सक्रिय निर्देशिका पासवर्ड हैश को SHA1 मान पर सेट करें?

Question

मैं बाहरी सिस्टम से उपयोगकर्ताओं को हमारे अंदर समन्वयित कर रहा हूं। मुझे उपयोगकर्ता की पासवर्ड को हमारी सक्रिय निर्देशिका में सेट करने की आवश्यकता है।

मुझे केवल बाहरी उपयोगकर्ता के पासवर्ड के SHA1 प्रदान किए गए हैं और setPassword हैश जो भी मैं इनपुट करूँगा।

• उपयोगकर्ता के unicodePwd वास्तविक हैश फ़ील्ड को सेट कर रहा है?
  • यदि हां, तो क्या मैं इसे उपलब्ध हैश पर सेट कर सकता हूं?
  • यदि नहीं, तो मैं सक्रिय निर्देशिका द्वारा हैश को कैसे सेट/कर सकता हूं?

Answer 1

जहां तक ​​मैं समझता हूँ कि आप वास्तविक हैश क्षेत्र के लिए unicodePwd निर्धारित नहीं कर सकते। आप userPasswd का उपयोग अपने स्वयं के चेक के लिए कर सकते हैं लेकिन इसका उपयोग सक्रिय निर्देशिका द्वारा नहीं किया जाता है।

Answer 2

जहाँ तक मुझे पता है, आप जो चाहते हैं वह संभव नहीं है। आपको कम से कम तीन अलग अलग प्रोटोकॉल का उपयोग ईस्वी में/सेट पासवर्ड परिवर्तित कर सकते हैं:

• LDAP (वास्तव में LDAPS)
• Kerberos Change Password Protocol
• NTLM - मुझे यकीन है कि अगर ई के नवीनतम संस्करण अभी भी यह
का समर्थन नहीं कर रहा हूँ

एम 100% सुनिश्चित है कि एलडीएपी का उपयोग नहीं किया जा सकता है, लेकिन आप अन्य दो की जांच कर सकते हैं, क्योंकि उनके साथ ऐसा करने का कोई तरीका हो सकता है।

Answer 3

एडी सिर्फ एक प्रकार का हैश स्टोर नहीं करता है। जब आप अपना पासवर्ड बदलते हैं, तो डीसी को पासवर्ड का सादा टेक्स्ट संस्करण प्राप्त होता है, इसकी जटिलता जांचता है और फिर एमडी 4, एमडी 5, पीबीकेडीएफ 2 (40 9 6 * एसएचए 1) और कई अन्य प्रकार के हैंश उत्पन्न करता है और स्टोर करता है। ऐसा इसलिए है क्योंकि प्रत्येक प्रमाणीकरण तंत्र (एनटीएलएम, केर्बेरोज, डाइजेस्ट, ...) एक अलग हैश फ़ंक्शन का उपयोग करता है और एडी को उन सभी का समर्थन करने की आवश्यकता होती है।

पासवर्ड एश विशेषताएँ इन एडी विशेषताओं में संग्रहीत हैं: यूनिकोड पीडब्ल्यूडी, डीबीसीएसपीडब्ल्यूडी, एलएमपीडब्ल्यूएचडीआईटी, एनटीपीडब्ल्यूएचआईडीआई और पूरक प्रमाणपत्र। सुरक्षा कारणों से, आप उन्हें एलडीएपी या एडीएसआई के माध्यम से नहीं पढ़ सकते हैं। लेकिन मैं हाल ही में उन्हें पुनः प्राप्त करने के लिए एक रास्ता मिल गया है और एक PowerShell cmdlet ऐसा कर सकते हैं कि बनाया है:

Get-ADReplAccount -SamAccountName John -Domain Contoso -Server LON-DC1 

वहाँ भी है एक खराब प्रलेखित तरह से विरासत SAMR protocol के माध्यम से MD4 हैश (उर्फ NT हैश) कार्य केंद्र या ई पुश करने के लिए । चूंकि इस कार्यक्षमता का खुलासा करने वाले कोई अंतर्निहित कमांड नहीं हैं, इसलिए मैंने इसे करने के लिए PowerShell cmdlets भी बनाया है।

एक NT हैश उत्पन्न करने के लिए, तो आप इस PowerShell आदेश का उपयोग कर सकते हैं:

$hash = ConvertTo-NTHash (Read-Host -AsSecureString) 

और अंत में, इस आदेश ई NT हैश धक्का:

Set-SamAccountPasswordHash -SamAccountName john -Domain ADATUM -NTHash $hash -Server dc1.adatum.com 

इन आदेशों विस्थापित करने के लिए इस्तेमाल किया जा सकता स्थानीय और डोमेन खातों या एडी और सांबा के बीच पासवर्ड। लेकिन सावधान रहें, केर्बेरोज-एईएस और डब्ल्यूडिजिस्ट प्रमाणीकरण इस खाते, केवल एनटीएलएम और केर्बेरोज-आरसी 4 के साथ काम नहीं करेगा।