GPO para cambio de contraseña controlado

Esto lo puedes hacer mediante un script .vbs que ejecutarás en el servidor.
Lo puedes poner en el escritorio, editarlo para cambiar la password y
ejecutarlo. La complejidad de la clave debe coincidir con la que tengas
establecida en la GPO del dominio, donde además tendrás que establecer la
frecuencia mínima del cambio de contraseña a 1 día (deberás probarlo, pues
quizá tengas que reducirlo a 0 para que te permita el cambio todos los días
a la misma hora, ya que si lo ejecutas de forma manual es posible que no
hayan transcurrido 24 horas exactas desde el cambio del día anterior).
El script sería similar al siguiente:

Set clave = "LaContraseña99!#"
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave

y así. Esto si les quieres poner la misma clave a todos. Por supuesto, si
son muchos el código se puede hacer más elegante, con un bucle que lea los
nombres de usuarios de la OU y les vaya cambiando las claves.
Si en vez de que tengan todos la misma las quieres diferentes, en lugar de
especificarla al principio les pones en cada línea la que quieras.

Y si lo quieres automatizar, podrías crear un fichero de texto con las
claves de todo el mes en el que cada línea tenga el día del mes y la clave
correspondiente, separadas por comas. Al principio del script haces una
lectura del fichero en la que busques la línea cuyo primer campo coincida
con el día del mes en que estás, y el segundo campo sería la contraseña a
establecer a los usuarios. De esta forma puedes programar la ejecución del
.vbs todos los días a primera hora y sólo tendrás que actualizar una vez al
mes el fichero de contraseñas. Quedaría algo así como lo siguiente:

Const ForReading = 1
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & strComputer & "oot\cimv2")
Set colItems = objWMIService.ExecQuery("Select * from Win32_LocalTime")
For Each objItem in colItems
hoy = objItem.Day
Next

Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objTextFile = objFSO.OpenTextFile _
("c:\scripts\passwords.txt", ForReading)
Do Until objTextFile.AtEndOfStream
strNextLine = objTextFile.Readline
arrClaves = Split(strNextLine , ",")
If arrClaves(0) = hoy then
clave = arrClaves(1)
End If
Next
Loop
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave


Pruébalo y nos cuentas.

Un saludo
José Antonio Quílez


"zubero" escribió en el mensaje de
noticias:

Buenas noches:

Disponemos de una infraestructura de Directorio Activo montada sobre
Windows Server 2003.

El problema surge por la necesidad de poder modificar diariamente (o
periódicamente cuando se establezca) la contraseña de 11 usuarios
"visitantes" del dominio de forma automática y pudiendo asignar
automáticamente una contraseña concreta. ¿Es eso posible?

Habíamos pensado en algún tipo de GPO que permitiera programar un cambio
de
contraseña diario para esos 11 usuarios contenidos en una OU, pero
pudiendo
el administrador escoger la contraseña que se asignará, en vez de que se
le
solicite al usuario cambiarla. ¿Se puede hacer esto con GPO's? Si no es
así, ¿conocen alguna forma de hacerlo?


Gracias de antemano por su ayuda.

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

José Antonio Quílez [MS MVP] wrote in
news::

Esto lo puedes hacer mediante un script .vbs que ejecutarás en el
servidor. Lo puedes poner en el escritorio, editarlo para cambiar la
password y ejecutarlo. La complejidad de la clave debe coincidir con
la que tengas establecida en la GPO del dominio, donde además tendrás
que establecer la frecuencia mínima del cambio de contraseña a 1 día
(deberás probarlo, pues quizá tengas que reducirlo a 0 para que te
permita el cambio todos los días a la misma hora, ya que si lo
ejecutas de forma manual es posible que no hayan transcurrido 24 horas
exactas desde el cambio del día anterior). El script sería similar al
siguiente:

Set clave = "LaContraseña99!#"
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave

y así. Esto si les quieres poner la misma clave a todos. Por supuesto,
si son muchos el código se puede hacer más elegante, con un bucle que
lea los nombres de usuarios de la OU y les vaya cambiando las claves.
Si en vez de que tengan todos la misma las quieres diferentes, en
lugar de especificarla al principio les pones en cada línea la que
quieras.

