Restablecer contraseña a través del cmdlet Set-ADAccountPassword en AD

Los usuarios normalmente actualizan las contraseñas de sus cuentas de dominio utilizando el menú de configuración de Windows. Pero si olvidan su contraseña o su cuenta está desactivada, es necesario que intervenga un administrador.

Esta publicación de blog explora varias formas en que un administrador puede restablecer la contraseña de un usuario o crear una nueva. Primero, revisamos las opciones más sencillas: Usuarios y computadoras de Active Directory (ADUC) y Centro administrativo de Active Directory (ADAC). Pero como ambos tienen limitaciones, también discutiremos cómo los administradores pueden administrar las contraseñas de los usuarios de manera más efectiva usando PowerShell o herramientas de terceros.

Requisito previo: comprobar los permisos de restablecimiento de contraseña

Para restablecer la contraseña de un usuario, un administrador debe tener los permisos adecuados. De forma predeterminada, los miembros de los grupos Administradores de dominio y Operadores de cuentas están autorizados a cambiar las contraseñas de otras cuentas. También se puede delegar este derecho a otros usuarios y grupos.

Para comprobar si un determinado administrador puede restablecer la contraseña de una cuenta de usuario, siga estos pasos:

En ACUC, abra las propiedades del usuario de AD cuyos permisos desea ver.
Vaya a la pestaña Seguridad y haga clic en Avanzado.
Seleccione Acceso efectivo, ingrese el nombre de la cuenta del administrador y vea si tiene la autoridad para Restablecer contraseña.

Restablecer contraseñas usando ADUC y ADAC

Los administradores tienen dos opciones basadas en GUI para restablecer las contraseñas de los usuarios: Usuarios y computadoras de Active Directory (ADUC) y Centro administrativo de Active Directory (ADAC).

Restablecer contraseña usando ADUC

Para restablecer la contraseña de un usuario usando ADUC, siga estos pasos:

Si conoce la ubicación del usuario en AD cuya contraseña desea cambiar, navegue hasta él, haga clic derecho y elija Restablecer contraseña.
Si no conoce la ubicación del usuario en AD, busque el usuario haciendo clic derecho en el dominio y seleccionando Buscar:
Introduzca el nombre del usuario y haga clic en Buscar ahora. Luego, haga clic derecho en el nombre en los resultados de búsqueda y elija Restablecer contraseña.
En el cuadro de diálogo Restablecer contraseña:
- Ingrese una nueva contraseña y confírmela ingresándola nuevamente.
- Seleccione la casilla de verificación El usuario debe cambiar la contraseña en el próximo inicio de sesión para obligar al usuario a cambiar la contraseña en el próximo inicio de sesión.
- Si la cuenta de usuario fue bloqueada por la política de seguridad de AD debido a múltiples intentos de inicio de sesión con una contraseña incorrecta, puede desbloquear la cuenta seleccionando la casilla de verificación Desbloquear la cuenta del usuario.
Haga clic en Aceptar.

Restablecer contraseña usando ADAC

El proceso para restablecer contraseñas usando ADAC es bastante similar al usado para ADUC. Aquí hay capturas de pantalla de los pasos clave:

Restablecer contraseñas usando PowerShell

Si bien ADUC y ADAC proporcionan una forma sencilla de restablecer la contraseña de un solo usuario, no son útiles cuando se trata de cambiar las contraseñas de numerosos usuarios. Para ello, los administradores necesitan PowerShell. PowerShell le permite restablecer rápidamente las contraseñas de los usuarios de AD de forma masiva e incluso crear automáticamente contraseñas aleatorias complicadas.

Set-ADAccountPassword: Sintaxis

Comencemos con el cmdlet Set-ADAccountPassword, que establece una contraseña para un usuario, computadora o cuenta de servicio. La sintaxis de este cmdlet es la siguiente:

Set-ADAccountPassword [-WhatIf] [-Confirm] [-AuthType <ADAuthType>] [-Credential <PSCredential>] [-Identity] <ADAccount> [-NewPassword <SecureString>] [-OldPassword <SecureString>] [-Partition <String>] [-PassThru] [-Reset] [-Server <String>] [<CommonParameters>]

Set-ADAccountPassword: Parámetros

Estos son los parámetros clave que debe conocer:

