سوال راجع به Active Directory

[KherKhere]

سلام .

دوستان از کجا میشه Set کرد که اگر یک User ارتباطش با Domain قطع بود مثلاً کابل شبکه در امده بود اون یوزر نتونه

لوگین کنه ؟


ممنون .

---

موضوعات مشابه:

• چند سوال در مورد Active Directory
• سوال در مورد 2008 Active directory
• سوال در باره Active Directory
• 2 سوال در مورد Active Directory
• سوال در مورد active directory

---

[kazem_m]

Computer Configuration>Windows Settings>Security Settings>Local
Policies>Security Options, look at the "Interactive Logon: Number of
previous logons to cache
Set it to 0

[masterweb]

فراموش نکنید این قضیه برای لب تاپهای داخل شبکه که در بیرون شبکه نیز استفاده میشود مشکل ایجاد خواهد کرد

[Reza.D]

فراموش نکنید این قضیه برای لب تاپهای داخل شبکه که در بیرون شبکه نیز استفاده میشود مشکل ایجاد خواهد کرد

چه مشکلی؟

[kazem_m]

فكر مي كنم منظورشون اينه كه خارج از شبكه امكان Login وجود نداره كه درسته . اما براي User تحت Domain . در صورتي كه همچنان مي شه با Local Admin به سيستم وارد شد.

در هر شكل موافقم براي گرفتن همچين تصميماتي بايد همه چيزو لحاظ كرد. شما فكر كنيد اگر يه DC داشته باشيد و دچار مشكل بشه ....

[KherKhere]

بله درسته . بهتره Laptop ها با یوزر Local لوگین کنند .

[mkm]

سلام .

دوستان از کجا میشه Set کرد که اگر یک User ارتباطش با Domain قطع بود مثلاً کابل شبکه در امده بود اون یوزر نتونه

لوگین کنه ؟


ممنون .

Deny Log on Locally from GPO

[Reza.D]

Deny Log on Locally from GPO

منظور Log on به domain بود نه local

[mkm]

منظور Log on به domain بود نه local

بله میدونستم. بهمین جهت گفتم Deny Log on Locally from GPO
وقتی کابلش از کارت شبکه بکشه بیرون چطوری میخواد با DC Authenticate کنه تا لاگین کنه؟ فقط با Local لاگین میکنه که باید جلوشو گرفت.

[Reza.D]

بله میدونستم. بهمین جهت گفتم Deny Log on Locally from GPO
وقتی کابلش از کارت شبکه بکشه بیرون چطوری میخواد با DC Authenticate کنه تا لاگین کنه؟ فقط با Local لاگین میکنه که باید جلوشو گرفت.

بله درست میگید

من رو حساب این گفتم که اکانت local نداشته باشه اون سیستم

[SADEGH65]

البته دوستان در مورد Cached credentials نیز باید دقت لازم را داشته باشند.
اطلاعات بیشتر :Cached credentials security in Windows Server 2003, in Windows XP, and in Windows 2000

نکته ای که باعث میشود در این شرایط دوستان به این مورد توجه کنند.

Access to machine resources when a domain controller is unavailable
After a successful domain logon, a form of the logon information is cached. Later, a user can log on to the computer by using the domain account, even if the domain controller that authenticated the user is unavailable. Because the user has already been authenticated, Windows uses the cached credentials to log the user on locally. For example, suppose a mobile user uses a domain account to log on to a laptop that is joined to a domain. Then, the user takes the laptop to a location where the domain is unavailable. In this scenario, Windows uses the cached credentials from the last logon to log the user on locally and to allocate access to local computer resources.

[mkm]

البته دوستان در مورد Cached credentials نیز باید دقت لازم را داشته باشند.
اطلاعات بیشتر :Cached credentials security in Windows Server 2003, in Windows XP, and in Windows 2000

نکته ای که باعث میشود در این شرایط دوستان به این مورد توجه کنند.

Access to machine resources when a domain controller is unavailable
After a successful domain logon, a form of the logon information is cached. Later, a user can log on to the computer by using the domain account, even if the domain controller that authenticated the user is unavailable. Because the user has already been authenticated, Windows uses the cached credentials to log the user on locally. For example, suppose a mobile user uses a domain account to log on to a laptop that is joined to a domain. Then, the user takes the laptop to a location where the domain is unavailable. In this scenario, Windows uses the cached credentials from the last logon to log the user on locally and to allocate access to local computer resources.

فرمایش شما کاملا صحیح ولی باز هم اگر که از Cached credential بخواد استفاده کنه بصورت Local میخواد لاگین کنه که با تنطیمات GPO که قبلا عرض کردم میتونه Prevent بشه.

[hadi_PN]

دوستان در ادامه این مطلب سیستمی دارم که یوزرش با استفاده از یک بچ فایل ادمین لوکال رو از حالت Disable در میاره و پسوردش رو هم عوض میکنه
بعدش براحتی میتونه Local وارد سیستم بشه و IP خودشو عوض کنه و یا برنامه نصب کنه
چطوری میتونم جلو اینو بگیرم ؟

[mkm]

دوستان در ادامه این مطلب سیستمی دارم که یوزرش با استفاده از یک بچ فایل ادمین لوکال رو از حالت Disable در میاره و پسوردش رو هم عوض میکنه
بعدش براحتی میتونه Local وارد سیستم بشه و IP خودشو عوض کنه و یا برنامه نصب کنه
چطوری میتونم جلو اینو بگیرم ؟

شما باید Boot Sequence ها رو روی CD-DVD Rom و USB ببندید.

[hadi_PN]

همه اونا بسته اس حتی از GFI نصبه و همشون بسته اس
ادمین رو Disable کردم امروز اومدم دیدم بازه دوباره بستمش البته اومدم از GP و Disable کردم
ایا امکان داره که اجازه ندیم Bat فایلها اجرا بشن