Ejecute ADUC como otro usuario (RUNAS)
¿Está buscando una manera de ejecutar los usuarios y la computadora de Active Directory como un usuario diferente?
Entonces estás en el lugar correcto.
Es una práctica recomendada que los administradores del sistema tengan al menos dos cuentas, una con permisos regulares y otra con permisos elevados para realizar tareas administrativas.
Esto aumentará la seguridad y reducirá el riesgo de ataques maliciosos como RansomWare.
Iniciar sesión con una cuenta normal requerirá que inicie ciertos programas, como Usuarios y Computadoras de Active Directory, como un usuario diferente.
En este tutorial, le mostraré dos métodos diferentes para ejecutar programas como un usuario diferente.
Método 1: usar RUNAS
En Windows 2000, Microsoft introdujo el comando runas. Este comando está diseñado para permitir a un usuario ejecutar un programa específico con una cuenta diferente.
Para utilizar el comando runas sólo necesitas conocer la ruta al programa.
Aquí está el comando para ejecutar Usuarios y computadoras de Active Directory como un usuario diferente.
runas /netonly /user:username@domain "mmc %SystemRoot%\system32\dsa.msc"Nota: Cambie su nombre de usuario y dominio
Le pedirá una contraseña
Si recibe el siguiente error, significa que tiene UAC habilitado. Para solucionar este problema, deberá hacer clic derecho en CMD y Ejecutar como administrador.
Ahora podría estar pensando que será complicado escribir ese comando cada vez que ejecute ADUC.
Fácil solución.
Puedo simplemente poner el comando en un archivo de texto y guardarlo como un archivo .bat (archivo por lotes).
Guarde el archivo .bat en algún lugar para acceder rápidamente y luego, con solo un clic, podrá iniciar ADUC.
Guardé el mío en el escritorio.
Puede utilizar este método para otras consolas de administración.
Política de grupo
runas /netonly /user:username@domain "mmc %SystemRoot%\system32\gpmc.msc"Gestión de DNS
runas /netonly /user:username@domain "mmc %SystemRoot%\system32\dnsmgmt.msc"DHCP
runas /netonly /user:username@domain "mmc %SystemRoot%\system32\dhcpmgmt.msc"Dominios y confianzas de AD
runas /netonly /user:username@domain "mmc %SystemRoot%\system32\domain.msc"Ya entiendes la idea, simplemente encuentra el camino y conéctalo.
Método 2: crear accesos directos
Este método es muy similar al primero, solo que nos saltamos la necesidad de abrir el símbolo del sistema.
Básicamente, se trata de crear accesos directos al programa usando el comando ejecutar como.
Haga clic derecho en el escritorio o en cualquier lugar donde desee crear el acceso directo.
El acceso directo es el mismo que el método uno, solo necesita ingresar la ruta a runas.exe.
Haga clic en Siguiente
Proporcione el acceso directo y el nombre y haga clic en Finalizar
Eso es todo por el método dos.
Si no le gusta ninguno de esos métodos, existe una tercera opción y es configurar una estación de trabajo de administración segura o un servidor de terminal.
Las estaciones de trabajo de administración seguras son sistemas de uso limitado diseñados para realizar tareas administrativas. La estación de trabajo de administración debe estar bloqueada sin acceso a Internet y solo con las herramientas necesarias instaladas para reducir la huella del ataque.
Hay algunos buenos documentos de Microsoft sobre esto, son detallados. Si te tomas en serio la seguridad te recomiendo que los leas.
Protección Activos de alto valor con estaciones de trabajo de administración seguras
Estaciones de trabajo con acceso privilegiado
Para empezar esto es lo que recomiendo y lo que hago en mi entorno.
- Configurar un servidor terminal
- Instale solo las herramientas de administración necesarias (herramientas RSAT, PuTTY, acceso a consolas web)
- No hay acceso a Internet en el servidor de terminal
- Limite algunos sistemas para que solo se pueda acceder a ellos mediante la dirección IP de la estación de trabajo de administración
- Implementar autenticación de dos factores al conectarse a estaciones de trabajo de administración
Ahora, cuando mi equipo necesita realizar una tarea administrativa, debe conectarse a la estación de trabajo de administración. Dependiendo de cómo haya configurado las cuentas, esto reduciría lo que un atacante podría hacer incluso si compromete una cuenta privilegiada. Tendrían que obtener acceso a la estación de trabajo de administración y evitar la autenticación de dos factores.
Nada es a prueba de balas, pero es una forma sencilla de minimizar el riesgo.