ব্যবহারকারীরা কেন ডোমেন কন্ট্রোলারে সর্বদা ডোমেনের অংশ হয়?

Question

ব্যবহারকারীরা কেন ডোমেন কন্ট্রোলারে সর্বদা ডোমেনের অংশ হয়?

আমি যখন ডোমেন নিয়ামকটিতে একটি স্থানীয় ব্যবহারকারী তৈরি করতে চাই, তখন আমি net user <username> <password> /addদেখতে পাচ্ছি যে ব্যবহারকারী স্বয়ংক্রিয়ভাবে এই Domain Usersগোষ্ঠীতে অন্তর্ভুক্ত রয়েছে ।

আমি ডোমেন নিয়ামকটিতে একটি স্থানীয় প্রশাসক অ্যাকাউন্ট তৈরি করতে চাই, ডোমেনের অংশ নয়, যা ইন্টারেক্টিভভাবে ডোমেন নিয়ামকটিতে লগইন করতে এবং প্রশাসনিক কার্য সম্পাদন করতে সক্ষম।

এটা কি সম্ভব?

Comments

না। এটা সম্ভব নয়।

— joeqwerty

Answer 1

স্থানীয় অ্যাকাউন্টগুলি SAM ডাটাবেস নামক একটি ফাইলে সংরক্ষণ করা হয় । এটি একটি ডোমেন নিয়ামকটিতে বিদ্যমান - আপনি যদি কোনও ডোমেন নিয়ামককে পুনরুদ্ধার মোডে বুট করেন তবে আপনি যে অ্যাকাউন্টটি এটি করতে ব্যবহার করেন সেটি কেবলমাত্র স্যাম ডাটাবেসের স্থানীয় প্রশাসক অ্যাকাউন্ট। তবে উইন্ডোজ যখন চলমান থাকে তখন সাধারণত এসএএম ডাটাবেসে অ্যাক্সেস অক্ষম থাকে এবং এতে থাকা কোনও অ্যাকাউন্টই ব্যবহার করা যায় না। এর অর্থ কোনও ডোমেন নিয়ামককে স্থানীয় অ্যাকাউন্ট দিয়ে লগ ইন করা অসম্ভব।

তবে আপনি যদি কোনও কমান্ড লাইন থেকে কাজ করে খুশি হন এবং আপনার যদি নেটওয়ার্ক অ্যাক্সেসের প্রয়োজন না হয় তবে এটি সাজানো যায়। কৌশলটি হ'ল স্থানীয় সিস্টেম অ্যাকাউন্ট হিসাবে লগ ইন করা। উইন্ডোজ এটি করার কোনও উপায় সরবরাহ করে না তবে আমি একটি সহজ টেলনেট সার্ভার লিখে স্থানীয় সিস্টেম অ্যাকাউন্ট ব্যবহার করে পরিষেবা হিসাবে এটি চালিয়েছি। আপনি যখন টেলনেট সার্ভারের সাথে সংযুক্ত হন আপনি কোনও ডোমেন অ্যাকাউন্ট নয়, সিস্টেম অ্যাকাউন্ট হিসাবে লগ ইন করেন। কেবলমাত্র বিধিনিষেধগুলি হ'ল এটি কেবলমাত্র কমান্ড লাইন এবং সিস্টেম অ্যাকাউন্টে কোনও নেটওয়ার্ক অ্যাক্সেস নেই। আপনি যদি এই জাতীয় একটি হ্যাক ব্যবহার করতে যাচ্ছেন তবে সুরক্ষা সম্পর্কে খুব সতর্ক থাকুন!

যদিও এই সমস্ত ভয়ঙ্কর হ্যাক লাগছে তবে এর বৈধ ব্যবহার রয়েছে। কাজের জায়গায় উদাহরণস্বরূপ আমরা এন-সক্ষম নামে একটি পরিচালনা সরঞ্জাম ব্যবহার করি যা সার্ভারের কনসোলে দূরবর্তী অ্যাক্সেসের অনুমতি দেয় এবং এটি মূলত আমি উপরে বর্ণিত কৌশলটি ব্যবহার করে এটি করি। যদি আমি আমাদের ডোমেন নিয়ামকদের মধ্যে একটিতে কনসোল খুলি এবং আমি পাই হুয়ামি কমান্ডটি ব্যবহার করি:

পাদটীকা

রিমোট কমান্ড প্রম্পট খোলার জন্য উইন্ডোজের কোনও পদ্ধতি অন্তর্নিহিত নেই, তবে গ্রাভিটি একটি মন্তব্যে উল্লেখ করেছে সিসিন্টার্নালস সেক্সেক্স ইউটিলিটি এটি করতে পারে, এবং সিসইন্টার্নালস ইউটিলিটিগুলি মাইক্রোসফ্ট সরবরাহ করেছে এবং সমর্থন করে তাই এটি কমপক্ষে আধা আধিকারিক at আমার প্রাপ্ত সার্ভারগুলির মধ্যে একটিতে psexec ব্যবহার করে:

D:\temp\psexec>psexec64 \\cheddar -s cmd.exe

PsExec v2.2 - Execute processes remotely
Copyright (C) 2001-2016 Mark Russinovich
Sysinternals - www.sysinternals.com


Microsoft Windows [Version 10.0.17134.345]
(c) 2018 Microsoft Corporation. All rights reserved.

