大事件：用戶(hù)的賬戶(hù)被部分人使用
Myhat公司的網(wǎng)絡(luò )管理員最近發(fā)現部分用戶(hù)的賬戶(hù)被其他使用了，特別是一些部門(mén)主管的用 戶(hù)。這可能是用戶(hù)無(wú)意間泄露了自己的密碼，一旦有人想搞破壞，那可就麻煩了！因為一些部門(mén)的賬戶(hù)可以進(jìn)入一些機密資料夾！IT經(jīng)理得知這個(gè)情況后，立即讓 網(wǎng)絡(luò )管理員找到最佳的方法來(lái)解決這個(gè)問(wèn)題！當前需要解決的是限制域用戶(hù)的并發(fā)登陸！
網(wǎng)絡(luò )管理員的疑惑：公司有兩百多臺電腦，應該如何實(shí)現 呢？ 其實(shí)對于這個(gè)問(wèn)題，有部分公司是存在的，不少網(wǎng)絡(luò )管理員也都有在遇到或是處理這個(gè)問(wèn)題。帶 著(zhù)這個(gè)問(wèn)題，博主找到了好友網(wǎng)絡(luò )管理員A、B，采訪(fǎng)一下他們是如何來(lái)解決這個(gè)問(wèn)題的。希望博主的本期報到能給你提供幫助！也希望你能對本博博主的繼續支 持！
環(huán)境描述：
1、windows server 2003[域控制器]一臺
2、客戶(hù)端XP一臺[已加入到域中，計算機名 [07D225E440BB471]
3、測試賬戶(hù)gl-01顯示名稱(chēng)為[管理部-陳明輝]及 mis-04
網(wǎng)絡(luò )管理員A：
我剛來(lái)公司的時(shí)候，也是遇到這個(gè)問(wèn)題。我的思路是：通用戶(hù)的賬戶(hù)屬性來(lái)來(lái)實(shí)現讓特定的用戶(hù) 登陸到特定的計算機，也就是通過(guò)用戶(hù)屬性里的登陸到這個(gè)選項來(lái)設置他所能登陸到的電腦。
相關(guān)操作：
1、在此就以[管理部-陳明輝]為 例：
首先我們對這個(gè)用戶(hù)進(jìn)行[右擊——屬性] 的操作,并定位到[賬戶(hù)]選項卡處！
現在我們點(diǎn)擊[賬戶(hù)]選項卡下的[登入到]這個(gè)選項卡，輸入[管理部-陳明輝]或［賬戶(hù)gl-01]所能登入的計算機名稱(chēng)，在這里我們輸入客戶(hù)端計算機的名稱(chēng)。
經(jīng)過(guò)以上的設定后，gl-01這個(gè)賬戶(hù)只能夠登入到[07D225E440BB471]這臺計算機，不能登入其 他計算機?，F在我們來(lái)看看：
成功登錄！
現在我們來(lái)使用mis-04這個(gè)賬戶(hù)測試下！首先我們對mis-04這個(gè)賬戶(hù)設置只能登陸到電腦xp-01
現在讓mis-04來(lái)登陸[07D225E440BB471]這臺計算機！
看看登錄的結果吧！無(wú)法登陸到這臺計算機上，并且mis-04只能登陸到XP-01這臺電腦！
網(wǎng)絡(luò )管理員A 總結：我使用這個(gè)方法半年多了，很棒。但是我覺(jué)得它不夠靈活，因為有時(shí)候，因為其他的需要，有的用戶(hù)需要使用其他用戶(hù)的電腦，這個(gè)時(shí)候我就需要手動(dòng)設置， 有些麻煩。不過(guò)總體而言，安全性是提高了，沒(méi)有出現賬戶(hù)被人盜用的情況了。建議一些小環(huán)境的網(wǎng)絡(luò )管理員可以試試！同時(shí)我也希望自己能夠幫到Myhat公司 的網(wǎng)絡(luò )管理員??！謝謝！ 網(wǎng)絡(luò )管理員B：
我的方法跟網(wǎng)絡(luò )管理員A略有區別，他是通過(guò)手動(dòng)設定用戶(hù)的登陸到，而我是能過(guò)腳本來(lái)實(shí)現的。相對而言，就會(huì )比較 的簡(jiǎn)單?，F在我就先跟大家講操作，再講原理！ 希望大家能夠喜歡！ 現在我需要的資源如下：
1、準備兩個(gè)腳本。一個(gè)用于用戶(hù)登入時(shí)執行的login.vbs，另一個(gè)是用于注銷(xiāo)時(shí)使用的 logoff.vbs
2、為配合腳本，我們需要在DC上創(chuàng )建一個(gè)共享文件夾，讓所有用戶(hù)擁有更改的權限！
3、建立一條組策略
A、準備腳本（我會(huì )在本文最后提供腳本給大家分享）
B、創(chuàng )建共享文件夾Userinfo(為避免用戶(hù)錯誤，我盡量詳盡）
創(chuàng )建共享及并給用戶(hù)以變更權限
因為我的硬盤(pán)是NTFS分區，所以在安全性這個(gè)選項卡里我們也要給用戶(hù)權限，同樣是變更的權限。
