Paksa pengguna logoff langsung terotentikasi (kasus darurat)

Di Active Directory jika Anda ingin mencegah pengguna masuk Anda dapat menonaktifkan akun mereka atau cukup mengatur ulang kata sandi mereka. Namun, jika Anda memiliki pengguna yang sudah masuk ke workstation dan Anda perlu mencegah mereka mengakses sumber daya apa pun secepat mungkin - bagaimana Anda melakukannya? Saya berbicara tentang situasi darurat di mana seorang pekerja dipecat dengan efek langsung dan ada risiko mereka mendatangkan malapetaka jika mereka tidak segera dikunci dari jaringan.

Beberapa hari yang lalu saya dihadapkan dengan kasus serupa. Awalnya saya tidak yakin bagaimana harus bertindak. Mencegah akses pengguna ke jaringan berbagi itu mudah tetapi ini tidak cukup. Akhirnya, saya mematikan komputer target dengan Stop-Computer -ComputerName <name> -Forcecmdlet PowerShell dan dalam kasus saya ini memecahkan masalah. Namun, dalam beberapa kasus ini mungkin bukan pilihan terbaik, katakanlah jika pengguna yang Anda perlukan untuk logon masuk di beberapa workstation atau di komputer yang menyediakan layanan penting dan Anda tidak bisa mematikannya.

Apa solusi terbaik untuk memaksakan logoff pengguna langsung dari semua workstation? Apakah ini bahkan mungkin di Direktori Aktif?

Solusi terbaik: Seorang penjaga keamanan mengawal orang keluar ...

Solusi terbaik kedua:

1. Pertama, periksa nomor sesi dengan qwinsta: QWINSTA / server: computername
2. Tuliskan ID sesi.
3. Kemudian gunakan perintah logoff: LOGOFF sessionID / server: computername.

C:\>qwinsta /?
Display information about Remote Desktop Sessions.

QUERY SESSION [sessionname | username | sessionid]
              [/SERVER:servername] [/MODE] [/FLOW] [/CONNECT] [/COUNTER] [/VM]

  sessionname         Identifies the session named sessionname.
  username            Identifies the session with user username.
  sessionid           Identifies the session with ID sessionid.
  /SERVER:servername  The server to be queried (default is current).
  /MODE               Display current line settings.
  /FLOW               Display current flow control settings.
  /CONNECT            Display current connect settings.
  /COUNTER            Display current Remote Desktop Services counters information.
  /VM                 Display information about sessions within virtual machines.


C:\>logoff /?
Terminates a session.

LOGOFF [sessionname | sessionid] [/SERVER:servername] [/V] [/VM]

  sessionname         The name of the session.
  sessionid           The ID of the session.
  /SERVER:servername  Specifies the Remote Desktop server containing the user
                      session to log off (default is current).
  /V                  Displays information about the actions performed.
  /VM                 Logs off a session on server or within virtual machine. The unique ID of the session needs to be specified.

Saya menulis naskah batch yang belum sempurna untuk itu. Saya memerlukan beberapa unixtoolsdi jalan juga psexec.

@ECHO OFF
:: Script to log a user off a remote machine
::
:: Param 1: The machine
:: Param 2: The username

psexec \\%1 qwinsta | grep %2 | sed 's/console//' | awk '{print $2}' > %tmp%\sessionid.txt
set /p sessionid=< %tmp%\sessionid.txt
del /q %tmp%\sessionid.txt
psexec \\%1 logoff %sessionid% /v

Tidak sepenuhnya berdasarkan AD, tetapi harus melakukan apa yang Anda inginkan.

Nonaktifkan atau kedaluwarsa akun

import-module activedirectory
set-aduser -identity "username" -accountexperationdate "12:09 pm"

atau

set-aduser -identity "username" -enabled $false

Kemudian log off pengguna dari mesin mereka

shutdown -m "\\computername" -l

Cara lain untuk keluar dari pengguna adalah dengan menggunakan utilitas bawaan windows, dari prompt perintah administratif

logoff 1 /SEVER:computername

Ini log dari sesi 1 dari komputer jauh. Jika Anda tidak tahu id sesi (1 adalah default) maka Anda dapat menggunakan quser terhadap mesin jarak jauh untuk menemukannya.

Anda dapat mengunci sesi pengguna dari jarak jauh dengan wmic:

1 - Pertama, ubah kata sandi pengguna:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] [NewPassword]"

2 - Kemudian, nonaktifkan akun:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] /active:no"

3 - Lalu, lepaskan sesi pengguna:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "tsdiscon"

Ini memiliki nilai tambah, karena Anda tidak akan kehilangan sesi pengguna saat ini dan karenanya ketika Anda membuka kunci workstation Anda akan dapat melihat apakah dia mencoba melakukan sesuatu yang buruk sebelum diantar ke pintu.

Semua kredit ke Command Line Kung Fu Blog . Ada banyak hal terkait keamanan / forensik gila di sana!

PEMBARUAN: Dua langkah pertama dimaksudkan untuk pengguna lokal, dalam lingkungan direktori aktif sebenarnya lebih mudah, nonaktifkan akun dan ubah kata sandi dalam AD, lalu jalankan perintah ke-3 terhadap alamat IP pengguna jahat.

Ubah saja jam masuk untuk masuk ditolak selama semua jam di properti pengguna. Itu akan segera mengeluarkan mereka dari tempat mereka masuk.