Список компьютеров с ключами восстановления BitLocker

Question

Список компьютеров с ключами восстановления BitLocker

Мы находимся в процессе удаления старых учетных записей компьютеров, которые находятся в AD, где пароль учетной записи старше 60 дней (в настоящее время в эту корзину попадают более 15 000 учетных записей). Чтобы получить этот список, я запустил этот простой оператор dsquery для генерации списка:

dsquery computer -stalepwd 60 -limit 100000> C: \ Temp \ Servers.txt

В настоящее время у нас есть объекты групповой политики, которые требуют, чтобы компьютеры использовали BitLocker и хранили свои ключи восстановления в AD. Проблема в том, что из более чем 15 000 учетных записей компьютеров, срок действия которых истек, я не могу удалить те, у которых есть BitLocker в AD для архивных целей, поэтому мне нужно найти способ сократить список. Конечный результат, который я хотел бы получить, - это список учетных записей компьютеров, у которых истек пароль учетной записи компьютера, но нет ключа восстановления BitLocker, сохраненного в AD.

Кто-нибудь делал это раньше или знает, где начать искать что-то подобное?

0

active-directory bitlocker accounts expired

Источник

AndyM 22 окт '09 в 21:02

1 ответ

Решение

Другие вопросы по тегам active-directory bitlocker accounts expired

Evan Anderson 23 окт '09 в 01:35 2009-10-23 01:35 · Accepted Answer · 2009-10-23 01:35

Возьмите "AdFind" с сайта Джо Ричардса по адресу http://www.joeware.net/ и дайте этому сценарию шанс (очевидно, проводите выборочные тесты результатов, пока не убедитесь, что они надежно делают то, что вы хотите).

@echo off
for /f "usebackq delims=" %%i in (`dsquery computer -stalepwd 60 -limit 100000`) do (
    call :do_find %%i
)
goto end

:do_find
rem Search for computer at specified DN without a Bitlocker recovery key.
adfind -b %1 -f "(msFVE-RecoveryPassword=*)" 2>NUL | find "0 Objects returned" >NUL 2>NUL 
if errorlevel 1 goto end

rem Echo DNs of computers w/o bitlocker recovery keys
echo %1

:end

Это должно зациклить компьютеры с "устаревшими" паролями, проверяя наличие объекта с ненулевым атрибутом "msFVE-RecoveryPassword" в DN, где был найден каждый "устаревший" компьютер. Если никакие объекты не были возвращены, то в каталоге не было пароля для восстановления.

Джо Ричардс действительно заслуживает похвалы за свои инструменты. Они значительно облегчают жизнь при AD.