Parameter: Solía
AuthType: Especifique el método de autenticación a utilizar. Los valores válidos son:
Negociar o 0 (predeterminado)
Básico o 1
Confirm: Muestra un mensaje de confirmación antes de ejecutar el comando.
Credentials: Ejecute el comando o script usando credenciales alternativas.
Identity: Especifique el objeto de Active Directory para el cual se requiere la operación de restablecimiento de contraseña. Utilice los siguientes valores:
Nombre distinguido
GUID
Identificador de seguridad (ObjectSid)
Nombre de cuenta SAM
NewPassword: Especifique la nueva contraseña.
Server: Especifique el nombre de dominio completo (FQDN) de uno de los siguientes:
FQDN del dominio
FQDN del servidor de directorio
FQDN con el número de puerto del dominio o servidor de directorio Uno de los siguientes servicios debe implementarse en su entorno para este parámetro:
Servicios de dominio de Active Directory
Instancia de instantánea de Active Directory

OldPassword: Proporcione la contraseña anterior al cambiar la contraseña.
Partition: Especifique la partición de Active Directory a la que está conectado, si no es la partición predeterminada.
PassThru: Mostrar detalles sobre el objeto de usuario.
Reset: Restablecer la contraseña de un objeto; También se debe especificar el parámetro NewPassword.
Server: Especifique el nombre de dominio completo (FQDN) de uno de los siguientes:
FQDN del dominio
FQDN del servidor de directorio
FQDN con el número de puerto del dominio o servidor de directorio
Uno de los Se deben implementar los siguientes servicios en su entorno para este parámetro:
Servicios de dominio de Active Directory
Instancia de instantánea de Active Directory
Servicios de dominio ligeros de Active Directory
WhatIf: Vea cuál sería el resultado del cmdlet sin ejecutarlo.

Ahora veamos algunos ejemplos del uso del cmdlet Set-ADAccountPassword.

Restablecer una contraseña de usuario de AD

Ejecute el siguiente comando para restablecer la contraseña de una cuenta de usuario. Se le solicitará la contraseña nueva y antigua para esa cuenta.

Set-ADAccountPassword -Identity AbbeyCrawford

Set-ADAccountPassword -Identity "CN=AbbeyCrawford,OU=VersaCorp,DC=milkyway,DC=local"

Como alternativa, primero puede almacenar la contraseña en una variable y luego usarla en el cmdlet para restablecer la contraseña:

$Pwd = ConvertTo-SecureString "MyNewPassword@123" -AsPlainText -Force Set-ADAccountPassword -Identity AbbeyWarren -NewPassword $Pwd -Reset

La ejecución de estos cmdlets no mostrará ningún resultado en la consola de PowerShell.

Para obtener resultados, necesitamos agregar el parámetro -PassThru. A continuación se muestra un ejemplo que utiliza este parámetro, así como un par de parámetros adicionales:

Set-ADAccountPassword abbeywarren -Reset -NewPassword (ConvertTo-SecureString -AsPlainText “NewP@ssw0rd123” -Force -Verbose) –PassThru

Desbloquee una cuenta mientras restablece su contraseña

La cuenta de un usuario puede bloquearse si ingresa una contraseña incorrecta demasiadas veces, como se establece en la política de bloqueo de cuentas. En ese caso, el usuario verá un error como el siguiente:

Un administrador puede desbloquear la cuenta desde la página "Propiedades" del usuario en ADUC:

Alternativamente, puedes simplemente desbloquear la cuenta mientras restableces su contraseña usando el parámetro Unlock-ADAccount con una canalización:

Set-ADAccountPassword abbeywarren -Reset –NewPassword $PWD –PassThru | Unlock-ADAccount

Obligar al usuario a cambiar la contraseña en el siguiente inicio de sesión

Para obligar a un usuario a cambiar su contraseña la próxima vez que inicie sesión en el dominio, puede utilizar el comando Set-ADUser:

Set-ADUser -Identity abbeywarren -ChangePasswordAtLogon $true

También puede cambiar la contraseña del usuario y obligarlo a cambiar la contraseña en el próximo inicio de sesión con un solo comando:

Set-ADAccountPassword abbeycrawford -NewPassword $Pwd -Reset -PassThru | Set-ADuser -ChangePasswordAtLogon $True

La ejecución de este comando permitirá que el usuario deba cambiar la contraseña en la siguiente opción de inicio de sesión, como se muestra a continuación:

Restablecer una contraseña usando una credencial alternativa

Normalmente los administradores tienen dos cuentas: una cuenta de usuario estándar y una cuenta de administrador. Para cambiar la contraseña de un usuario con su cuenta privilegiada mientras inicia sesión en su cuenta estándar, use el parámetro -Credencial

