É possível interagir com o Active Directory sem uma conta de usuário de domínio?

0

Alguém sem uma conta de usuário do domínio pode interagir com o Active Directory para obter, por exemplo, diretiva de senha, lista de usuários do domínio, lista de controladores de domínio etc.? - ou é impossível interagir com o Active Directory sem credenciais de usuário do domínio?

windows windows-10 active-directory Shuzheng
fonte

Respostas:

3

Se você é um administrador de domínio, é possível habilitar logons anônimos (não autenticados) no serviço AD LDAP por meio do parâmetro dSHeuristics. O termo de pesquisa para isso é "ligação anônima". Uma vez ativado, você provavelmente precisará conceder acesso a entradas LDAP individuais por meio de ACLs.

É sábio fazê-lo? IMHO, de forma alguma. No mínimo, isso facilmente se tornaria um grande problema de privacidade para seus funcionários - além de atrair problemas de segurança. (Portanto, não há links para a documentação.)

Se você estiver escrevendo um script para domínios gerenciados por outra pessoa - a resposta geral é "não". Mesmo coisas como serviços ou trabalhos em lotes devem ter suas próprias credenciais.

gravidade
fonte
1

Não sei ao certo o que você quer dizer com janelas específicas. O Active Directory fornece uma interface LDAP para trabalhar com ele. A maioria das informações que o AD fornece pode ser consultada usando essa interface.

A Microsoft tem vários artigos que detalham como funciona e o que é importante. Por exemplo:

Por padrão, o AD não aceita / não deve aceitar conexões anônimas que podem ser alteradas. Se elas estiverem ativadas, as ACLs poderão limitar o que você pode consultar. Para testar isso, você pode usar a edição ADSI ou outra ferramenta LDAP. O acesso ao RootDSE deve ser possível.

Seth
fonte
A maioria das informações solicitadas pelo OP não faz parte do RootDSE.
grawity
@ Grarawity, você está certo, pois muitas das informações que ele provavelmente deseja não estarão acessíveis, se ninguém alterou a configuração do AD, mas a pergunta inicial é sempre que você pode interagir com o AD sem ter uma conta. A resposta para essa pergunta é sim. A importância das informações obtidas depende da configuração específica do AD (que também está sendo apontada).
Seth