Y si lo quieres automatizar, podrías crear un fichero de texto con las
claves de todo el mes en el que cada línea tenga el día del mes y la
clave correspondiente, separadas por comas. Al principio del script
haces una lectura del fichero en la que busques la línea cuyo primer
campo coincida con el día del mes en que estás, y el segundo campo
sería la contraseña a establecer a los usuarios. De esta forma puedes
programar la ejecución del .vbs todos los días a primera hora y sólo
tendrás que actualizar una vez al mes el fichero de contraseñas.
Quedaría algo así como lo siguiente:

Const ForReading = 1
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & strComputer &
"oot\cimv2") Set colItems = objWMIService.ExecQuery("Select * from
Win32_LocalTime") For Each objItem in colItems
hoy = objItem.Day
Next

Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objTextFile = objFSO.OpenTextFile _
("c:\scripts\passwords.txt", ForReading)
Do Until objTextFile.AtEndOfStream
strNextLine = objTextFile.Readline
arrClaves = Split(strNextLine , ",")
If arrClaves(0) = hoy then
clave = arrClaves(1)
End If
Next
Loop
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave


Pruébalo y nos cuentas.

Un saludo
José Antonio Quílez


"zubero" escribió en el mensaje de
noticias:

Buenas noches:

Disponemos de una infraestructura de Directorio Activo montada sobre
Windows Server 2003.

El problema surge por la necesidad de poder modificar diariamente (o
periódicamente cuando se establezca) la contraseña de 11 usuarios
"visitantes" del dominio de forma automática y pudiendo asignar
automáticamente una contraseña concreta. ¿Es eso posible?

Habíamos pensado en algún tipo de GPO que permitiera programar un
cambio de
contraseña diario para esos 11 usuarios contenidos en una OU, pero
pudiendo
el administrador escoger la contraseña que se asignará, en vez de que
se le
solicite al usuario cambiarla. ¿Se puede hacer esto con GPO's? Si no
es así, ¿conocen alguna forma de hacerlo?


Gracias de antemano por su ayuda.

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

Buenas noches, José Antonio:

Ante todo, muchas gracias por tu ayuda. Realmente tu respuesta ha sido
muy clarificadora y completa. En cuanto la pruebe os comento el
resultado.

Sólo unas dudas que me han surgido a raíz de tu respuesta:
1ª. Corrígeme si me equivoco, pero aunque la política de cambio de
contraseña es una GPO a nivel de dominio, ¿no se podría aplicar algún
tipo de directiva a nivel de OU? P. ej., existe una directiva de
contraseñas (en Configuración del equipo, Configuración de Windows,
Configuración de seguridad, Directivas de cuenta, Directiva de
contraseñas) que permite establecer la vigencia máxima/mínima de la
contraseña. Con esta directiva aplicada a una OU que contenga los
usuarios afectados, ¿no se podría programar la tarea de cambio de
contraseña diaria sin afectar al resto? De lo contrario, habría que
crear un subdominio donde ubicar esos usuarios y aplicar sobre este
nuevo dominio la GPO de cambio de contraseñas, ¿correcto?
2ª. Si no es mucho pedir, ¿cómo se haría para que cada usuario pudiera
obtener una contraseña diferente del archivo de passwords? Aunque sea
una pincelada para poderlo modificar yo mismo. Creo haber entendido que,
en el segundo script, cambiaría la contraseña de todos los usuarios,
según el día, pero utilizando la misma, ¿no?
3ª. Por tu experiencia, ¿me podrías recomendar algún libro o URL para
empezar con vbscript y poderlo orientar a AD? Hay diversos comandos que
no veo muy claros o soy incapaz de entender (p. ej. ¿cómo se "enlaza la
clave correspondiente del archivo con el usuario) y, ya que estoy, si
profundizo un poco más en el tema, seguramente me vendrá bien.


Gracias nuevamente.


Saludos,

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

1) No; en Server 2003 y anteriores la única política de contraseñas válida
es la que se establece a nivel de dominio. El resto se ignoran.

