Рецепты: «мне нужно сделать X»

Права в AD выдаются через группы, а не пользователю напрямую. Самая частая операция helpdesk.

Стандарт helpdesk: временный пароль, который пользователь сразу меняет, чтобы его никто больше не знал.

После инцидента или для целого отдела вручную это нереально.

Утро понедельника — волна блокировок. Проще один список, чем искать поштучно.

Мёртвые учётки компьютеров — лишняя поверхность атаки и мусор в инвентаре.

Без указания OU компьютер попадает в Computers и не получает GPO отдела.

Не нужно выводить и заводить машину заново — пароль учётки компьютера обновляется одной командой.

«Создал GPO, а он не работает» в 90% случаев решается этим отчётом.

Перед любым изменением политики — бэкап. Восстановление занимает секунды, а без бэкапа — день.

Без SRV клиент не находит DC: нет входа, нет GPO, нет ввода в домен.

Застрявшая репликация — смена пароля не доходит до другого сайта, GPO не обновляются, а потом DC «умирает».

Разблокировать, не найдя источник, — та же заявка через час.

Большинство организаций впервые находят админские учётки, о которых давно забыли.

Каждая пользовательская учётка с SPN — пароль, который можно ломать офлайн.

Постоянный вопрос на собеседовании и первый шаг при странных сбоях домена.

Мгновенное удаление ломает доступ к файлам и почте. Правильно: отключить, сбросить сессии, перенести в отдельный OU.

LastLogonDate реплицируется и потому неточен; lastLogon не реплицируется — нужно опросить все DC.

krbtgt — ключ, которым подписан каждый билет Kerberos. Украли его — атакующий подделает любую личность.

Приём целого отдела или группы разом. В файле нужны колонки Name,SamAccountName,OU.

Вложенные группы скрывают членов. -Recursive показывает и тех, кто попал через группу внутри группы.

Первый вопрос в любом проекте обновления и после новой CVE: сколько старых машин осталось и где.

GPO применяется по OU. Станция, оставшаяся в стандартном контейнере Computers, вашу политику не получает.

GPO без привязки ничего не делает, но путает при разборе проблем и захламляет домен.

Срочное изменение (сброс пароля, блокировка учётки) должно дойти до всех DC сейчас, а не через 15 минут.

Группировка 4625 по аккаунту и источнику отделяет «забыл пароль» от попытки взлома.

Одни и те же 3 пользователя каждую неделю — это устойчивая техническая причина (телефон, служба), а не невнимательность.