Como encontrar todos os GPOs em um domínio que definem políticas de senha?

Question

Temos vários GPOs que cresceram organicamente ao longo do tempo. Eu suponho que muitos deles estão definindo políticas de senha. Estou ciente do fato de que ele só pode ser definido uma vez em um domínio (além de PSOs e o caso especial em que um GPO está vinculado a um objeto de computador que afeta apenas as contas de usuários locais)

A pergunta é: como posso encontrar todos os GPOs em um domínio que definem políticas de senha?

    

Answer 1

Você pode usar um script que a Microsoft desenvolveu no Technet:

Verifique uma configuração em todos os GPOs (segurança, ADMX e muito mais )

Você pode exportar um GPO existente como a Diretiva de Domínio Padrão como XML (clique com o botão direito do mouse no GPO no GPMC e "Salvar Relatório" como XML) para examinar as várias "escolhas" baseadas no funcionamento do script.

Por exemplo, aqui estão alguns resultados de um GPO que define políticas de senha:

Extension xmlns:q1="http://www.microsoft.com/GroupPolicy/Settings/Security" xsi:type="q1:SecuritySettings">
        <q1:Account>
          <q1:Name>ClearTextPassword</q1:Name>
          <q1:SettingBoolean>false</q1:SettingBoolean>
          <q1:Type>Password</q1:Type>
        </q1:Account>
        <q1:Account>
          <q1:Name>LockoutBadCount</q1:Name>
          <q1:SettingNumber>0</q1:SettingNumber>
          <q1:Type>Account Lockout</q1:Type>
        </q1:Account>
        <q1:Account>
          <q1:Name>MaximumPasswordAge</q1:Name>
          <q1:SettingNumber>30</q1:SettingNumber>
          <q1:Type>Password</q1:Type>
        </q1:Account>
        <q1:Account>
          <q1:Name>MinimumPasswordAge</q1:Name>
          <q1:SettingNumber>0</q1:SettingNumber>
          <q1:Type>Password</q1:Type>
        </q1:Account>
        <q1:Account>
          <q1:Name>MinimumPasswordLength</q1:Name>
          <q1:SettingNumber>7</q1:SettingNumber>
          <q1:Type>Password</q1:Type>
        </q1:Account>
        <q1:Account>
          <q1:Name>PasswordComplexity</q1:Name>
          <q1:SettingBoolean>true</q1:SettingBoolean>
          <q1:Type>Password</q1:Type>
        </q1:Account>

Para políticas de senha, você pode usar o script com algo como a seguinte sintaxe:

.\SearchGPOsForSetting.ps1 -IsComputerConfiguration $true -Extension Security -Where Name -Is PasswordComplexity

para encontrar qualquer GPO em que a Complexidade da senha esteja definida.

Você pode modificar o script de acordo com suas próprias necessidades se entender os scripts PS, mas o básico está lá para conseguir o que você quer.