C:\Windows\system32>whoami
nt authority\system

C:\Windows\system32>exit
cmd.exe exited on cheddar with error code 0.

Comments

আপনি SysInternals psexec -s পুনরায় উদ্ভাবন করেছেন ?

— ব্যবহারকারীর 6868

@ গ্রায়েটি সিসিনটার্নাল ইউটিলিটিগুলি বিদ্যমান থাকার আগে আমি উইন্ডোজ এনটি 3.1 এ প্রথম এটি করেছি :-) তবে আপনি ভাল বক্তব্য রাখেন। আমি ভুলে গিয়েছিলাম যে psexec এটি করতে পারে।

— জন রেনি

পয়েন্ট নেওয়া হয়েছে। যদিও আশা করি মূল "প্রশস্ত ওপেন" টেলনেটেড এখন ব্যবহার হচ্ছে না?

— user1686

Answer 2

না, এটি সম্ভব নয়। ডোমেন নিয়ন্ত্রকদের নিজস্ব প্রমাণীকরণ ডাটাবেস নেই। কোনও ডোমেন নিয়ামক হিসাবে পদোন্নতি হলে এটি সক্রিয় ডিরেক্টরি দ্বারা প্রতিস্থাপন করা হয়।

Comments

এই উত্তর "এটি কি সম্ভব?" প্রশ্ন শরীর থেকে, কিন্তু শিরোনাম থেকে "কেন" উত্তর দেয় না। "কেন" অংশ সম্পর্কে কোনও তদন্ত?

— Mołot

Domain controllers don't have their own authentication database. It is replaced by Active Directory when promoted to a Domain Controllerকেন হয়। সুতরাং এটি কেন উত্তর দেয়।

— joeqwerty

@ পেটার কেবল মাইক্রোসফ্টই হয়ত জানেন যে তারা কেন এটি সেভাবে ডিজাইন করেছিলেন, তবে আমি তাদের সন্দেহ জানি। আমার হস্তান্তরকালে, বেশিরভাগ "কেন" প্রশ্নের উত্তরগুলির সাথে আমার উত্তর দিতে হয়েছিল "আমি করেছি কারণ এটিই প্রথম জিনিসটি মনে আসল, এবং এটি কাজ করেছিল এবং তার পরে, কোনও চলমান সিস্টেমকে কখনই পরিবর্তন করবে না।"

— আলেকজান্ডার

সত্যই, যদি প্রশ্নটি হয় "মাইক্রোসফ্ট কেন এটি এভাবে ডিজাইন করল?" প্রশ্নটি, আমি ভিটিসি করতাম। আমরা যে কোনও উত্তর সরবরাহ করব তা খাঁটি জল্পনা ছিল (যদি কেউ এখানে এমএস সার্কায় 1999-ইশ? প্রকল্পে কাজ না করে)।

— ক্যাথরিন ভিলিয়ার্ড

আমি তখন উইন্ডোজ সার্ভারের জন্য এমএস এমভিপি ছিলাম এবং "এনটি 5" বিটা টিমের সাথে কিছু স্টাফ করেছিলাম এবং কয়েকটি সভায় গিয়েছিলাম যেখানে নকশার সিদ্ধান্ত নিয়ে আলোচনা হয়েছিল। তারপরে যুক্তিটি ছিল যে কোনও ডোমেন নিয়ন্ত্রকের উপর "স্থানীয়" প্রশাসক পদক্ষেপের মতো আসলে কিছুই ছিল না কারণ ডোমেনকে প্রভাবিত করার কোনও কিছুরই সম্ভাবনা ছিল। ডিসি রিবুট করতে চান? কোনও ভূমিকা যুক্ত করতে বা মুছতে চান? নেটওয়ার্ক কার্ডে ডিএনএস সেটিংস পরিবর্তন করতে চান? সমস্ত ডিসি তার ডোমেন পরিষেবা দেওয়ার জন্য সেই ডিসির দক্ষতার উপর প্রভাব ফেলতে সক্ষম এবং সুতরাং কোনও ডিসিতে "স্থানীয় প্রশাসক" পদক্ষেপটি সত্যই নয়।

— রব মোয়ার