za pomocą PowerShell, krok po kroku.

Spis treści

Komenda do sprawdzenia wygaśnięcia hasła

Aby sprawdzić, kiedy wygasa hasło konta użytkownika Active Directory, należy połączyć cmdlet PowerShell Get-ADUser z kilkoma atrybutami. Poniżej podstawowa komenda do sprawdzenia, kiedy wygasa hasło dla konkretnego użytkownika.

# Sprawdź wygaśnięcie hasła użytkownika
Get-ADUser -Identity "username" -Properties "PasswordLastSet", "PasswordNeverExpires" | Select-Object -Property Name, PasswordLastSet, PasswordNeverExpires, @{Name="PasswordExpires"; Expression={if ($_.PasswordNeverExpires -eq $false) { $_.PasswordLastSet.AddDays((Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.TotalDays) } else {"Nigdy nie wygasa"}}}

Ta komenda pobiera „PasswordLastSet” (ostatni czas ustawienia hasła), informuje, czy hasło jest ustawione na nigdy nie wygasające „PasswordNeverExpires”, i jeśli hasło ma wygasnąć, oblicza i wyświetla datę tego wygaśnięcia.

Komentarze

Cmdlet Get-ADUser jest używany do pobierania informacji o użytkowniku z AD.
Parametr -Identity określa docelową nazwę użytkownika.
Za pomocą parametru -Properties określasz, które atrybuty chcesz pobrać. Domyślnie nie są pobierane wszystkie atrybuty.
Użyj cmdletu Select-Object do wybrania informacji, które chcesz wyświetlić i dodania niestandardowych właściwości.

Przykład skryptu 1: Lista użytkowników z wygasłymi hasłami

Skrypt do identyfikacji i listowania użytkowników, których hasła wygasły wśród wszystkich użytkowników Active Directory, może pomóc w weryfikacji zgodności z politykami bezpieczeństwa organizacji i automatyzacji zadań zarządzania kontami.

Poniższy skrypt PowerShell wykrywa użytkowników, których hasła wygasły, porównując bieżącą datę i wypisuje listę tych użytkowników.

# Lista użytkowników z wygasłymi hasłami
Import-Module ActiveDirectory
$today = (Get-Date)
Get-ADUser -Filter * -Properties PasswordLastSet, PasswordNeverExpires | Where-Object {
    $_.PasswordNeverExpires -eq $false -and
    ($_.PasswordLastSet.AddDays((Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.TotalDays)) -lt $today
} | Select-Object Name, PasswordLastSet, @{Name="PasswordExpires"; Expression={$_.PasswordLastSet.AddDays((Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.TotalDays)}}

Komentarze

Import-Module ActiveDirectory sprawia, że cmdlety związane z Active Directory stają się dostępne. Ta linia jest zawsze konieczna przed uruchomieniem skryptów związanych z AD.
Cmdlet Get-Date jest używany do uzyskania bieżącej daty, która służy jako podstawa do określenia wygaśnięcia hasła.
Get-ADUser -Filter * celuje we wszystkich użytkowników w Active Directory.
Cmdlet Where-Object filtruje użytkowników, których hasła nie są na stałe ważne i których data ustawienia hasła plus maksymalny okres ważności zdefiniowany przez politykę haseł domeny jest przed dzisiejszą datą.
Użyj cmdletu Select-Object do wybrania tylko potrzebnych informacji i dodania niestandardowej właściwości PasswordExpires do obliczenia i wyświetlenia daty wygaśnięcia hasła.

Ten skrypt ułatwia zarządzanie użytkownikami z wygasłymi hasłami, przyczyniając się do utrzymania bezpieczeństwa.

Przykład skryptu 2: Automatyczne powiadomienia e-mail przed wygaśnięciem

Powiadomienie użytkowników w organizacji, że ich hasło wkrótce wygaśnie, może poprawić doświadczenie użytkownika i zwiększyć bezpieczeństwo. Poniższy skrypt PowerShell wykrywa użytkowników, których hasła wygasną w określonej liczbie dni, i automatycznie wysyła do nich powiadomienia e-mail.

# Wysyłanie powiadomień e-mail przed wygaśnięciem
Import-Module ActiveDirectory
$notificationPeriod = 14 # Liczba dni przed wysłaniem powiadomienia
$smtpServer = "smtp.example.com" # Adres serwera SMTP
$fromEmail = "admin@example.com" # Adres e-mail nadawcy
$subject = "Twoje hasło wkrótce wygaśnie" # Temat e-maila

$users = Get-ADUser -Filter * -Properties EmailAddress, PasswordLastSet, PasswordNeverExpires | Where-Object {
    $_.PasswordNeverExpires -eq $false -and
    ($_.PasswordLastSet.AddDays((Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.TotalDays - $notificationPeriod)) -lt (Get-Date)
}

foreach ($user in $users) {
    $toEmail = $user.EmailAddress
    $body = "Drogi $($user.Name),\n\nTwoje hasło wygaśnie za mniej niż $notificationPeriod dni. Prosimy o jak najszybszą zmianę hasła.\n\nZ pozdrowieniami,\nTwój zespół IT"
    Send-MailMessage -SmtpServer $smtpServer -From $fromEmail -To $toEmail -Subject $subject -Body $body
}

Komentarze

Ten skrypt używa zmiennej $notificationPeriod do określenia, kiedy zacząć powiadamiać użytkowników, ustawiono na 14 dni z wyprzedzeniem w tym przykładzie.
Cmdlet Get-ADUser pobiera informacje o użytkowniku, w tym atrybuty EmailAddress, PasswordLastSet i PasswordNeverExpires.
Cmdlet Where-Object filtruje użytkowników, których wygaśnięcie hasła zbliża się.
Pętla foreach jest używana do wysłania e-maila do każdego odpowiedniego użytkownika za pomocą cmdletu Send-MailMessage.