2) En el archivo de claves, pones en primer lugar el número del día del mes,
y a continuación, y separadas por comas, las claves de los 4 usuarios.
Para leerlas, cambia el código que lée una sola clave por el siguiente:

If arrClaves(0) = hoy then
clave1 = arrClaves(1)
clave2 = arrClaves(2)
clave3 = arrClaves(3)
clave4 = arrClaves(4)
End If

y para cada usuario, cuando le asignas la clave, en lugar de usar "clave"
usa "clave1", "clave2", etc., por ejemplo:

objUser.SetPassword clave3

El código es muy mejorable, y se puede simplificar muchísimo (prácticamente
queda en un par de líneas usando directamente arrClaves(n) y un bucle, pero
así lo entenderás mucho mejor.

3) En cuanto a una url sobre scripting, la mejor que conozco es la propia de
Microsoft Technet:
http://www.microsoft.com/technet/sc...fault.mspx

De libros sobre el tema no te puedo decir, pero si vas a una librería busca
libros sobre Visual Basic Script (vbs).

Un saludo

José Antonio Quílez {MS MVP]



"zubero" escribió en el mensaje de
noticias:

José Antonio Quílez [MS MVP] wrote in
news::

Esto lo puedes hacer mediante un script .vbs que ejecutarás en el
servidor. Lo puedes poner en el escritorio, editarlo para cambiar la
password y ejecutarlo. La complejidad de la clave debe coincidir con
la que tengas establecida en la GPO del dominio, donde además tendrás
que establecer la frecuencia mínima del cambio de contraseña a 1 día
(deberás probarlo, pues quizá tengas que reducirlo a 0 para que te
permita el cambio todos los días a la misma hora, ya que si lo
ejecutas de forma manual es posible que no hayan transcurrido 24 horas
exactas desde el cambio del día anterior). El script sería similar al
siguiente:

Set clave = "LaContraseña99!#"
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave

y así. Esto si les quieres poner la misma clave a todos. Por supuesto,
si son muchos el código se puede hacer más elegante, con un bucle que
lea los nombres de usuarios de la OU y les vaya cambiando las claves.
Si en vez de que tengan todos la misma las quieres diferentes, en
lugar de especificarla al principio les pones en cada línea la que
quieras.

Y si lo quieres automatizar, podrías crear un fichero de texto con las
claves de todo el mes en el que cada línea tenga el día del mes y la
clave correspondiente, separadas por comas. Al principio del script
haces una lectura del fichero en la que busques la línea cuyo primer
campo coincida con el día del mes en que estás, y el segundo campo
sería la contraseña a establecer a los usuarios. De esta forma puedes
programar la ejecución del .vbs todos los días a primera hora y sólo
tendrás que actualizar una vez al mes el fichero de contraseñas.
Quedaría algo así como lo siguiente:

Const ForReading = 1
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & strComputer &
"oot\cimv2") Set colItems = objWMIService.ExecQuery("Select * from
Win32_LocalTime") For Each objItem in colItems
hoy = objItem.Day
Next

Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objTextFile = objFSO.OpenTextFile _
("c:\scripts\passwords.txt", ForReading)
Do Until objTextFile.AtEndOfStream
strNextLine = objTextFile.Readline
arrClaves = Split(strNextLine , ",")
If arrClaves(0) = hoy then
clave = arrClaves(1)
End If
Next
Loop
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave


Pruébalo y nos cuentas.

Un saludo
José Antonio Quílez


"zubero" escribió en el mensaje de
noticias:

Buenas noches:

Disponemos de una infraestructura de Directorio Activo montada sobre
Windows Server 2003.

El problema surge por la necesidad de poder modificar diariamente (o
periódicamente cuando se establezca) la contraseña de 11 usuarios
"visitantes" del dominio de forma automática y pudiendo asignar
automáticamente una contraseña concreta. ¿Es eso posible?

Habíamos pensado en algún tipo de GPO que permitiera programar un
cambio de
contraseña diario para esos 11 usuarios contenidos en una OU, pero
pudiendo
el administrador escoger la contraseña que se asignará, en vez de que
se le
solicite al usuario cambiarla. ¿Se puede hacer esto con GPO's? Si no
es así, ¿conocen alguna forma de hacerlo?


Gracias de antemano por su ayuda.

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

Buenas noches, José Antonio:

Ante todo, muchas gracias por tu ayuda. Realmente tu respuesta ha sido
muy clarificadora y completa. En cuanto la pruebe os comento el
resultado.

