Шпаргалка — Cheat Sheet

Все важные команды, порты и настройки в одном месте. Копируются в один клик.

Сравнительные таблицы Active Directory

Быстрое сравнение похожих сущностей без повтора подробной теории из тем.

Роли FSMO

Кто отвечает за уникальную операцию и что случится при недоступности

Роль	Область	Назначение	Если недоступна
Schema Master	Forest	Изменение Schema	Обновления Schema остановятся
Domain Naming Master	Forest	Добавление и удаление Domains	Нельзя изменить структуру Forest
PDC Emulator	Domain	Время, пароли и GPO	Возможны сбои времени и смены паролей
RID Master	Domain	Выдача пулов RID контроллерам	После исчерпания пулов не создаются SID
Infrastructure Master	Domain	Междоменные ссылки	Ссылки между Domains устаревают

Типы групп AD

Кто может входить и где назначаются права

Scope	Кто входит	Где применяется	Пример
Global	Учётки и Global-группы своего Domain	В любом доверенном Domain	G_Finance_Users
Domain Local	Учётки и группы из доверенных Domains	На ресурсах локального Domain	DL_Finance_Modify
Universal	Учётки и группы всего Forest	В любом Domain своего Forest	U_All_IT

Kerberos и NTLM

Как определить протокол и что проверять при сбое

Признак	Kerberos	NTLM
Механизм	Tickets: TGT, затем TGS	Challenge–Response
Требования	Исправные DNS, время и SPN	Имя или IP; часто fallback
Взаимная проверка	Да	Неполная
События	4768 / 4769	NTLM Operational, 4624
Главный риск	Kerberoasting / кража Tickets	Relay / Pass-the-Hash

Порядок применения GPO — LSDOU

Более поздняя политика обычно побеждает

Порядок	Уровень	Что применяется	Важное исключение
1	Local	Локальная политика компьютера	Перезаписывается первой
2	Site	GPO, связанная с AD Site	Зависит от верного Subnet
3	Domain	Политика всего Domain	Block Inheritance может остановить
4	OU	От родительской OU к дочерней	Enforced обходит блокировку

Пользователи и группы

Повседневные команды для управления пользователями в AD

Создание нового пользователя

New-ADUser -Name "Dana Levi" -SamAccountName dlevi -UserPrincipalName dlevi@corp.local -Path "OU=Users,DC=corp,DC=local" -AccountPassword (Read-Host -AsSecureString) -Enabled $true

Поиск пользователя

Get-ADUser -Filter "Name -like '*levi*'" -Properties LastLogonDate,Enabled

Сброс пароля

Set-ADAccountPassword -Identity dlevi -Reset -NewPassword (Read-Host -AsSecureString)

Блокировка / разблокировка учётной записи

Disable-ADAccount -Identity dlevi
Unlock-ADAccount -Identity dlevi

Добавление в группу

Add-ADGroupMember -Identity "IT-Admins" -Members dlevi

Все члены группы (включая вложенные)

Get-ADGroupMember -Identity "Domain Admins" -Recursive

Проверки состояния и безопасности

Команды, которые стоит запускать раз в месяц

Учётные записи с паролем, у которого не истекает срок действия

Get-ADUser -Filter "PasswordNeverExpires -eq $true" -Properties PasswordNeverExpires | Select Name

Неактивные учётные записи (90 дней)

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly

Учётные записи с SPN (цели для Kerberoasting)

Get-ADUser -Filter "ServicePrincipalName -like '*'" -Properties ServicePrincipalName

Unconstrained Delegation — найти и нейтрализовать

Get-ADComputer -Filter "TrustedForDelegation -eq $true" -Properties TrustedForDelegation

💡 Любой результат здесь — высокий риск

Проверка репликации между DC

repadmin /replsummary
dcdiag /v

Возраст пароля krbtgt

Get-ADUser krbtgt -Properties PasswordLastSet

💡 Рекомендуется менять дважды в год

Group Policy

Управление и диагностика политик

Немедленное обновление политики

gpupdate /force

Какие политики применяются к пользователю

gpresult /h C:\report.html /f

Список всех GPO

Get-GPO -All | Select DisplayName,ModificationTime

Резервное копирование всех политик

Backup-GPO -All -Path "C:\GPOBackup"

Порядок применения

💡 Local → Site → Domain → OU (LSDOU). Последний побеждает, если только не задан Enforced.

DNS и DHCP

Инфраструктура, без которой AD не живёт

Проверка записей DC в домене

nltest /dsgetdc:corp.local
nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.local

Очистка кэша DNS на станции

ipconfig /flushdns
ipconfig /registerdns

Список Scopes в DHCP

Get-DhcpServerv4Scope

Какие серверы DHCP авторизованы в домене

Get-DhcpServerInDC

💡 Сервер, которого нет в списке = подозрение на Rogue DHCP

Важные порты

Что должно быть открыто между станцией и DC

DNS

53 TCP/UDP

Kerberos

88 TCP/UDP

LDAP / LDAPS

389 TCP/UDP  |  636 TCP

Global Catalog

3268 / 3269 TCP

SMB (файловые ресурсы, SYSVOL)

445 TCP

Kerberos Password Change

464 TCP/UDP

Event ID для выявления событий

Что искать в логах DC

Успешный вход

💡 Обрати внимание на Logon Type: 3=сеть, 10=RDP

Неудачный вход

💡 Много подряд = попытка подбора паролей

Запрос билета Kerberos (TGT)

Запрос билета службы (TGS)

💡 С шифрованием RC4 = подозрение на Kerberoasting

Изменение состава чувствительной группы

4728 / 4732 / 4756

Блокировка учётной записи

Очистка журнала безопасности

💡 Почти всегда плохой знак