Regularne uruchamianie tego skryptu umożliwia użytkownikom odpowiednie działanie przed wygaśnięciem ich haseł, pomagając utrzymać bezpieczeństwo kont i zmniejszyć liczbę zgłoszeń wsparcia.

Przykład skryptu 3: Automatyczne wyłączanie kont użytkowników z wygasłymi hasłami

Jako środek bezpieczeństwa, automatyczne wyłączanie kont użytkowników, których hasła wygasły, może zmniejszyć ryzyko nieautoryzowanego dostępu. Poniższy skrypt PowerShell wykrywa konta użytkowników z wygasłymi hasłami i automatycznie wyłącza te konta.

# Automatyczne wyłączanie użytkowników z wygasłymi hasłami
Import-Module ActiveDirectory
$today = (Get-Date)

$expiredUsers = Get-ADUser -Filter * -Properties PasswordLastSet, PasswordNeverExpires | Where-Object {
    $_.PasswordNeverExpires -eq $false -and
    ($_.PasswordLastSet.AddDays((Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.TotalDays)) -lt $today
}

foreach ($user in $expiredUsers) {
    # Wyłączanie konta użytkownika
    Disable-ADAccount -Identity $user.SamAccountName
    Write-Output "Wyłączono konto: $($user.Name)"
}

Komentarze

Import-Module ActiveDirectory importuje moduł Active Directory, umożliwiając użycie cmdletów związanych z AD.
Cmdlet Get-ADUser pobiera wszystkie informacje o użytkowniku i używa Where-Object do filtrowania użytkowników z wygasłymi hasłami.
W pętli foreach, cmdlet Disable-ADAccount jest używany do wyłączenia kont użytkowników, których hasła wygasły.
Skrypt wypisuje na konsoli, kiedy konto użytkownika zostaje wyłączone.

Ten skrypt jest szczególnie użyteczny dla zarządzania kontami w dużych organizacjach, automatyzując zgodność z politykami bezpieczeństwa i zmniejszając obciążenie administracyjne. Regularne uruchamianie skryptu zapewnia, że konta z wygasłymi hasłami są wyłączane, zwiększając bezpieczeństwo systemu.

Rozważania dotyczące bezpieczeństwa

Automatyzując politykę haseł i zarządzanie kontami użytkowników, należy mieć na uwadze kilka kwestii bezpieczeństwa. Należy zwrócić uwagę na następujące punkty przy wdrażaniu i obsłudze tych skryptów.

Zastosuj zasadę najmniejszych uprawnień: Konto wykonujące skrypt powinno mieć przyznane minimalnie niezbędne uprawnienia. Na przykład, jeśli tylko odczytuje informacje o haśle użytkownika, powinno mieć przydzielone uprawnienia tylko do odczytu, a tylko niezbędne uprawnienia do wyłączania kont powinny być przyznane na te operacje.
Zabezpiecz przechowywanie skryptów: Ponieważ skrypty mogą zawierać potencjalnie wrażliwe informacje lub polecenia zmieniające system, powinny być przechowywane w sposób zabezpieczony przed nieautoryzowanym dostępem.
Logowanie i monitorowanie: Zmiany wprowadzane przez skrypty powinny być odpowiednio logowane i monitorowane. Umożliwia to szybką reakcję na nieoczekiwane zachowania lub incydenty bezpieczeństwa.
Utrzymywanie mechanizmów powiadamiania: Zwłaszcza dla skryptów, które powiadamiają użytkowników o zbliżającym się wygaśnięciu hasła lub automatycznie wyłączają konta, zaleca się posiadanie mechanizmów umożliwiających powiadamianie administratorów lub użytkowników, gdy są podejmowane działania.
Regularna kontrola i aktualizacja: Skrypty powinny być regularnie przeglądane i aktualizowane w razie potrzeby, w odpowiedzi na zmiany w politykach organizacyjnych lub aktualizacje środowiska Active Directory.

Przestrzegając tych rozważań dotyczących bezpieczeństwa, automatyzowane procesy ułatwiane przez te skrypty mogą działać efektywnie, jednocześnie zachowując zgodność ze standardami bezpieczeństwa organizacyjnego.

Podsumowanie

Użycie PowerShell do sprawdzania i zarządzania wygaśnięciem haseł kont użytkowników Active Directory jest kluczowe dla utrzymania bezpieczeństwa organizacyjnego. Wykorzystując skrypty przedstawione w tym artykule, można osiągnąć efektywne monitorowanie wygaśnięcia haseł kont użytkowników AD, powiadomienia przed wygaśnięciem oraz automatyczne wyłączanie kont zgodnie z politykami bezpieczeństwa.

Ważne jest, aby te zautomatyzowane procesy wspierały i wzmacniały polityki bezpieczeństwa organizacji. Jednak automatyzacja musi być wspierana przez stosowanie zasady najmniejszych uprawnień, bezpieczne przechowywanie skryptów, odpowiednie logowanie i monitorowanie, utrzymanie mechanizmów powiadamiania oraz regularną kontrolę i aktualizację, wśród innych rozważań dotyczących bezpieczeństwa.

Ostatecznie, poprzez odpowiednie połączenie tych najlepszych praktyk i skryptów automatyzacji, zarządzanie środowiskiem Active Directory może stać się bardziej efektywne i bezpieczne.