In che modo Windows Active Directory verifica l'identità di un computer?

Question

In che modo Windows Active Directory verifica l'identità di un computer?

#1 da (1 voti)

3

Sembra una domanda semplice ma non riesco a trovare la risposta su Google o sulle pagine di supporto / forum di Windows.

Se un amministratore di dominio decide di rimuovere il diritto automatico per gli utenti del dominio di poter aggiungere fino a 10 computer a un dominio utilizzando "aggiungi workstation al dominio", allora come fa Active Directory quando uno di quei computer effettivi è allegato / collegamento? Suppongo che non si basino solo sul nome dato che è facile rinominare il computer su qualsiasi cosa in modo tale da vanificare facilmente il controllo di sicurezza di negare all'utente la possibilità di aggiungere nuovi computer (ad esempio account computer) semplicemente rinominando un nuovo computer in lo stesso di uno già autorizzato.

Questa verifica del computer richiede che una chiave o un token predefinito sia presente sul computer che si collega al dominio?

authentication access-control active-directory

posta David Scholefield 21.11.2016 - 18:04

fonte

1 risposta

Leggi altre domande sui tag authentication access-control active-directory

Autenticazione senza login e password nelle app mobili Cosa succede quando viene usata la chiave sbagliata (3 ° parametro) in openssl_decrypt () in PHP?

score 1 · Accepted Answer

Come la maggior parte delle voci in Active Directory, gli account computer hanno un identificatore univoco globale (GUID) che funge da modo principale di identificazione dell'oggetto. Il nome del computer è una proprietà dell'oggetto account del computer e, come hai detto tu, può essere modificato. Ma la modifica del nome non cambia il GUID.

I computer membri del dominio sono anche i principal Kerberos nell'AD, il che significa che i controller di dominio hanno un hash di password dell'account associato che possono utilizzare per autenticare il computer quando arriva online. Questa password è associata all'oggetto account del computer, quindi cambiarne il nome non lo cambia.

La ridenominazione di un computer potrebbe causare alcuni problemi DNS, ma il computer rinominato non avrà ancora la password corretta per l'account del computer che sta tentando di impersonare. Quindi da un punto di vista AD è chiaro che il computer non è quello che dice di essere.