Sebastian del Rio: Windows Server

Cambiar Pasword Administrador Local Remotamente

Tue, 04 Sep 2007 12:23:01 GMT

Changing local admin password?

I just find a good method to change the local admin password of client PC remotely from MCPMAG. By using this method, you don't need to put the new password in script in order to make it work. You may reference this:

SysInternals offers a free too called PsPasswd
http://www.sysinternals.com/Utilities/PsPasswd.html , which
allows you to remotely reset passwords on a range of computers
on your network. The tool will also report successes and
failures of changed passwords, and allows you to run a single
command against a list of computers. Since the password is just
included within the syntax of a command that you run, it will
never be stored as plain text in a batch or script file.

To use PsPasswd, you'll first need a list of all computers in
your domain. To enumerate all computer objects in a domain,
you could run this script:

LogFile = "C:\computers.txt"
Const ForWriting = 2
Const ADS_SCOPE_SUBTREE = 2

Set objConnection = CreateObject("ADODB.Connection")
Set objCommand = CreateObject("ADODB.Command")
objConnection.Provider = "ADsDSOObject"
objConnection.Open "Active Directory Provider"

Set objCOmmand.ActiveConnection = objConnection
objCommand.CommandText = _
"Select Name, Location from 'LDAP://DC=mcpmag,DC=com' " _
& "Where objectClass='computer'"
objCommand.Properties("Page Size") = 1000
objCommand.Properties("Searchscope") = ADS_SCOPE_SUBTREE
Set objRecordSet = objCommand.Execute
objRecordSet.MoveFirst

Set objFSO =
CreateObject("Scripting.FileSystemObject")
Set objFile = objFSO.CreateTextFile(LogFile, ForWriting)

Do Until objRecordSet.EOF
objFile.WriteLine objRecordSet.Fields("Name").Value
objRecordSet.MoveNext
Loop

Note that the script will output to a file named "computers.txt"
on the C drive. This could be changed by editing the LogFile
variable assignment in the first line of the script. Note that
in your environment, you will also need to change the domain
referenced in line 12. In my example, I use mcpmag.com
(DC=mcpmag,DC=com).

Once you have a list of all computers, you can then run
pspasswd.exe to change the local administrator password on
all systems in the list. Here's the syntax that I used on my
test network:

pspasswd.exe @c:\computers.txt administrator P@ssword!

Following the @ symbol in the command syntax is the path to
the file containing all computer names. The next part of the
syntax is the name of the account whose password will be
changed, followed by the new password (P@ssword!).

Now here is the output that was generated from the command:

PsPasswd v1.21 - Local and remote password changer
Copyright (C) 2003-2004 Mark Russinovich
Sysinternals - www.sysinternals.com

\\PC1:
Error changing password:
The network path was not found.

\\BSODME:
Password for BSODME\administrator successfully changed.

Since the output will list both success and failures, you will
be able to note the systems in which the password was not
successfully changed. In my case, the system named PC1 was not
located. So I would have to ensure that PC1 was online and then
run the command a second time. (Note that PsPasswd can also be
run against a single computer.) Since the command relies on UNC
paths to connect to systems, you will need to ensure that the
target systems have File and Print Sharing enabled and that File
and Print Sharing is not being blocked by the system's firewall.
By default, the Windows XP Pro SP2 firewall does not allow File
and Print sharing. However, this can be quickly changed via
Group Policy.

As you can see, with a simple list of computers on your network,
remotely changing the local administrator password using PsPasswd
is a relatively painless process.

Log Inicio y Cierre de Sesion

Tue, 19 Jun 2007 18:44:45 GMT

Muy frecuentemente preguntan en los foros de Technet como auditar los eventos de Inicio - Cierre de Sesion a lo que normalmente se responde que se puede hacer mediante la politica de Auditoria , aca les dejo un metodo alternativo el cual nos dejara un log , el cual sera mas practico que mirar el Event Viewer :)

Crear los siguientes archivos con el notepad o su editor de texto favorito

------logon.cmd----
echo logon %username% %computername% %date% %time% >> \\dc1\carpeta\logon.log

-----logoff.cmd-----
echo logoff %username% %computername% %date% %time% >> \\dc1\carpeta\logoff.log

Ahora deberemos incluir estos dos archivos dentro de la Default Domain Policy por ejemplo para que se ejecuten al inicio y cierre de sesion
User Configuration-> Windows Settings-> Scripts (Logon/Logoff)-> Logon
User Configuration-> Windows Settings-> Scripts (Logon/Logoff)-> Logoff

Como resultado veremos nuestros dos archivos con los siguientes contenidos , los cuales seran bastante mas facil de consultar en el caso de tener que auditar Inicio - Cierre de Sesion

logon Richard WS01 Tue 22/02/2005 10:39:51.12
logon Peter WS02 Tue 22/02/2005 10:42:01.07

logoff Richard WS01 Tue 22/02/2005 10:41:08.45
logoff Peter WS02 Tue 22/02/2005 10:42:46.81

Espero les sirva

Windows Longhorn tiene Nombre !

Wed, 16 May 2007 15:48:32 GMT

Finalmente Longhorn tiene nombre!

Windows Server 2008

Mas info:

http://www.microsoft.com/windowsserver2008/default.mspx

Utilizar ntdsutil para trasferir roles.

