Active Directory ortamındaki kullanıcıların “Store password using reversible encryption” listelenmesi.

Merhaba,  güvenlik ve parolanın ele geçirilmemesi nedeniyle  Active Directory User Account özelliklerinde yer alan “Store password using reversible encryption seçeneğinin işaretlenmemesi önerilir. Ve bu yönde de çoğunlukla Group Policy ayarları yapılır. Makale konumuz da yapımızın büyük bir yapı olmadığını ve henüz bu yönde yasaklayıcı bir Group Policy objesi olmadığını düşünürsek GPO yazmadan önce bu seçenek işaretli olan User Account mevcut ise onu bulmalıyız.

Ben test ortamımda kendi User Account'um için bu seçeneği aktif etmiştim.

Şimdi ise Powershell yardımıyla bu seçenek işaretli olan kullanıcı veya kullanıcıları belirleyelim. Run as Admin mode ile PowerShell aracını başlatalım ve aşağıdaki komutu çalıştıralım.

Get-ADUser -Filter 'AllowReversiblePasswordEncryption -eq "True"'

böylelikle yapınız da bu ayar aktif olan kullanıcıları tespit ederek aksiyon alabilirsiniz.

ilgili GPO ayarını ise Default Domain Policy üzerinden yapabilirsiniz.

SCCM / MECM ile WSUS Server Kontrolü. Compliance For WSUS Server

Merhaba,  SCCM / MECM ürünü ile  Client ve Server işletim sistemlerinizin Windows Patch yönetimini gerçekleştiriyorsanız zaman zaman bazı hatalarla karşılaşabilirsiniz.  Client veya Sunuculara  SCCM / MECM ile update dağıtımı yaptıktan sonra Troubleshooting aşamasında kontrol edilen bazı log dosyaları mevcuttur. UpdatesDeployment.log, UpdatesHandler.log ve WUAHandler.log dosyalarını inceleyerek Troubleshooting yaparız çoğunlukla. Karşılaştığım hatalardan biri de ortamdaki WSUS Server bilgisinin Client üzerinde yanlış görünmesi.  Normal şartlar altında SCCM ürünü ile Update dağıtımı yapıyorsanız  SUP Rolünüz kurulu ve doğru  ürün ve kategoriler de dağıtım paketleri oluşturduysanız Client veya Server sistemlerinizde herhangi bir WSUS Server tanımı yapmanıza gerek olmadan updateler dağıtılabilir. Peki Clientlar  SCCM sunucuyu nasıl Update sunucusu olarak görür. Bildiğiniz üzere SCCM Sunucu kurulumu sırasında ortamımıza ihtiyaca göre minimum 1 WSUS Server konumlandırırız.  İşte bu kurmuş olduğumuz WSUS Sunucu  SUP rolü de ortama kurulduktan sonra ortamdaki SCCM Patch dağıtımı yapacağımız WSUS Server olur.  SCCM Agent, Local Group Policy’ye Update Service Location olarak WSUS sunucusunu eklemektedir.

SCCM SUP rolü kurulu ve doğru çalışan ortamda herhangi bir SCCM Agent üzerinde > Start > Run > rsop.msc  komutu ile ortamdaki SCCM WSUS Server bilgisinin otomatik olarak   Local Group Policy objesi olarak eklendiğini görebilirsiniz.

Aynı ayarı aşağıdaki Registry Path üzerinden de kontrol edebilirsiniz.

Detaylı açıklama yaptıktan ve örnek verdikten sonra SCCM sunucu üzerindeki işlemlerimize başlayabiliriz.

SCCM / MECM Sunucu > Assets and Compliance> Compliance Settings >Configuration Items > Create Configuration Item  diyerek ilerleyelim.

Aşağıdaki ekranda isim ve Opsiyonel açıklama girdikten sonra Next diyelim.

Supported Platforms ekranında değişiklik yapmadan Next ile ilerliyoruz. Değişiklik yapmamız gereken durum ve koşulları önceki makalelerimde belirtmiştim.

Settings Ekranında New Seçimi ile ilerliyorum.

Create Setting ekranında ayarlar aşağıdaki gibi olmalı. Registry Key üzerinden bilgi çekeceğimiz için Setting Type > Registry Key seçilmeli. Detaylı Registry Key Path bilgisi tanımlayacağımız için Browse seçimi ile ilerliyorum.

Burada şöyle bir işlem yapabiliriz  Registry key bilgisini örnek /referans  olarak alabileceğimiz bir Client veya Server sisteme Connect optionu ile bağlanabiliriz ki ben örneğimizde öyle yaptım.

Ayarları aşağıdaki gibi yapmamız gerekiyor. Detaylı Registry path bilgisi şu şekildedir.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate

Öncelikle  WUServer  Registry Key seçip Ok ile ilerliyoruz.  Apply  ve Ok seçimi ile Registry key ekleme işlemini sonlandırabiliriz.

Create Setting ekranında tekrar New Seçimi ile ilerleyelim.

Az önceki yaptığımız işlemlerin aynısını yaparak bu kez aşağıdaki WUStatusServer  Registry key bilgisini ekleyeceğiz.

Son durum aşağıdaki gibi olmalı. Next ile ilerliyoruz.

Compliance Rules ekranında istediğimiz  ayarı  seçip Edit Seçimi yapalım.

Ok ile bu ekranı kapatarak Next ve Finish ile Configuration Item oluşturma penceresini kapatabiliriz.

Şimdi Configuration Baseline oluşturmamız gerekiyor.  Create Configuration Baseline seçimi yapalım.

Add > Configuration Item seçimi ile  az önce oluşturmuş olduğumuz  registry key bilgisini içeren  CI seçelim.

OK ile Configuration Baseline oluşturma işlemini sonlandırabiliriz.

Oluşturduğumuz Baseline üzerinde  Sağ Click > Deploy seçimi ile ilerleyelim ve  Hangi tür cihazlarımızdan ( Server veya Client )  Compliance bilgisi toplayacak isek  o Collection’ı seçerek  Deployment işlemini tamamlayalım.

Deployment işleminin uygulanacağı Collection’ı seçtikten sonra çalışacağı zaman aralığını belirterek deployment işlemini tamamlayabiliriz.

Deployment işleminden sonra Test için bir Client sistem de kontrol yapıyorum.

 

Gördüğünüz üzere Dağıttığımız Configuration Baseline Compliant sonucunu veriyor. Yani Baseline’ımız sorunsuz çalışıyor.

Test amaçlı başka bir Client sisteme GPO üzerinden farklı bir WSUS server adresi set ettim. Sonuç aşağıdaki gibi.  Baseline’ımız Non-compliant.