Arquivos do Blog
Windows Server – Entendendo o Kerberos Authentication
Por Bruno Lopes e Fernando Silva
Olá galera,
Neste mês de Fevereiro, estamos iniciando uma série de atividades sobre a plataforma Windows Server, principalmente novidades e features da versão 2012 R2 e 2016, que já está no seu Tech Preview 4.
Em conjunto com esta série, também estamos fazendo parte de um novo projeto. Vocês já devem ter percebido a logo acima. Ela representa o MTI – Mixed Technology Influencers, um grupo de especialistas em tecnologias, com skill nas mais variadas áreas de atuação, trabalhando juntos para entregar conteúdo de qualidade para a comunidade. Aguardem mais novidades, que vem por aí!
Nosso intuito de hoje é iniciar esta série de Windows Server falando um pouco do protocolo Kerberos, amplamente utilizado para as questões de autenticação nos produtos Microsoft, desde os anos 2000, quando este recurso foi entregue como parte do Windows 2000 Active Directory implementations. O protocolo original foi criado pelo MIT (quase nosso grupo, hein?) e disponibilizado em BSD, e o nome KERBEROS tem alusão a mitologia grega, onde “CERBERUS” é o cão de três cabeças responsável por guardar as portas do inferno de Hades.
O conceito geral sobre o funcionamento da estrutura KERBEROS pode parecer um pouco complexo, pois estamos falando de um processo de autenticação de baixo nível, porém fica mais simples de entender um um exemplo prático, que daremos logo a seguir.
Como inserir chaves de registro através de comandos no Prompt
Precisando alterar chaves de registro de forma automatizada, e com apenas um comando no Prompt, sem passar minutos procurando pela mesma?
O comando REG EDIT nos auxilia de forma fantástica nessa tarefa.
Simples, já conhecido por muitos, mas pouco utilizado, esse comando pode ser usado para alterar, deletar ou incluir quantas chaves de entradas no registro se fizerem necessárias….
Abaixo, a sintaxe usual da funcionalidade:
C:\WINDOWS>REG ADD /?
REG ADD KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f]
KeyName [\\Computer\]FullKey
Computer Nome do computador remoto – omitindo padrões para o
computador atual. Apenas HKLM e HKU estão disponíveis
em computadores remotos
FullKey ROOTKEY\SubKey
ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
SubKey Nome completo da Chave do Registro no ROOTKEY selecionado
/v O nome do valor, na chave selecionada, a ser adicionado
/ve adiciona um nome de valor em branco (padrão) para a chave
/t tipos de dados RegKey
[ REG_SZ | REG_MULTI_SZ | REG_EXPAND_SZ |
REG_DWORD | REG_BINARY | REG_NONE ]
Se omitido, pressupõe-se o uso de REG_SZ
/s Especifique um caractere a ser usado como separador na seqüência
de dados para REG_MULTI_SZ. Se omitido, usar “” como separador
/d Os dados a serem atribuídos ao ValueName do Registro que está
sendo adicionado
/f Forçar substituição da entrada do Registro existente sem
perguntar antes
Exemplos:
REG ADD \\ABC\HKLM\Software\MyCo
Adiciona uma chave HKLM\Software\MyCo no computador remoto ABC
REG ADD HKLM\Software\MyCo /v Data /t REG_BINARY /d fe340ead
Adiciona um valor (nome: dados, tipo: REG_BINARY, dados: fe340ead)
REG ADD HKLM\Software\MyCo /v MRU /t REG_MULTI_SZ /d faxmail
Adiciona um valor (nome: MRU, tipo: REG_MUTLI_SZ, dados: faxmail)
REG ADD HKLM\Software\MyCo /v Caminho /t REG_EXPAND_SZ /d ^%systemroot^%
Adiciona um valor (nome: caminho,tipo: REG_EXPAND_SZ, dados:
%systemroot%)
Aviso: use um acento circunflexo ( ^ ) dentro da seqüência de expansão
EXAMPLE
Add BINARY to [TestVal] in [HKLM\Software\TestFolder]
C:\WINDOWS>REG DELETE /?
REG DELETE KeyName [/v ValueName | /ve | /va] [/f]
KeyName [\\Machine\]FullKey
Machine Nome do computador remoto – omitindo, padrões do computador
atual
Apenas HKLM e HKU estão disponíveis em computadores remotos
FullKey ROOTKEY\SubKey
ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
SubKey Nome completo de uma chave do Registro na ROOTKEY selecionada
ValueName Nome do valor a ser excluído na chave selecionada
Se omitido, todas as subchaves e valores na chave são excluídos
/ve excluir o valor de nome de valor vazio (padrão)
/va excluir todos os valores nesta chave
/f Força a exclusão sem perguntar
Exemplos:
REG DELETE HKLM\Software\MyCo\MyApp\Timeout
Exclui a chave to Registro Timeout e suas subchaves e valores
REG DELETE \\ZODIAC\HKLM\Software\MyCo /v MTU
Exclui o valor do Registro MTU em MyCo em ZODIAC
C:\WINDOWS>REG COPY /?
