Búsqueda de sitios web

Cómo restablecer la contraseña de administrador de dominio de Active Directory

En este artículo, veremos los escenarios de restablecimiento de contraseña de administrador de dominio de Active Directory. Es posible que lo necesite en casos en los que se hayan perdido los privilegios de administrador de dominio debido a un olvido o sabotaje deliberado por parte de un administrador que se jubila, un ataque de piratas informáticos, etc. Para restablecer con éxito una contraseña de administrador de dominio, debe tener acceso físico o remoto a la consola del controlador de dominio AD (iLO, iDRAC o consola VMware vSphere/Hyper-V/Proxmox cuando usa un DC virtual).

En este ejemplo, vamos a restablecer la contraseña de administrador en un controlador de dominio que ejecuta Windows Server 2019. Si hay más de un controlador de dominio en la red, puede restablecer la contraseña de administrador de dominio en cualquiera de ellos.

Para restablecer una contraseña de administrador de dominio, debe acceder al modo de restauración de servicios de directorio (DSRM) utilizando la contraseña de administrador de DSRM (establecida cuando Windows Server se promociona a controlador de dominio). De hecho, es una cuenta de administrador local almacenada en una base de datos SAM local en el controlador de dominio. Utilice el método 1 o 2 si no conoce la contraseña de DSRM.

¿Cómo restablecer una contraseña de administrador de dominio perdida si no conoce la contraseña de DSRM?

Inicie su servidor desde cualquier medio de instalación de Windows (puede ser una memoria USB de instalación de Windows o una imagen ISO):

  1. Prensa

    Shift+F10

    para abrir el símbolo del sistema en la pantalla de configuración de Windows;

  2. Ahora necesita saber la letra asignada a la partición donde está instalado su Windows Server. Ejecute el comando:

    wmic logicaldisk get volumename,name

    En mi ejemplo, puede ver que mi imagen de Windows Server sin conexión está en C:. Esta es la letra de la unidad que usaremos en los siguientes comandos.

    También puede identificar discos en Windows usando diskpart:

    diskpart
    ->
    list disk
    ->
    list vol

  3. Haga una copia de seguridad del archivo utilman.exe original:

    copy C:\windows\system32\utilman.exe C:\windows\system32\utilman.exebak

  4. Luego reemplace el archivo utilman.exe con el cmd.exe:

    copy c:\windows\system32\cmd.exe c:\windows\system32\utilman.exe /y

  5. Extraiga la imagen de arranque (USB/ISO) y reinicie su host:

    wpeutil reboot

  6. Una vez que se haya iniciado el controlador de dominio, haga clic en el botón "Acceso fácil" en la pantalla de inicio de sesión. Esto abrirá un símbolo del sistema;

  7. ejecutar el

    whoami

    comando para asegurarse de que el símbolo del sistema se ejecuta como NT Authority\SYSTEM;

  8. Indique información sobre la cuenta de administrador:

    net user administrator

  9. En este ejemplo, puede ver que este usuario es miembro del grupo de administradores de dominio y ahora está deshabilitado:

    Account active: No

  10. Habilite la cuenta de administrador de dominio:

    net user administrator /active:yes

  11. Ahora puede restablecer su contraseña de administrador de dominio:

    net user administrator *

    Establezca una nueva contraseña de administrador (la nueva contraseña debe coincidir con la política de contraseñas del dominio);

  12. Inicie su servidor desde el medio de instalación nuevamente y reemplace utilman.exe con el archivo original (para evitar dejar un agujero de seguridad en el servidor):

    copy c:\windows\system32\utilman.exebak c:\windows\system32\utilman.exe /y

  13. Reinicie su controlador de dominio en el modo normal y asegúrese de que ahora puede iniciar sesión en su DC con la nueva contraseña de administrador de dominio.

Restablecimiento de la contraseña de administrador de dominio en un controlador de dominio virtualizado

Si tiene un controlador de dominio virtualizado ejecutándose en cualquier hipervisor (ESXi, Hyper-V, Proxmox), puede usar el módulo de PowerShell DSInternals para restablecer la contraseña de administrador.
Para hacerlo:

  1. Apague la máquina virtual que ejecuta la función AD DS (controlador de dominio) y conecte su unidad virtual (vhdx, vmdk, etc.) a cualquier otra máquina virtual que ejecute Windows. Asígnele una letra de unidad, por ejemplo,

    E:

    ;

  2. Instale el módulo DSInternals desde la galería de PowerShell:

    Install-Module DSInternals -Force

    Los módulos de PowerShell se pueden instalar sin conexión cuando no hay una conexión a Internet disponible.