Sólo unas dudas que me han surgido a raíz de tu respuesta:
1ª. Corrígeme si me equivoco, pero aunque la política de cambio de
contraseña es una GPO a nivel de dominio, ¿no se podría aplicar algún
tipo de directiva a nivel de OU? P. ej., existe una directiva de
contraseñas (en Configuración del equipo, Configuración de Windows,
Configuración de seguridad, Directivas de cuenta, Directiva de
contraseñas) que permite establecer la vigencia máxima/mínima de la
contraseña. Con esta directiva aplicada a una OU que contenga los
usuarios afectados, ¿no se podría programar la tarea de cambio de
contraseña diaria sin afectar al resto? De lo contrario, habría que
crear un subdominio donde ubicar esos usuarios y aplicar sobre este
nuevo dominio la GPO de cambio de contraseñas, ¿correcto?
2ª. Si no es mucho pedir, ¿cómo se haría para que cada usuario pudiera
obtener una contraseña diferente del archivo de passwords? Aunque sea
una pincelada para poderlo modificar yo mismo. Creo haber entendido que,
en el segundo script, cambiaría la contraseña de todos los usuarios,
según el día, pero utilizando la misma, ¿no?
3ª. Por tu experiencia, ¿me podrías recomendar algún libro o URL para
empezar con vbscript y poderlo orientar a AD? Hay diversos comandos que
no veo muy claros o soy incapaz de entender (p. ej. ¿cómo se "enlaza la
clave correspondiente del archivo con el usuario) y, ya que estoy, si
profundizo un poco más en el tema, seguramente me vendrá bien.


Gracias nuevamente.


Saludos,

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

José Antonio Quílez [MS MVP] wrote in
news::

1) No; en Server 2003 y anteriores la única política de contraseñas
válida es la que se establece a nivel de dominio. El resto se ignoran.

2) En el archivo de claves, pones en primer lugar el número del día
del mes, y a continuación, y separadas por comas, las claves de los 4
usuarios. Para leerlas, cambia el código que lée una sola clave por el
siguiente:

If arrClaves(0) = hoy then
clave1 = arrClaves(1)
clave2 = arrClaves(2)
clave3 = arrClaves(3)
clave4 = arrClaves(4)
End If

y para cada usuario, cuando le asignas la clave, en lugar de usar
"clave" usa "clave1", "clave2", etc., por ejemplo:

objUser.SetPassword clave3

El código es muy mejorable, y se puede simplificar muchísimo
(prácticamente queda en un par de líneas usando directamente
arrClaves(n) y un bucle, pero así lo entenderás mucho mejor.

3) En cuanto a una url sobre scripting, la mejor que conozco es la
propia de Microsoft Technet:
http://www.microsoft.com/technet/sc...fault.mspx

De libros sobre el tema no te puedo decir, pero si vas a una librería
busca libros sobre Visual Basic Script (vbs).

Un saludo

José Antonio Quílez {MS MVP]



"zubero" escribió en el mensaje de
noticias:

José Antonio Quílez [MS MVP] wrote in
news::

Esto lo puedes hacer mediante un script .vbs que ejecutarás en el
servidor. Lo puedes poner en el escritorio, editarlo para cambiar la
password y ejecutarlo. La complejidad de la clave debe coincidir
con la que tengas establecida en la GPO del dominio, donde además
tendrás que establecer la frecuencia mínima del cambio de contraseña
a 1 día (deberás probarlo, pues quizá tengas que reducirlo a 0 para
que te permita el cambio todos los días a la misma hora, ya que si
lo ejecutas de forma manual es posible que no hayan transcurrido 24
horas exactas desde el cambio del día anterior). El script sería
similar al siguiente:

Set clave = "LaContraseña99!#"
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave

y así. Esto si les quieres poner la misma clave a todos. Por
supuesto, si son muchos el código se puede hacer más elegante, con
un bucle que lea los nombres de usuarios de la OU y les vaya
cambiando las claves. Si en vez de que tengan todos la misma las
quieres diferentes, en lugar de especificarla al principio les pones
en cada línea la que quieras.