REG COPY KeyName1 KeyName2 [/s] [/f]
KeyName [\\Machine\]FullKey
Machine Nome do computador remoto – omitindo padrões para computador
atual
Apenas HKLM e HKU estão disponíveis em computadores remotos
FullKey ROOTKEY\SubKey
ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]
SubKey Nome completo de uma chave de registro na ROOTKEY selecionada
/s Copia todas as sub-chaves e valores
/f Força a cópia sem prompt
Exemplos:
REG COPY HKLM\Software\MyCo\MyApp HKLM\Software\MyCo\SaveMyApp /s
Copia todas as sub-chaves e valores na chave MyApp para a chave SaveMyApp
REG COPY \\ZODIAC\HKLM\Software\MyCo HKLM\Software\MyCo1
Copia todos os valores na chave MyCo em ZODIAC para a chave MyCo1
na máquina atual
Fonte: Help do prompt REG EDIT – Windows XP
Rearmando o período de ativação do Windows Server
A avaliação do software do Windows Server 2008 não exige a ativação do produto. Qualquer edição do Windows Server 2008 pode ser instalada sem a ativação, e pode ser avaliada por 60 dias. Além disso, o período de avaliação de 60 dias pode ser redefinido (rearmado) três vezes. Essa ação estende o período de avaliação original de 60 dias por até 180 dias totalizando um período de avaliação possível de 240 dias.
Observação No pacote do DVD de avaliação do Windows Server 2008 há um período de avaliação inicial de 120 dias. É possível estender o período de avaliação para 240 dias. Para estender o período inicial de avaliação e teste, execute as etapas neste artigo da Base de Dados de Conhecimento Microsoft.
Como instalar o Windows Server 2008 sem ativá-lo.
- Execute o programa de instalação do Windows Server 2008.
- Ao ser solicitado a digitar uma chave do produto para ativação, não digite a chave. Clique em Não quando a instalação solicitar que você confirme sua seleção.
- Você pode ser solicitado a selecionar a edição do Windows Server 2008 que deseja avaliar. Selecione a edição que deseja instalar.
Observação Após a instalação do Windows Server 2008, a edição não pode ser alterada sem ser reinstalada.
- Ao ser solicitado, leia e aceite os termos da avaliação nos Termos de Licença para Software Microsoft.
- Ao concluir o programa de instalação do Windows Server 2008, seu período de avaliação de 60 dias é iniciado. Para verificar o tempo restante no seu período de avaliação atual, execute o script Slmgr.vbs localizado na pasta System32. Use a opção -dli para executar esse script. O comando slmgr.vbs -dli exibe o número de dias restantes no período de avaliação atual de 60 dias.
Como estender manualmente o período de avaliação
Quando o período de avaliação inicial de 60 dias está próximo do fim, é possível executar o script Slmgr.vbs para redefinir o período de avaliação. Para fazer isto, execute as seguintes etapas:
- Clique em Iniciar e em Prompt de comando.
- Digite slmgr.vbs -dli e pressione ENTER para verificar o status atual do seu período de avaliação.
- Para redefinir o período de avaliação, digite slmgr.vbs –rearm e pressione ENTER.
- Reinicie o computador.
Isso reinicia o período de avaliação para 60 dias.
Como automatizar a extensão do período de avaliação
É conveniente configurar um processo que redefina automaticamente o período de avaliação a cada 60 dias. Uma forma de automatizar esse processo é usando o Agendador de tarefas. Você pode configurar o Agendador de tarefas para executar o script Slmgr.vbs e reiniciar o servidor em um horário específico. Para fazer isso, execute as seguintes etapas:
- Clique em Iniciar, aponte para Ferramentas administrativas e clique em Agendador de tarefas.
- Copie a seguinte tarefa de amostra no servidor e salve-a como um arquivo .xml. Por exemplo, você pode salvar o arquivo como Extend.xml.