Thu, 07 Dec 2006 13:02:28 GMT

Usar Ntsdutil para tranferir roles de controladores de Dominio Windows

En un Active Directory Windows 2000 o Windows 2003, deberíamos tener 2 o mas Controladores de Dominio (DC), mas que funcionalidad de validación de usuarios, por seguridad. Existen 5 roles en un Active Directory que tienen que poseer, al menos, uno de nuestros DCs, estos son:

Schema Master. Responsable de las actualizaciones del Active Directory.
Domain Naming Master. Se encarga de realizar los cambios de nombre a nivel de Bosque.
Infrastruture Master. Actualiza los SIDs a nombres de objetos a través de los dominios.
Rid Master. Se encarga de administrar los números RID para los demás controladores del dominio.
Pdc Emulator. Emula el PDC para los clientes pre-Windows 2000/Xp.

Existe también la figura de Global Catalog (Catalogo Global) que es una parte de la base de datos de nuestro Active Directory usado para realizar búsquedas en este.

Cuando el DC que tiene los roles, no funciona correctamente, tenemos que transferir los roles a otro servidor que si este funcionando adecuadamente. Podemos usar las diferentes herramientas graficas de administración para realizarlo (255690) o podemos usar en línea de comandos el comando ntdsutil para completar la acción.
En InicoEjecutar escribir cmd. Aceptar.

Escribir ntdsutil. Esto nos dará acceso a la herramienta de administración mediante línea de comandos.

En cualquiera de las opciones, podremos ver los comandos disponibles con ? o help.

El que nos interesa es Roles, para entrar simplemente escribimos roles y pulsamos entrar.
Esta es la parte que nos interesa, lo primero que tenemos que hacer es conectarnos al DC al cual vamos a trasferir los roles, para ello escribimos:

connections

connect to server \NuestroDC

una vez establecida la conexión escribimos

quit

para volver a la pantalla anterior (Roles).

Ahora transferimos los roles. Tenemos 2 opciones: utilizar Transfer Rol que poniéndose en contacto con el otro DC trasfiere el rol o Seize Rol que fuerza a que el servidor adopte el Rol.

Es decir: si ejecutamos los comandos:

Seize domain naming master
Seize infrastructure master
Seize PDC
Seize RID master
Seize schema master

Forzaremos al servidor al que estamos conectados a adoptar estos roles (Útil cuando el DC que tenia estos roles no este operativo)
y si ejecutamos:

Transfer domain naming master
Transfer infrastructure master
Transfer PDC
Transfer RID master
Transfer schema master

Nuestro servidor se pondrá en contacto con el DC dueño del rol correspondiente para adoptar ese rol (Útil cuando queremos que un servidor mejor, cumpla ese cometido).

En cualquiera de las 2 opciones nos pedirá confirmación de la trasferencia con un mensaje de Windows, dejándonos un evento en el visor de sucesos. Cuando hayamos terminado escribiremos quit para salir de ntsdutil y exit para salir de la consola

Solo nos queda definir quien va a ser nuestro Global Catalog, esto solo podemos hacerlos desde la herramienta Active Directory Sites and Services (Sitios y Servicos del Active Directory) que suele estar en Herramientas Administrativas. Aquí expandiremos Nombre-predeterminado-primer-sitio / Servers / NuestroServidor, sobre NTDS Settings botón derecho, marcaremos la casilla Catalogo Global y aceptar.

Eso es todo, con estos pasos tendremos el servidor con los roles, podemos confirmarlo desde las herramientas administrativas.

Cambiar controlador de Dominio

Wed, 01 Nov 2006 15:13:18 GMT

La mejor forma de sustituir un controlador de dominio es instalar Windows 2000 Server en el nuevo servidor, agregarlo al dominio, promocionarlo a DC, instalarle DNS (si la zona del dominio es Active Directory Integrada valdrá con esto), transferirle los roles FSMO, hacerle catálogo global, traspasarle el servidor de licencias (en caso de usar Terminal Server en modo aplicación y que tenga el DC el servidor de licencias de su sitio) y degradar a servidor miembro al controlador de dominio que se sustituye; después se le puede sacar del dominio (si es que se va a criar malvas):

255690 - HOW TO - View and Transfer FSMO Roles in the Graphical User Interface
http://support.microsoft.com/default.aspx?scid=kb;EN-US;255690

255504 - Using Ntdsutil.exe to Seize or Transfer FSMO Roles to a Domain Controller
http://support.microsoft.com/default.aspx?scid=kb;EN-US;255504

223787 - Flexible Single Master Operation Transfer and Seizure Process
http://support.microsoft.com/default.aspx?scid=kb;EN-US;223787

313994 - CÓMO - Crear o mover un catálogo global en Windows 2000
http://support.microsoft.com/default.aspx?scid=kb;es;313994

Para cambiar el servidor de licencias de sitio de un sitio
http://www.microsoft.com/windows2000/es/advanced/help/default.asp?url=/windows2000/es/advanced/help/sag_LICEhowto_change_sls.htm

Por último, si vas a sustituir un Windows 2000 por un Windows 2003, estos artículos también te interesarán:

325379 - Cómo actualizar los controladores de dominio de Windows 2000 a Windows Server 2003
http://support.microsoft.com/default.aspx?scid=kb;es;325379

817470 - HOW TO Reconfigure an _msdcs Subdomain to a Forest-wide DNS Application Directory Partition When You Upgrade from Windows 2000
http://support.microsoft.com/default.aspx?scid=kb;en-us;817470

555040 - Common Mistakes When Upgrading a Windows 2000 Domain To a Windows 2003 Domain
http://support.microsoft.com/default.aspx?scid=kb;en-us;555040