Y si lo quieres automatizar, podrías crear un fichero de texto con
las claves de todo el mes en el que cada línea tenga el día del mes
y la clave correspondiente, separadas por comas. Al principio del
script haces una lectura del fichero en la que busques la línea cuyo
primer campo coincida con el día del mes en que estás, y el segundo
campo sería la contraseña a establecer a los usuarios. De esta forma
puedes programar la ejecución del .vbs todos los días a primera hora
y sólo tendrás que actualizar una vez al mes el fichero de
contraseñas. Quedaría algo así como lo siguiente:

Const ForReading = 1
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & strComputer &
"oot\cimv2") Set colItems = objWMIService.ExecQuery("Select * from
Win32_LocalTime") For Each objItem in colItems
hoy = objItem.Day
Next

Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objTextFile = objFSO.OpenTextFile _
("c:\scripts\passwords.txt", ForReading)
Do Until objTextFile.AtEndOfStream
strNextLine = objTextFile.Readline
arrClaves = Split(strNextLine , ",")
If arrClaves(0) = hoy then
clave = arrClaves(1)
End If
Next
Loop
Set objUser = GetObject _
("LDAP://cn=usuario1,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave
Set objUser = GetObject _
("LDAP://cn=usuario2,ou=visitantes,dc=dominio,dc=local")
objUser.SetPassword clave


Pruébalo y nos cuentas.

Un saludo
José Antonio Quílez


"zubero" escribió en el mensaje de
noticias:

Buenas noches:

Disponemos de una infraestructura de Directorio Activo montada
sobre Windows Server 2003.

El problema surge por la necesidad de poder modificar diariamente
(o periódicamente cuando se establezca) la contraseña de 11
usuarios "visitantes" del dominio de forma automática y pudiendo
asignar automáticamente una contraseña concreta. ¿Es eso posible?

Habíamos pensado en algún tipo de GPO que permitiera programar un
cambio de
contraseña diario para esos 11 usuarios contenidos en una OU, pero
pudiendo
el administrador escoger la contraseña que se asignará, en vez de
que se le
solicite al usuario cambiarla. ¿Se puede hacer esto con GPO's? Si
no es así, ¿conocen alguna forma de hacerlo?


Gracias de antemano por su ayuda.

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

Buenas noches, José Antonio:

Ante todo, muchas gracias por tu ayuda. Realmente tu respuesta ha
sido muy clarificadora y completa. En cuanto la pruebe os comento el
resultado.

Sólo unas dudas que me han surgido a raíz de tu respuesta:
1ª. Corrígeme si me equivoco, pero aunque la política de cambio de
contraseña es una GPO a nivel de dominio, ¿no se podría aplicar algún
tipo de directiva a nivel de OU? P. ej., existe una directiva de
contraseñas (en Configuración del equipo, Configuración de Windows,
Configuración de seguridad, Directivas de cuenta, Directiva de
contraseñas) que permite establecer la vigencia máxima/mínima de la
contraseña. Con esta directiva aplicada a una OU que contenga los
usuarios afectados, ¿no se podría programar la tarea de cambio de
contraseña diaria sin afectar al resto? De lo contrario, habría que
crear un subdominio donde ubicar esos usuarios y aplicar sobre este
nuevo dominio la GPO de cambio de contraseñas, ¿correcto?
2ª. Si no es mucho pedir, ¿cómo se haría para que cada usuario
pudiera obtener una contraseña diferente del archivo de passwords?
Aunque sea una pincelada para poderlo modificar yo mismo. Creo haber
entendido que, en el segundo script, cambiaría la contraseña de todos
los usuarios, según el día, pero utilizando la misma, ¿no?
3ª. Por tu experiencia, ¿me podrías recomendar algún libro o URL para
empezar con vbscript y poderlo orientar a AD? Hay diversos comandos
que no veo muy claros o soy incapaz de entender (p. ej. ¿cómo se
"enlaza la clave correspondiente del archivo con el usuario) y, ya
que estoy, si profundizo un poco más en el tema, seguramente me
vendrá bien.


Gracias nuevamente.


Saludos,

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional

Muchas gracias por tu ayuda, José Antonio.
En cuanto lo pruebe os cuento qué tal ha sido el resultado.


Saludos,

Carlos Jiménez
CCNA, CEH
Microsoft Certified Professional