function Invoke-PasswordRoll { <# .SYNOPSIS 이 스크립트를 사용하여 원격 컴퓨터의 로컬 계정 암호를 임의의 암호로 설정할 수 있습니다. 사용자 이름/암호/서버 조합이 CSV 파일에 저장됩니다. CSV 파일에 저장되는 계정 암호는 일반 텍스트 계정 암호가 디스크에 기록되지 않게 보장하도록 선택하는 관리자의 암호를 사용하여 암호화하고 할 수 있습니다. 암호화된 암호는 이 파일의 다른 함수를 사용하여 해독할 수 있습니다. ConvertTo-CleartextPassword Function: Invoke-PasswordRoll Author: Microsoft Version: 1.0 .DESCRIPTION 이 스크립트를 사용하여 원격 컴퓨터의 로컬 계정 암호를 임의의 암호로 설정할 수 있습니다. 사용자 이름/암호/서버 조합이 CSV 파일에 저장됩니다. CSV 파일에 저장되는 계정 암호는 일반 텍스트 계정 암호가 디스크에 기록되지 않게 보장하도록 선택하는 관리자의 암호를 사용하여 암호화하고 할 수 있습니다. 암호화된 암호는 이 파일의 다른 함수를 사용하여 해독할 수 있습니다. ConvertTo-CleartextPassword .PARAMETER ComputerName PowerShell 원격 사용에 대해 스크립트를 실행할 컴퓨터의 배열. .PARAMETER LocalAccounts 암호를 변경해야 하는 로컬 계정의 배열. .PARAMETER TsvFileName 사용자 이름/암호/서버 조합을 출력할 파일. .PARAMETER EncryptionKey TSV 파일을 암호화하기 위한 암호. AES 암호화를 사용합니다. TSV 파일에 저장된 암호만 암호화되며, 사용자 이름 및 서버 이름은 일반 텍스트입니다. .PARAMETER PasswordLength 로컬 계정에 대해 임의로 생성되는 암호의 길이. .PARAMETER NoEncryption TSV 파일에 저장된 계정 암호를 암호화하지 마십시오. 그러면 일반 텍스트 암호가 디스크에 기록됩니다. .EXAMPLE . .\Invoke-PasswordRoll.ps1 #이 스크립트 파일의 함수 로드 Invoke-PasswordRoll -ComputerName (Get-Content computerlist.txt) -LocalAccounts @("administrator","CustomLocalAdmin") -TsvFileName "LocalAdminCredentials.tsv" -EncryptionKey "Password1" "computerlist.txt" 파일에 저장된 모든 컴퓨터에 연결합니다. 로컬 계정 "administrator" 및/또는 "CustomLocalAdmin"이 시스템에 있는 경우 해당 암호는 길이 20(기본값)의 임의로 생성된 암호로 변경됩니다. 사용자 이름/암호/서버 조합이 LocalAdminCredentials.tsv에 저장되고, 계정 암호는 암호 "Password1"을 사용하여 AES 암호화됩니다. .EXAMPLE . .\Invoke-PasswordRoll.ps1 #이 스크립트 파일의 함수 로드 Invoke-PasswordRoll -ComputerName (Get-Content computerlist.txt) -LocalAccounts @("administrator") -TsvFileName "LocalAdminCredentials.tsv" -NoEncryption -PasswordLength 40 "computerlist.txt" 파일에 저장된 모든 컴퓨터에 연결합니다. 로컬 계정 "administrator"가 시스템에 있는 경우 해당 암호는 길이 40의 임의로 생성된 암호로 변경됩니다. 사용자 이름/암호/서버 조합이 암호화되지 않은 LocalAdminCredentials.tsv에 저장됩니다. .NOTES 요구 사항: -PowerShellv2 이상을 설치해야 합니다. -PowerShell 원격이 스크립트가 실행될 모든 시스템에서 사용되도록 설정되어 있어야 합니다. 스크립트 동작: -로컬 계정이 시스템에 있지만 LocalAccounts 매개 변수에서 지정되지 않은 경우 해당 스크립트는 이 로컬 계정의 존재를 알리기 위해 화면에 경고를 작성합니다. 이러한 경우 스크립트가 계속 실행됩니다. -로컬 계정이 LocalAccounts 매개 변수에서 지정되었지만 해당 계정이 컴퓨터에 존재하지 않는 경우 아무 동작도 수행되지 않습니다(계정이 만들어지지 않음). -이 파일에 포함된 ConvertTo-CleartextPassword 함수를 사용하여 TSV 파일에 암호화되어 저장된 암호를 해독할 수 있습니다. -ComputerName에서 지정된 서버에 연결할 수 없는 경우 PowerShell이 오류 메시지를 출력합니다. -Microsoft는 회사가 정기적으로 모든 로컬 및 도메인 계정 암호를 롤링할 것을 권장합니다. #> [CmdletBinding(DefaultParameterSetName="Encryption")] Param( [Parameter(Mandatory=$true)] [String[]] $ComputerName, [Parameter(Mandatory=$true)] [String[]] $LocalAccounts, [Parameter(Mandatory=$true)] [String] $TsvFileName, [Parameter(ParameterSetName="Encryption", Mandatory=$true)] [String] $EncryptionKey, [Parameter()] [ValidateRange(20,120)] [Int] $PasswordLength = 20, [Parameter(ParameterSetName="NoEncryption", Mandatory=$true)] [Switch] $NoEncryption ) #필요한 모든 .net 클래스 로드 Add-Type -AssemblyName "System.Web" -ErrorAction Stop #ComputerName에서 지정된 모든 컴퓨터에서 실행되는 scriptblock입니다. $RemoteRollScript = { Param( [Parameter(Mandatory=$true, Position=1)] [String[]] $Passwords, [Parameter(Mandatory=$true, Position=2)] [String[]] $LocalAccounts, #이것이 여기에 있으므로 스크립트가 연결된 서버 이름을 기록할 수 있습니다. 때때로 DNS 레코드가 잘못되므로 이것이 있는 것이 유용할 수 있습니다. [Parameter(Mandatory=$true, Position=3)] [String] $TargettedServerName ) $LocalUsers = Get-WmiObject Win32_UserAccount -Filter "LocalAccount=true" | Foreach {$_.Name} #컴퓨터에 이 스크립트가 롤링하지 않을 암호를 가진 로컬 사용자 계정이 있는지 확인 foreach ($User in $LocalUsers) { if ($LocalAccounts -inotcontains $User) { Write-Warning "Server: '$($TargettedServerName)' has a local account '$($User)' whos password is NOT being changed by this script" } } #이 서버에 존재하는 지정된 모든 로컬 계정의 경우 암호 변경 $PasswordIndex = 0 foreach ($LocalAdmin in $LocalAccounts) { $Password = $Passwords[$PasswordIndex] if ($LocalUsers -icontains $LocalAdmin) { try { $objUser = [ADSI]"WinNT://localhost/$($LocalAdmin), user" $objUser.psbase.Invoke("SetPassword", $Password) $Properties = @{ TargettedServerName = $TargettedServerName Username = $LocalAdmin Password = $Password RealServerName = $env:computername } $ReturnData = New-Object PSObject -Property $Properties Write-Output $ReturnData } catch { Write-Error "Error changing password for user:$($LocalAdmin) on server:$($TargettedServerName)" } } $PasswordIndex++ } } #원격 컴퓨터가 아닌, 이 스크립트를 실행하는 클라이언트에서 암호 생성합니다. System.Web.Security는 .NET 클라이언트 프로필에서 사용할 수 없습니다. 이 스크립트가 실행되는 클라이언트에서 이 호출을 # 수행하면 1대의 컴퓨터에서만 설치된 전체 .NET 런타임이 필요하도록 보장합니다(롤링된 암호가 있는 모든 시스템과 반대로). function Create-RandomPassword { Param( [Parameter(Mandatory=$true)] [ValidateRange(20,120)] [Int] $PasswordLength ) $Password = [System.Web.Security.Membership]::GeneratePassword($PasswordLength, $PasswordLength / 4) #이것은 절대로 실패하지 않지만, 어쨌든 여기에 온전성 검사를 지정하겠습니다. if ($Password.Length -ne $PasswordLength) { throw new Exception("Password returned by GeneratePassword is not the same length as required. Required length: $($PasswordLength). Generated length: $($Password.Length)") } return $Password } #주 기능 - 암호를 생성하고 원격 컴퓨터의 암호를 지정된 로컬 계정의 암호로 변경 if ($PsCmdlet.ParameterSetName -ieq "Encryption") { try { $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionKey)) } catch { Write-Error "Error creating TSV encryption key" -ErrorAction Stop } } foreach ($Computer in $ComputerName) { #변경될 수 있는 