- <?xml version=”1.0″ encoding=”UTF-16″?>
- <Task version=”1.2″ xmlns=”http://schemas.microsoft.com/windows/2004/02/mit/task”>
- <RegistrationInfo>
- <Date>2007-09-17T14:26:04.433</Date>
- <Author>Microsoft Corporation</Author>
- </RegistrationInfo>
- <Triggers>
- 10. <TimeTrigger id=”18c4a453-d7aa-4647-916b-af0c3ea16a6b”>
- 11. <Repetition>
- 12. <Interval>P59D</Interval>
- 13. <StopAtDurationEnd>false</StopAtDurationEnd>
- 14. </Repetition>
- 15. <StartBoundary>2007-10-05T02:23:24</StartBoundary>
- 16. <EndBoundary>2008-09-17T14:23:24.777</EndBoundary>
- 17. <Enabled>true</Enabled>
- 18. </TimeTrigger>
- 19. </Triggers>
- 20. <Principals>
- 21. <Principal id=”Author”>
- 22. <UserId>domain\alias</UserId>
- 23. <LogonType>Password</LogonType>
- 24. <RunLevel>HighestAvailable</RunLevel>
- 25. </Principal>
- 26. </Principals>
- 27. <Settings>
- 28. <IdleSettings>
- 29. <Duration>PT10M</Duration>
- 30. <WaitTimeout>PT1H</WaitTimeout>
- 31. <StopOnIdleEnd>true</StopOnIdleEnd>
- 32. <RestartOnIdle>false</RestartOnIdle>
- 33. </IdleSettings>
- 34. <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
- 35. <DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
- 36. <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
- 37. <AllowHardTerminate>true</AllowHardTerminate>
- 38. <StartWhenAvailable>false</StartWhenAvailable>
- 39. <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
- 40. <AllowStartOnDemand>true</AllowStartOnDemand>
- 41. <Enabled>true</Enabled>
- 42. <Hidden>false</Hidden>
- 43. <RunOnlyIfIdle>false</RunOnlyIfIdle>
- 44. <WakeToRun>true</WakeToRun>
- 45. <ExecutionTimeLimit>P3D</ExecutionTimeLimit>
- 46. <DeleteExpiredTaskAfter>PT0S</DeleteExpiredTaskAfter>
- 47. <Priority>7</Priority>
- 48. <RestartOnFailure>
- 49. <Interval>PT1M</Interval>
- 50. <Count>3</Count>
- 51. </RestartOnFailure>
- 52. </Settings>
- 53. <Actions Context=”Author”>
- 54. <Exec>
- 55. <Command>C:\Windows\System32\slmgr.vbs</Command>
- 56. <Arguments>-rearm</Arguments>
- 57. </Exec>
- 58. <Exec>
- 59. <Command>C:\Windows\System32\shutdown.exe</Command>
- 60. <Arguments>/r</Arguments>
- 61. </Exec>
- 62. </Actions>
63. </Task>
- 64.
- Na tarefa de amostra, altere o valor da seguinte marca “UserID” para conter seu domínio e seu alias:
<UserId>domínio\alias</UserId>
- No Agendador de tarefas, clique em Importar tarefa no menu Ação.
- Clique no arquivo .xml da tarefa de amostra. Por exemplo, clique em Extend.xml.
- Clique em Importar.
- Clique na guia Disparadores.
- Clique no disparador Uma vez e clique em Editar.
- Altere a data inicial da tarefa para uma data anterior ao término do seu período de avaliação atual.
- Clique em OK e saia do Agendador de tarefas.
Agora, o Agendador de tarefas executará a operação de redefinição da avaliação na data especificada.
Fonte: http://support.microsoft.com/kb/948472
Criando contas de usuários com o Windows PowerShell e arquivo .csv no Windows Server 2008
A necessidade sempre nos exige mais…e é por isso que aprendemos!
Com isso, descobrimos modos de automatizar tarefas rotineiras, que por muitas vezes nos tomam um tempo precioso que poderíamos investir em outras tarefas mais complexas…
E a situação de hoje foi a criação de vários usuários no AD, de forma silmultânea, afim de montar um Lab para projetos…
Após pesquisa realizada, foi criado um arquivo CSV com nome criaContasAD.csv e foi utilizado um script PowerShell simples, onde os usuários foram criados em uma determinada OU e com uma senha padrão.
O arquivo .CSV foi salvo no mesmo local onde foi executado o script PowerShell (cria.PS1), a seguir:
Import-Module ActiveDirectory
$ArqEntrada = Import-csv C:\criaContasAD.csv
foreach ($Line em $ArqEntrada)
{
New-ADUser -SamAccountName $Line.UserName -Name $Line.FullName –AccountPassword (ConvertTo-SecureString -AsPlainText “senhapadrao“-Force)-Enabled $True -Path “OU = Departamento, DC = dominio, DC = local” -DisplayName $Line.FullName -GivenName $Line.FirstName -Surname $Line.Surname -UserPrincipalName, $Line.UserPrincipalName -ChangePasswordAtLogon $False
}
Fonte: http://social.technet.microsoft.com/wiki/contents/articles/5401.aspx
Como desabilitar o IPv6 completamente em seu Windows
É isso mesmo…..
