Por que os usuários criados no controlador de domínio são sempre parte do domínio?

Question

Why are users created on the domain controller always part of the domain?

Quando quero criar um usuário local no controlador de domínio, net user <username> <password> /add , descubro que o usuário é incluído automaticamente no grupo Domain Users .

Eu quero criar uma conta de administrador local no controlador de domínio, não parte do domínio, capaz de fazer logon no controlador de domínio de forma interativa e executar tarefas administrativas.

Isso é possível?

    

Answer 1

As contas locais são armazenadas em um arquivo chamado banco de dados SAM . Isso existe em um controlador de domínio - se você inicializar um controlador de domínio no modo de restauração , a conta usada para isso é apenas a conta do administrador local no banco de dados SAM. No entanto, quando o Windows está sendo executado normalmente, o acesso ao banco de dados SAM é desativado e nenhuma das contas nele pode ser usada. Isso significa que é impossível fazer logon com uma conta local em um controlador de domínio.

No entanto, isso pode ser feito se você estiver satisfeito em trabalhar a partir de uma linha de comando e se não precisar de acesso à rede. O truque é fazer logon como a conta do sistema local. O Windows não fornece nenhuma maneira de fazer isso, mas eu fiz isso escrevendo um servidor telnet simples, em seguida, executá-lo como um serviço usando a conta do sistema local. Quando você se conecta ao servidor telnet você está logado como a conta do sistema e não como uma conta de domínio. As únicas restrições são apenas a linha de comando e a conta do sistema não tem acesso à rede. Se você for usar um hack como esse, tenha muito cuidado com a segurança!

Embora tudo isso soe como um hack horrível, ele tem usos legítimos. Por exemplo, no trabalho, usamos uma ferramenta de gerenciamento chamada Nable que permite acesso remoto a um console em servidores, e faz isso basicamente usando a técnica descrita acima. Se eu abrir um console em um de nossos controladores de domínio e usar o comando whoami , obtenho:

Notaderodapé

OWindowsnãopossuiummétodointernoparaabrirumpromptdecomandoremoto,mas como grawity menciona em um comentário O utilitário psexec da SysInternals pode fazer isso, e os utilitários da SysInternals são fornecidos e suportados pela Microsoft, então isso é pelo menos semi oficial . Usando psexec em um dos meus servidores eu recebo:

D:\temp\psexec>psexec64 \cheddar -s cmd.exe

PsExec v2.2 - Execute processes remotely
Copyright (C) 2001-2016 Mark Russinovich
Sysinternals - www.sysinternals.com


Microsoft Windows [Version 10.0.17134.345]
(c) 2018 Microsoft Corporation. All rights reserved.

C:\Windows\system32>whoami
nt authority\system

C:\Windows\system32>exit
cmd.exe exited on cheddar with error code 0.

    

Answer 2

Não, isso não é possível. Os controladores de domínio não possuem seu próprio banco de dados de autenticação. Ele é substituído pelo Active Directory quando promovido a um controlador de domínio.