각 계정의 암호 1개를 생성해야 함 $Passwords = @() for ($i = 0; $i -lt $LocalAccounts.Length; $i++) { $Passwords += Create-RandomPassword -PasswordLength $PasswordLength } Write-Output "Connecting to server '$($Computer)' to roll specified local admin passwords" $Result = Invoke-Command -ScriptBlock $RemoteRollScript -ArgumentList @($Passwords, $LocalAccounts, $Computer) -ComputerName $Computer #암호화를 사용할 경우 디스크에 쓰기 전에 사용자 공급 키로 암호를 암호화 if ($Result -ne $null) { if ($PsCmdlet.ParameterSetName -ieq "NoEncryption") { $Result | Select-Object Username,Password,TargettedServerName,RealServerName | Export-Csv -Append -Path $TsvFileName -NoTypeInformation } else { #반환된 $null 항목 필터링 $Result = $Result | Select-Object Username,Password,TargettedServerName,RealServerName foreach ($Record in $Result) { $PasswordSecureString = ConvertTo-SecureString -AsPlainText -Force -String ($Record.Password) $Record | Add-Member -MemberType NoteProperty -Name EncryptedPassword -Value (ConvertFrom-SecureString -Key $SecureStringKey -SecureString $PasswordSecureString) $Record.PSObject.Properties.Remove("Password") $Record | Select-Object Username,EncryptedPassword,TargettedServerName,RealServerName | Export-Csv -Append -Path $TsvFileName -NoTypeInformation } } } } }function ConvertTo-CleartextPassword { <# .SYNOPSIS 이 함수를 사용하여 Invoke-PasswordRoll 함수에 의해 암호화되어 저장된 암호를 해독할 수 있습니다. Function: ConvertTo-CleartextPassword Author: Microsoft Version: 1.0 .DESCRIPTION 이 함수를 사용하여 Invoke-PasswordRoll 함수에 의해 암호화되어 저장된 암호를 해독할 수 있습니다. .PARAMETER EncryptedPassword TSV 파일에 저장된 암호화된 암호. .PARAMETER EncryptionKey 암호화를 수행하는 데 사용된 암호. .EXAMPLE. .\Invoke-PasswordRoll.ps1 #이 스크립트 파일의 함수 로드 ConvertTo-CleartextPassword -EncryptionKey "Password1" -EncryptedPassword 76492d1116743f0423413b16050a5345MgB8AGcAZgBaAHUAaQBwADAAQgB2AGgAcABNADMASwBaAFoAQQBzADEAeABjAEEAPQA9AHwAZgBiAGYAMAA1ADYANgA2ADEANwBkADQAZgAwADMANABjAGUAZQAxAGIAMABiADkANgBiADkAMAA4ADcANwBhADMAYQA3AGYAOABkADcAMQA5ADQAMwBmAGYANQBhADEAYQBjADcANABkADIANgBhADUANwBlADgAMAAyADQANgA1ADIAOQA0AGMAZQA0ADEAMwAzADcANQAyADUANAAzADYAMAA1AGEANgAzADEAMQA5ADAAYwBmADQAZAA2AGQA" TSV 파일에 저장된 암호화된 암호를 해독합니다. #> Param( [Parameter(Mandatory=$true)] [String] $EncryptedPassword, [Parameter(Mandatory=$true)] [String] $EncryptionKey ) $Sha256 = new-object System.Security.Cryptography.SHA256CryptoServiceProvider $SecureStringKey = $Sha256.ComputeHash([System.Text.UnicodeEncoding]::Unicode.GetBytes($EncryptionKey)) [SecureString]$SecureStringPassword = ConvertTo-SecureString -String $EncryptedPassword -Key $SecureStringKey Write-Output ([System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($SecureStringPassword))) }