Domain Win2K3 : gros trou de sécu et pb ntbackup

Recherche :

Dernière réponse
Sujet : Domain Win2K3 : gros trou de sécu et pb ntbackup
Slyde	Je zieutterais quand je passerais sur le serveur dans la semaine. De mémoire, l'utilisateur, SYSTEM, administrateurs, CREATEUR PROPRIETAIRE.

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

Slyde

Je zieutterais quand je passerais sur le serveur dans la semaine.

De mémoire, l'utilisateur, SYSTEM, administrateurs, CREATEUR PROPRIETAIRE.

Jef34

Effectivement, comme dit plus haut. C'est normal que le user ait accès.

Par contre les droits d'admin.. strange.

Tu peux nous filer les ACL sur les partages en question ?

Démarrer, exécuter, cacls nomdurépertoire

Vérifie les autorisations de partages.

Slyde

et pour mon supair NTbackup qui me colle un miniQIC au lieu du Travan, je fais la tache à la main via les taches planifiées ?

Slyde

zupstyle a écrit :

t'es sur jef?

Ah ben je confirme que ça marche et que c'est emmerdant [:slyde]

J'ai du tester avec le groupe de sécu 'admins du domaine' et 'administrateurs', c'est pareil ça passe avec les deux.

El Pollo Diablo

Ca par contre c'est pas normal effectivement.

zupstyle

yep pollo mais ce que je capte pas c'est qu'il ait des droits d'admin alors que sur le domaine il est simple user O_o

El Pollo Diablo

zupstyle a écrit :

les autorisations se base sur les SID, donc jvois pas comment y'aurai de pb O_o
en même temps je ne procède jamais ainsi*

C'est plus compliqué que ça : quand t'es pas loggué avec un compte du domaine (ou sur une machine hors-domaine) et que tu veux te connecter a par exemple des partages sur un serveur, de maniere transparente pour l'utilisateur le serveur demande une authentification a la machine cliente, qui par défaut va renvoyer les login/mdp de la session en cours, et si ils correspondent a un utilisateur du domaine, ben t'auras acces au choses pour lesquels cet utilisateur a des droits sans rien avoir a faire de plus.

El Pollo Diablo

Jef34 a écrit :

Et bien effectivement le problème est connu.

Si tu utilises un compte local
User : toto
Password : toto

Un compte AD
User : toto
Password : toto

Ben le user local pourra accéder à des ressources AD.

Il faut éviter cette similitude.

Oui mais au niveau du domaine il devrait avoir les droits du compte toto en question, qui est simple user, et la a priori il a les droits admins.

zupstyle

les autorisations se base sur les SID, donc jvois pas comment y'aurai de pb O_o
en même temps je ne procède jamais ainsi*

zupstyle

t'es sur jef?

sennastien

Jef34 a écrit :

:heink: :ouch:

sennastien

oui ca me parait louche, le compte AD/toto n'ayant clairement pas le meme SID que le compte admin local Worstation1/toto

Jef34

El Pollo Diablo

t'es sur que t'as bien mis le groupe "admins du domaine" et pas le groupe "administrateurs" sur tes partages ?

zupstyle

Faudrait voir comment ta mis en place tes groupes O_o

Slyde

oui, sauf que tata s'appelle toto, le compte local admin et le compte user sur le domaine ont le même nom et pass, et à priori c'est ça qui gène.

Je pourrais leur virer ces comptes locaux de force, c'est une solution, mais j'aimerais bien comprendre la 'logique' qui autorise l'accès d'un admin d'une machine locale à des partages accessibles uniquement à des admins du domaine. Parce que si je vire le groupe admin de l'ACL, je me fais bien jeter.

Jef34

Donc dans AD un compte
DOMAIN\toto avec son password, membre de Users

Un ordinateur WORKSTATION1 du domaine DOMAIN
Il se logue dessus.
Tout ce passe bien.

Maintenant ton user se logue en local (tu entends bien par là un compte local donc pas du domaine)
WORKSTATION1\tata

Et il se trouve alors que ce user WORKSTATION\tata a le droit d'accéder à des partages d'admin.

J'ai bien compris ?

Slyde

Non :/

prennons le cas d'une session toto avec un mot de passe soleil

Sur un poste sur le réseau, il existe en LOCAL une session toto/soleil. Elle a les droits d'admin local.

Sur l'AD, il existe une session toto/soleil, membre des users, pas des administrateurs de ce domaine.

Si l'utilisateur se loggue sur le domaine avec son compte toto, les droits sont utilisés correctement.

Si l'utilisateur se loggue en local avec son compte toto, qui je le repête, est un compte d'admin LOCAL, il a accès à tous les partages du domaine qui sont cconfigurés pour n'être accessibles qu'aux administrateurs DU DOMAINE ! [:le kneu]

Jef34

Donc tu veux dire que sur le controlleur de domaine, il existe un compte Admin qui a le meme nom et le meme mot de pass que le compte local admin sur les workstations de ton réseau. c'est ca ?

Slyde

Jef34 a écrit :

Pourquoi tes users ont des comptes d'admin du domaine ?
Change leur droit dans la console d'AD et ton problème sera résolu.

Erm, comme indiqué ils ne font pas parti du groupe admin sur le domaine. C'est leur compte, de nom identique, en local sur leur machine qui a les droits d'admin. Et c'est en se loggant en local sur cette session qu'ils peuvent acceder à tous les partages sur le domaine.

S'il faut qu'ils soient admin sur leur machine ajoute les en admin locaux ou ajoute le groupe INTERACTIVE en admin local

A priori pas besoin, en + c'est la base de mon problème [:tinostar]

Jef34

Pourquoi tes users ont des comptes d'admin du domaine ?
Change leur droit dans la console d'AD et ton problème sera résolu.

S'il faut qu'ils soient admin sur leur machine ajoute les en admin locaux ou ajoute le groupe INTERACTIVE en admin local

Slyde

4 vues [:w3c compliant]

Slyde

Bonjour,

J'ai deux problèmes bêtes avec un 2K3 SBS.

- Une machine dispose d'un compte toto local avec un mot de passe, membre de administrateur. Sur le serveur et donc le domaine, le même compte avec le même pass, avec des droits d'utilisateur. Souci, quand l'utilisateur se loggue sur la session locale sur son poste, il a les droits d'admin sur le domaine et peut donc acceder à des partages privés sur lesquels le groupe administrateurs.mondomaine ou le compte admin.mondomaine possèdent des droits. Si j'enlève les droits du compte admin.mondomaine, je me fais effectivement jeter.

Faut-il, à la base, empecher les utilisateurs de faire des sessions locales de ce genre, ou puis-je virer les droits admin sur la sécurité des partages sans souci avec NTbackup ou d'autres services windows ?

- La sauvegarde ntbackup configurée via la gestion de serveur cherche à utiliser un média MiniQIC et non Travan, du coup, erreur systématique de media non monté. Puis-je modifier un script ou la tache quelque part ou dois-je créer une tache planifiée manuellement pour spécifier dans la ligne de commande le bon media ?

Merci.