Proteggi la tua directory Simple AD - AWS Directory Service
Reimposta la password dell'account krbtgt

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Proteggi la tua directory Simple AD

Questa sezione descrive le considerazioni per proteggere l'ambiente Simple AD.

Come reimpostare la password di un account Simple AD krbtgt

L'account krbtgt svolge un ruolo importante negli scambi di biglietti Kerberos. Per ulteriori informazioni, consulta la documentazione di Samba. Si consiglia di cambiare questa password regolarmente ogni 90 giorni.

È possibile reimpostare la password dell'account krbtgt da una delle seguenti istanze unite di Simple AD:

  • Amazon EC2 Windows

  • Amazon EC2 Linux

Nota

AWS Simple AD è alimentato da Samba-AD. Samba-AD non memorizza l'hash N-1 per l'account krbtgt. Pertanto, quando la password dell'account krbtgt viene reimpostata, al client Kerberos verrà richiesto di negoziare un nuovo Ticket Granting Ticket () durante la successiva richiesta di Service Ticket (ST). TGT Per ridurre al minimo le potenziali interruzioni del servizio, è necessario pianificare la reimpostazione della password dell'account krbtgt al di fuori dell'orario lavorativo. Questo approccio mitiga gli impatti sulle operazioni in corso e garantisce una continuità dell'autenticazione senza intoppi.

Le seguenti procedure mostrano come reimpostare la password dell'account krbtgt da un'istanza EC2 Windows o da un'istanza Linux.

Prerequisiti
Amazon EC2 Windows Instance

  1. Apri la EC2 console Amazon all'indirizzo https://console.aws.amazon.com/ec2/.

  2. Nella EC2 console Amazon, scegli Istanze e seleziona l'istanza Windows Server. Quindi scegliere Connetti.

  3. Nella pagina Connect to instance, scegli RDPclient.

  4. Nella finestra di dialogo Sicurezza di Windows, copia le credenziali di amministratore locale per il computer Windows Server a cui accedere. Il nome utente può avere i seguenti formati: NetBIOS-Name\administrator oDNS-Name\administrator. Ad esempio, corp\administrator sarebbe il nome utente se hai seguito la procedura inCrea il tuo Simple AD Active Directory.

  5. Una volta effettuato l'accesso al computer Windows Server, apri Strumenti di Windows amministrazione dal menu Start scegliendo la cartella Strumenti di Windows amministrazione.

  6. Nella dashboard Strumenti di Windows amministrazione, apri Active DirectoryUtenti e computer selezionando Active DirectoryUtente e computer.

  7. Nella finestra Active DirectoryUtenti e computer, seleziona Visualizza, quindi scegli Abilita funzionalità avanzate.

  8. Nella finestra Active DirectoryUtenti e computer, seleziona Utenti dal pannello di sinistra.

  9. Trova l'utente denominato krbtgt, fai clic con il pulsante destro del mouse su di esso e seleziona Reimposta password.

  10. Nella nuova finestra, inserisci la nuova password, inseriscila di nuovo, quindi scegli OK per reimpostare la password dell'account krbtgt.

Amazon EC2 Linux Instance

  1. Connettiti all'istanza Amazon EC2 Linux aggiunta al dominio utilizzando un SSH client con credenziali di amministratore.

  2. Crea un file ldif denominato change_krbtgt_password.ldif sull'istanza con il seguente contenuto:

    dn: CN=krbtgt,CN=Users,DC=example,DC=com
changetype: modify
replace: unicodePwd
unicodePwd:: BASE64_ENCODED_NEW_PASSWORD
    Nota

    Assicurati di apportare le seguenti modifiche al file ldif in modo che corrisponda al tuo ambiente: Active Directory

    • Replace (Sostituisci) example e com per DC con le informazioni sul tuo dominio.

    • Replace (Sostituisci) BASE64_ENCODED_NEW_PASSWORD con una password codificata in formato UTF -16 e quindi in formato base64. Ciò è necessario per soddisfare i requisiti per l'Active Directoryaggiornamento delle password.

    Di seguito è riportato un esempio di come è possibile codificare la password in UTF -16 e base64 utilizzando gli strumenti command-li di Linux:

    echo -n '"new-desired-password"' | iconv -t utf16le | base64
white_check_markeyesraised_hands

    Assicurati di sostituirla new-desired-password con la tua nuova password preferita, assicurandoti che rispetti i requisiti della politica in materia di password specificati da Simple AD.

  3. Esegui il ldapmodify comando seguente con il seguente file ldif per applicare la modifica della password. Ti verrà richiesto di inserire la password dell'utente amministratore durante l'esecuzione di questo comando.

    ldapmodify -H ldap://your_ldap_server -D "CN=Administrator,CN=Users,DC=example,DC=com" -W -f change_krbtgt_password.ldif

    Assicurati di sostituirla ldap://your_ldap_server con il tuo LDAP server URL e DC=example,DC=com con le informazioni sul tuo dominio.