Como o recurso do IPv6 ainda não está totalmente ativado, a própria Microsoft recomenda sua desativação total, dependendo do serviço ou feature que estiver sendo usado.
Para desabilitar determinados componentes do IPv6 por conta própria, siga estas etapas:
- Clique em Iniciar
, digite Regedit na caixa de diálogo Iniciar Pesquisa e, em seguida, clique em regedit.exe na lista de Programas.
- Na caixa de diálogo Controle de Conta de Usuário, clique em Continuar.
- No Editor do Registro, localize e clique na seguinte subchave do Registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters \
- Clique duas vezes em DisabledComponents para modificar a entrada DisabledComponents.Observação Se a entrada DisabledComponents estiver indisponível, será necessário criá-la. Para fazer isso, execute as seguintes etapas:
- No menu Editar, aponte para Novo e clique em Valor DWORD (32 bits).
- Digite DisabledComponents e pressione ENTER.
- Clique duas vezes em DisabledComponents.
- Digite qualquer um dos seguintes valores no campo Dados de Valor: para configurar o protocolo IPv6 para o estado desejado e, em seguida, clique em OK:
. Digite 0 para habilitar todos os componentes IPv6. (Configuração padrão do Windows)
- Digite 0xff para desabilitar todos os componentes do IPv6, exceto a interface de loopback do IPv6. Esse valor também configura o Windows Vista para usar o IPv4 (Protocolo IP Versão 4) em vez do IPv6 em diretivas de prefixo.
- Digite 0x20 para usar o IPv4 em vez do IPv6 em diretivas de prefixo.
- Digite 0x10 para desabilitar as interfaces nativas do IPv6.
- Digite 0x01 para desabilitar todas as interfaces de túnel do IPv6.
- Digite 0x11 para desabilitar todas as interfaces do IPv6 exceto a interface de loopback do IPv6.
Etapas avançadas
Importante As seguintes etapas são apenas para usuários avançados.
Para usar o IPv6 em vez do IPv4 nas diretivas de prefixo, execute estas etapas:
- Localize os dados atuais de valor de DisabledComponents.
- Altere os dados paradados binários. Serão dados binários de 32 bits
- Localize o sexto bit dos dados e, em seguida, defina-o como 0. Não altere outros bits. Por exemplo, se os dados atuais forem 11111111111111111111111111111111, os novos dados devem ser 11111111111111111111111111011111.
- Mude os dados de binários para hexadecimais.
- Defina o valor hexadecimal como os novos dados de valor para DisabledComponents.
Para ativar as interfaces nativas do IPv6, siga estas etapas:
- Localize os dados atuais de valor de DisabledComponents.
- Altere os dados paradados binários. Serão dados binários de 32 bits
- Localize o quinto bit dos dados e, em seguida, defina-o como 0. Não altere outros bits. Por exemplo, se os dados-fonte forem 11111111111111111111111111111111, os novos dados devem ser 11111111111111111111111111101111.
- Mude os dados de binários para hexadecimais.
- Defina o valor hexadecimal como os novos dados de valor para DisabledComponents.
Para habilitar todas as interfaces de encapsulamento do IPv6, siga estas etapas:
- Localize os dados atuais de valor de DisabledComponents.
- Altere os dados paradados binários. Serão dados binários de 32 bits
- Localize o primeiro bit dos dados e, em seguida, defina-o como 0. Não altere outros bits. Por exemplo, se os dados-fonte forem 11111111111111111111111111111111, os novos dados devem ser 11111111111111111111111111111110.
- Mude os dados de binários para hexadecimais.
- Defina o valor hexadecimal como os novos dados de valor para DisabledComponents.
Para habilitar todas as interfaces do IPv6, exceto a interface de loopback do IPv6, siga estas etapas:
- Localize os dados atuais de valor de DisabledComponents.
- Altere os dados paradados binários. Serão dados binários de 32 bits
- Localize o primeiro bit dos dados e o quinto bit dos dados e, em seguida, defina ambos como 0. Não altere outros bits. Por exemplo, se os dados atuais são 11111111111111111111111111111111, os novos dados devem ser 11111111111111111111111111101110.
- Mude os dados de binários para hexadecimais.
- Defina o valor hexadecimal como os novos dados de valor para DisabledComponents.
Observações
- O uso de um valor diferente de 0x0 ou 0x20 causará falhas no serviço de Roteamento e Acesso Remoto após os efeitos desta alteração.
- Você deve reiniciar o computador para que essas alterações tenham efeito.
Fonte: http://support.microsoft.com/kb/929852/pt-br
Update em 01/09/2015: http://blogs.technet.com/b/askpfeplat/archive/2014/09/15/a-5-second-boot-optimization-if-you-ve-disabled-ipv6-on-windows-client-and-server-by-setting-disabledcomponents-to-0xffffffff.aspx