  3. Obtenga una clave de arranque utilizada para cifrar hashes de contraseña en su base de datos de AD (ntds.dit):

    $bootkey= Get-BootKey -SystemHiveFilePath "E:\Windows\System32\config\SYSTEM"

  4. Ahora puede obtener información sobre cualquier cuenta de usuario en la base de datos de AD:

    Get-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

  5. Si la cuenta del administrador del dominio está deshabilitada, habilítela y configure una nueva contraseña:

    Enable-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit"
Set-ADDBAccountPassword -SamAccountName 'administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

  6. Desconecte la unidad virtual, vuelva a conectarla a la máquina virtual de origen y encienda el controlador de dominio;

  7. Después de eso, la nueva contraseña de administrador de dominio se replicará en todos los DC.

Restablecer contraseña de administrador de dominio desde DSRM

Si conoce la contraseña de administrador de DSRM, puede iniciar su DC en DSRM seleccionando la opción adecuada en el menú Opciones de inicio avanzadas.

Introduzca el nombre de usuario local (administrador) y la contraseña (contraseña DSRM) en la pantalla de inicio de sesión.

En este ejemplo, el nombre del controlador de dominio es DC01.
Verifiquemos qué usuario inició sesión en el sistema ejecutando el comando:

whoami /user
USER INFORMATION
----------------
User Name          SID
================== ============================================
dc01\administrator S-1-5-21-3244332244-312345677-2454632109-500

Como puede ver, hemos iniciado sesión como usuario administrador local.

El siguiente paso es cambiar la contraseña de administrador de Active Directory (de forma predeterminada, la cuenta también se llama Administrador). Para restablecer la contraseña del administrador del dominio, vamos a crear un servicio que restablecerá la contraseña de la cuenta del administrador en SISTEMA:

sc create ResetADPass binPath= "%ComSpec% /k net user administrator P1SSsw0rd21!" start= auto

Nota. Tenga en cuenta que se requiere un espacio entre el signo '=' y su valor al configurar la ruta en la variable binPath. Además, la nueva contraseña debe cumplir con los requisitos del dominio en cuanto a longitud y complejidad de la contraseña.

Asegúrese de que el servicio ha sido creado:

sc qc ResetADPass
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ResetADPass
TYPE               : 10  WIN32_OWN_PROCESS
START_TYPE         : 2   AUTO_START
ERROR_CONTROL      : 1   NORMAL
BINARY_PATH_NAME   : C:\Windows\system32\cmd.exe /k net user administrator P@ssw0rd1
LOAD_ORDER_GROUP   :
TAG                : 0
DISPLAY_NAME       : ResetADPass
DEPENDENCIES       :
SERVICE_START_NAME : LocalSystem

Reinicie el controlador de dominio en el modo normal:

shutdown -r -t 0

Al iniciarse, el servicio que hemos creado cambia la contraseña del administrador del dominio a P1SSsw0rd21!. Utilice esta cuenta y contraseña para iniciar sesión en el DC.

whoami /user
USER INFORMATION
----------------
User Name             SID
===================== ============================================
corp\administrator S-1-5-21-1737425439-23123122-1234318981-500

Luego borra el servicio de Windows que acabamos de crear:

sc delete ResetADPass
[SC] DeleteService SUCCESS

En este artículo, echamos un vistazo a cómo puede restablecer la contraseña de un administrador de dominio de AD. Nos gustaría reiterar la importancia de garantizar la seguridad física de su infraestructura de TI. Si alguien que no sea personal autorizado tiene acceso local a su host físico que ejecuta sus controladores de dominio, puede restablecer fácilmente cualquier contraseña de usuario o administrador. Si necesita implementar DC en ubicaciones menos confiables, se recomienda que use una función de controlador de dominio de solo lectura (RODC).

Artículos relacionados