Encuentre cuentas de usuarios con contraseña configurada para que nunca caduque
¿Necesita obtener una lista de cuentas de usuario con su contraseña configurada para que nunca caduque?
Esto se puede hacer con PowerShell y la consola de usuarios de Active Directory. Le mostraré los pasos exactos para incluir estas cuentas.
No se recomienda configurar la contraseña de las cuentas de usuario para que nunca caduque y puede representar un riesgo para la seguridad. Para las cuentas de usuarios habituales, es una buena práctica contar con una política de contraseñas que requiera que los usuarios cambien su contraseña después de un período de tiempo (lo común es entre 60 y 90 días).
Hay ocasiones en las que esto no se puede evitar, como cuando se utiliza una cuenta de servicio. Muchos proveedores requieren que una cuenta se ejecute como una cuenta de servicio que tenga una contraseña que no caduque. Los administradores de Active Directory deben realizar un mantenimiento regular en Active Directory para encontrar estas cuentas potencialmente riesgosas.
El mantenimiento debe incluir la búsqueda de cuentas de usuario deshabilitadas, computadoras o cuentas de usuario no utilizadas y contraseñas configuradas para no caducar nunca. Estas cuentas identificadas deben protegerse o eliminarse, según la política de su organización. Esta publicación proporciona tres métodos diferentes para enumerar cuentas de usuario que tienen la contraseña configurada para que nunca caduque.
La contraseña de Active Directory nunca caduca
El kit de herramientas AD Pro incluye el software de informes Active Directory que puede obtener rápidamente el atributo de contraseña que nunca caduca para todas las cuentas de usuario. Vea los pasos a continuación.
Paso 1: haga clic en Informes
Abra el kit de herramientas y haga clic en informes en el menú superior.
Paso 2: seleccione el informe de estado de la contraseña
En la sección "estado de la contraseña", haga clic en el informe "Usuarios con una contraseña configurada para no caducar nunca" y luego haga clic en el botón Ejecutar.
Ahora debería tener una lista de todos los usuarios del dominio cuya contraseña está configurada para que nunca caduque. En la captura de pantalla siguiente, la herramienta encontró 17 cuentas de usuario en mi dominio.
Paso 3: exporta la lista
Puede hacer clic en el botón exportar para exportar la lista a CSV, XLSX o PDF.
El kit de herramientas incluye muchos otros informes de usuario útiles, como tiempo de contraseña incorrecto, contraseñas que caducan pronto, usuarios que no pueden cambiar las contraseñas y muchos más.
Descargue AD Pro Toolkit y pruébelo gratis.
Método 2: Obtener la contraseña que nunca caduca mediante consultas comunes
En este ejemplo, usaré las consultas comunes de la consola ADUC para enumerar todos los usuarios cuya contraseña nunca caduca.
1. Abra Usuarios y computadoras de Active Directory.
2. Haga clic en el botón Buscar de la barra de herramientas.
3. En la ventana Buscar consultas comunes, seleccione Consultas comunes y Directorio completo. Marque la casilla Contraseñas que no caducan y haga clic en el botón Buscar ahora.
Mi búsqueda arrojó tres cuentas cuyas contraseñas no caducan nunca.
Método 3: Listar usuarios con contraseña que nunca caduca usando PowerShell
En este último ejemplo, usaré el cmdlet de PowerShell search-ADaccount.
1. Abra PowerShell.
2. Escriba el siguiente comando y presione Enter.
Search-ADAccount -PasswordNeverExpires | FT Name,ObjectCkass -A
También puede utilizar el cmdlet get-aduser para obtener resultados similares.
get-aduser -filter * -properties Name, PasswordNeverExpires | where {
$_.passwordNeverExpires -eq "true" }El comando anterior filtrará todas las cuentas de usuario para el atributo PasswordNeverExpires y mostrará solo los usuarios configurados como verdadero.
Resumen
En este artículo, analizamos 3 opciones diferentes para obtener una lista de usuarios cuya contraseña nunca caduca. Hay ocasiones en las que los administradores del sistema configuran las contraseñas de las cuentas para que nunca caduquen y esto puede debilitar la seguridad de AD.
Como mencioné en este artículo, debe tener configurada una política de contraseña de dominio que requiera que los usuarios cambien su contraseña de forma regular (por ejemplo, 60 días). Para realizar un seguimiento de las cuentas que tienen habilitado el atributo de contraseña que nunca caduca, debe ejecutar informes periódicos en todas las cuentas de usuario. El kit de herramientas AD Pro hace que sea muy fácil generar informes sobre todas las cuentas de usuario.
Relacionado: Dos formas sencillas de encontrar todas las cuentas de usuario bloqueadas en Active Directory