Primero, almacene sus credenciales de administrador en una variable:

$Credentials = Get-Credential

Este comando le solicita que proporcione las credenciales que se almacenarán:

Luego podemos usar la siguiente variable para almacenar la nueva contraseña del usuario:

$Pwd = ConvertTo-SecureString "MyNewPassword@123" -AsPlainText -Force

Luego usamos ambas variables en Set-ADAccountPassword:

Set-ADAccountPassword -Identity abbeywarren -NewPassword $Pwd -Credential $Credential

Verificar los resultados del restablecimiento de contraseña

Para verificar que una contraseña se restableció correctamente, use el comando Get-ADUser para verificar la fecha y hora en que se cambió la contraseña por última vez:

Get-ADUser abbeywarren -Properties * | select name, pass*

Restablecer contraseñas para varios usuarios al mismo valor

A veces es necesario restablecer las contraseñas de los usuarios de forma masiva. Por ejemplo, suponga que desea establecer la misma contraseña para todos los usuarios del departamento de Ingeniería y exigir que esos usuarios cambien sus contraseñas la próxima vez que inicien sesión. Simplemente use Get-ADUser con el parámetro -Filter para elegir los usuarios cuyo “departamento” El valor se establece en "Ingeniería" y los canaliza al cmdlet Set-ADAccountPassword:

Get-ADUser -filter "department -eq 'Engineering'" | Set-ADAccountPassword -NewPassword $Pwd -Reset -PassThru | Set-ADuser -ChangePasswordAtLogon $True

Podemos verificar los resultados mostrando las propiedades de la contraseña de los usuarios:

Get-ADUser -filter "department -eq 'Engineering'" -Properties * | select name, pass*

Restablecer contraseñas para varios usuarios a valores diferentes

Ahora suponga que tiene un archivo CSV o Excel que enumera varios usuarios que necesitan restablecer su contraseña junto con la contraseña que se asignará a cada usuario:

Ejecute el siguiente script de PowerShell para cambiar la contraseña de cada cuenta de usuario en el archivo CSV:

Import-Csv c:\temp\users_new_passwords.csv -Delimiter "," | Foreach {

$NewPassword = ConvertTo-SecureString -AsPlainText $_.NewPassword -Force

Set-ADAccountPassword -Identity $_.sAMAccountName -NewPassword $NewPassword -Reset -PassThru | Set-ADUser -ChangePasswordAtLogon $false

}

Simplificando la gestión de contraseñas con Netwrix GroupID

Netwrix GroupID simplifica la administración de contraseñas al proporcionar portales fáciles de usar tanto para usuarios empresariales como para equipos de asistencia técnica. Cuando se modifica cualquier objeto AD utilizando los portales, se envía una notificación por correo electrónico a los destinatarios designados para alertarlos sobre los cambios.

Portal de usuario

El portal de usuario permite a los usuarios empresariales hacer lo siguiente por su cuenta:

Cambiar su contraseña
Restablecer su contraseña
Desbloquear su cuenta

Aquí está el cuadro de diálogo para que el usuario cambie su contraseña en Netwrix GroupID:

Portal de asistencia técnica

Al utilizar el portal del servicio de asistencia técnica, los usuarios del servicio de asistencia técnica pueden realizar las siguientes operaciones en nombre de los usuarios:

Restablecer la contraseña de un usuario
Desbloquear la cuenta de un usuario

Aquí está el cuadro de diálogo para cambiar la contraseña de un usuario:

Aquí está el cuadro de diálogo para desbloquear la cuenta de un usuario:

Los usuarios de la mesa de ayuda pueden usar las opciones Panel de control, Historial y Actualizaciones en vivo del portal de la mesa de ayuda para monitorear la actividad del usuario en el portal de usuarios:

Conclusión

La mayoría de los tickets del servicio de asistencia técnica de TI se relacionan con contraseñas olvidadas y cuentas bloqueadas. Si bien ADUC y ADAC facilitan el restablecimiento de una contraseña de usuario único, no son adecuados para tareas más complejas. PowerShell llena ese vacío al permitir a los administradores restablecer contraseñas de forma masiva y mucho más.

Para obtener una herramienta poderosa que simplifique la administración de contraseñas tanto para los usuarios como para los equipos de asistencia técnica, consulte Netwrix GroupID.