C、創(chuàng )建組策略（在這里因為我有安裝GPMC管理工具，所以以下過(guò)程跟沒(méi)有裝GPMC的用戶(hù)可能略有不同，這里 需要你的注意喲，如果你沒(méi)有安裝GPMC，博主在此建議你安裝一個(gè)，這個(gè)工具好處真的沒(méi)得說(shuō)！使用過(guò)的朋友都知道）
現在我就要針對管理部這個(gè)OU進(jìn)行測試！新建一條[限制域用戶(hù)多 點(diǎn)登錄]的策略。
開(kāi)始將我們的login.vbs這個(gè)腳本加入到啟動(dòng)指令中。（繁體的說(shuō)法就是復雜，中文的是啟動(dòng)腳本）
找到指令碼的位置（抱歉，由于最近一直在使用繁體的系統，
設置登入的指令碼。點(diǎn)擊新增——瀏覽
現在我們找到login.vbs的位置，你可以將你的VBS文件復制進(jìn)去（這里很重要，千萬(wàn)不要自做主張更換位 置，因為組策略運行的腳本是需要是URL路徑的），圖中使用的就是默認路徑！
選擇login.vbs，
在這里logoff.vbs的選擇跟login.vbs是一樣，就不再詳述。在此就貼幾張圖出來(lái)吧！
在這一切設置完畢之后，為了加速就用的時(shí)候，我們在GPMC管理工具上將這個(gè)策略設置成強制。并重啟我們的客戶(hù) 端計算機，當然你也可以先執行g(shù)pupdate /force 這個(gè)命令來(lái)強行的刷新組策略！
將這個(gè)策略設置成強制。
刷一下客戶(hù)端組策略吧！
經(jīng)筆者測試多次，確定腳本無(wú)誤！花了筆者兩個(gè)小時(shí)的時(shí)間??！現在我們來(lái)確定一下，客戶(hù)機是否有應到我們設定的組 策略。
不錯，成功應用了！好的，現在我們就增多一臺客戶(hù)機，使用一個(gè)賬戶(hù)登入兩臺機試試！新增機器為SMS（2003 系統，沒(méi)辦法那XP太郁悶一直都PING不能，就用2003吧，凡正都一樣的）
這兩天不知道出怎么回事，虛擬機老是出這樣那樣的奇怪的問(wèn)題，搞是實(shí)驗都無(wú)心去做了，還好我還是比較的有耐心， 要不然這篇博文是出不來(lái)了。。。 這個(gè)破虛擬機差點(diǎn)把我給搞死，這破解版的，總還是不那么可靠，完成這個(gè)系統之后，一定要重建！ 我就趁我那虛擬機在安裝的時(shí)間跟大家講講使用腳本的原理吧！
其實(shí)那兩個(gè)腳本是用來(lái)記錄用戶(hù)所登入與登出的計算機時(shí)間，在一個(gè)用戶(hù)登入后，會(huì )立即寫(xiě)下當前的記錄，如果用戶(hù)使 用同一個(gè)賬戶(hù)在另一個(gè)計算機上登錄時(shí)就會(huì )報警?，F在我們來(lái)看看用戶(hù)登陸后，在共享資料夾里產(chǎn)生的文件！它的文件命名方式以用戶(hù)的登陸名為主！
下面這個(gè)文件是MIS-04登入計算機后產(chǎn)生的，我們可以清楚的看到MIS-04這個(gè)用戶(hù)所登入的計算機及時(shí) 間！通過(guò)這種方式，如果MIS-04再登入其他的電腦的話(huà)，VBS會(huì )檢查這個(gè)檔里面的信息，當他發(fā)現MIS-04已經(jīng)登入一臺電腦了，并且沒(méi)有注銷(xiāo)。它就 會(huì )自動(dòng)退出！
現在我們測試一下，使用MIS-04同時(shí)登入兩臺客戶(hù)機[07D225E440BB471]和[SMS]上。大 家仔細看下：
好，我先登入XP這臺機，再登SMS這臺機?？唇Y果是怎樣的？
XP登入成功！
SMS這臺計算機登入后，就有腳本提示！并自動(dòng)退回到登陸界面！
操作完成。也成功的達到了限制域用戶(hù)并發(fā)登陸的目的！總體而言這個(gè)還是比較簡(jiǎn)單的。網(wǎng)絡(luò )管理員B這樣描述：我一 直在使用這個(gè)腳本，我覺(jué)得他非常的好，雖然我不會(huì )寫(xiě)VBS，但是只要靈活的運用，經(jīng)常使用搜索引擎你都能找到你想要的！我希望這個(gè)方法能夠被Myhat公 司的網(wǎng)絡(luò )管理員運用到！
博主說(shuō)：
網(wǎng)絡(luò )管理員A和B提供的方法都很棒！當然使用哪一個(gè)方法取決于你對活動(dòng)目錄及組策略的了解！博主覺(jué)得在大多數環(huán) 境中，使用網(wǎng)絡(luò )管理員B的方法是很不錯的。
通過(guò)對域用戶(hù)的并發(fā)登陸限制可以減少我們的PDC頻繁驗證的負荷，在用戶(hù)安全性起到一定的作用，同時(shí)也會(huì )減少公 司用戶(hù)密碼泄露的問(wèn)題，相信本文能夠能部分網(wǎng)絡(luò )管理員起到幫助！
本文出自 “陳寶城，潛入技術(shù)的海洋” 博客，請務(wù)必保留此出處http://myhat.blog.51cto.com/391263/122534
