Tema: active-directory
-
Windows LAPS: senhas exclusivas de administrador local para o Windows Server e quem pode lê-las
O Windows LAPS (integrado ao Windows Server 2019 e 2022 com a atualização de 11 de abril de 2023 ou posterior, e ao Windows Server 2025) gera senhas aleatórias e as rotaciona automaticamente para o administrador local de cada máquina, armazenando-as no Active Directory ou no Microsoft Entra ID; no AD, os Domain Admins podem lê-las por padrão e qualquer outro leitor precisa de uma permissão delegada explicitamente.
-
Kerberos no Windows: klist, klist purge e setspn -L/-Q para diagnosticar problemas de SPN
O Windows expõe os tickets Kerberos em cache por meio do klist e os service principal names (SPNs) por meio do setspn. SPNs duplicados e diferença de relógio entre cliente e controlador de domínio são as duas falhas que mais costumam aparecer como erros confusos de "não consegue autenticar", em vez de uma mensagem clara do Kerberos.
-
Ingressar um host Linux no Active Directory com realmd e SSSD
Com realm discover e realm join, o realmd assume a configuração detalhada de Kerberos, LDAP e SSSD, e o agente não precisa editar o sssd.conf à mão; em seguida, realm permit restringe quais contas do AD podem de fato fazer login, e o sssctl mostra num só lugar o estado atual do SSSD.
-
Gerenciar usuários e grupos do Active Directory pelo PowerShell sem varrer o diretório inteiro
Get-ADUser com -Filter e -Properties, New-ADUser com senha SecureString, Add-ADGroupMember e Search-ADAccount/Unlock-ADAccount para bloqueios de conta — e por que -Filter * é uma armadilha em um diretório com dezenas de milhares de objetos.
-
Verificar a saúde do Active Directory antes de qualquer alteração: dcdiag, repadmin e os detentores das funções FSMO
Rotina de verificação de saúde de um controlador de domínio antes de alterações: dcdiag para diagnóstico local, repadmin /replsummary e /showrepl para replicação, Get-ADDomainController e netdom query fsmo para o inventário de controladores e detentores de funções, e por que a fonte de tempo do emulador de PDC importa.
-
Consultar LDAP e Active Directory no Linux com ldapsearch sem senha na linha de comando
O ldapsearch aceita bind simples com DN e senha, ou bind SASL/GSSAPI com um ticket Kerberos existente, além de resultados paginados e StartTLS/LDAPS para conexão criptografada. As opções -y e -W existem justamente para que a senha nunca precise aparecer como argumento na linha de comando.
Legível por máquina: JSON