Gpo on slash-root.fr

GPO: Disable web search from taskbar

Thu, 24 Mar 2022 22:49:53 +0100

Présentation

Une machine Windows Server 2019 contrôleur de domaine.
Une machine client sous Windows 10 Professionnel.

Le but est de ne plus avoir l'onglet Web ni la mention Rechercher sur le Web

Première solution

Dans le Gestionnaire du serveur / Outils / Gestion des stratégies de groupe

Dans Objets de stratégie de groupe / Clic droit -> Nouveau.
Nommez votre stratégie et faites un clic droit / Modifier sur votre nouvelle GPO

Cette fenêtre apparait :

Sélectionnez une stratégie Configuration Ordinateur / Modèles d'administration / Composants Windows / Rechercher
Activez les trois paramètres suivants :
- Ne pas autoriser la recherche Web
- Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search
- Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search via des connexions limitées

Pensez à positionnez votre nouvelle GPO sur l'unité organisationnelle concernée
Appliquez la GPO à l'aide de la commande gpudate /force dans l'invite de commande

gpupdate /force

Deuxième solution

Il est possible que la première solution ne fonctionne pas, dans ce cas il faudra créer une GPO qui modifiera le registre.

Toujours dans l'éditeur de gestion des stratégies de groupe, après avoir créé une nouvelle GPO :

Sélectionnez une stratégie Configuration utilisateur / Préférences / Paramètres Windows
Effectuez un clic droit sur Registre / Nouveau / Élément Registre

La fenetre suivante apparait :

Remplissez cette fenêtre comme suit :

Action : Créer
Ruche : HKEY_CURRENT_USER
Chemin d'accès de la clé : Software\Policies\Microsoft\Windows\Explorer
Nom de la valeur : DisableSearchBoxSuggestions
Type de valeur : REG_DWORD
Données de valeur : 1

L'élément de registre a bien été ajouté :

Pensez à positionnez votre nouvelle GPO sur l'unité organisationnelle concernée
Appliquez la GPO à l'aide de la commande gpudate /force dans l'invite de commande

gpupdate /force

Vérification

L'onglet Web ainsi que la mention Rechercher sur le web ont bien été désactivés :

Samba : Installation d’un contrôleur de domaine

Fri, 29 Oct 2021 10:40:56 +0200

Introduction

Samba permet d'implémenter le protocole propriétaire SMB/CIFS de Microsoft sous un environnement Unix et ses dérivés. Il offre la possibilité de partager des ressources dans un SI hétérogène Windows/Linux.

A partir de la version 3, Samba fournit le partage de fichiers/imprimantes et peut intégrer un domaine Active Directory en tant que membre. Il peut également être PDC (Primary Domain Controller) avec un niveau fonctionnel NT4.

A partir de la version 4, Samba peut servir de contrôleur de domaine Active Directory avec un niveau fonctionnel Windows Server 2008 et offre les services d'authentification AD. Des GPOs peuvent être déployées.

Dans cette procédure, une distribution Debian 10 et Samba en version 4 sont utilisées.

Le serveur samba sera nommé : srv-samba
Le domaine sera : domaine.local
L'adresse IP du serveur samba sera : 192.168.1.10

Préparation

Modifier le nom du serveur en y indiquant le futur domaine :

sudo echo "srv-samba.domaine.local" > /etc/hostname # Pour la persistence après un reboot
sudo hostname $(cat /etc/hostname) # Pour modifier le nom sans avoir à reboot

Attribuer une adresse IP fixe :

sudo vi /etc/network/interfaces
# Exemple :
# auto ens18
# iface ens18 inet static
# address 192.168.1.10
# netmask 255.255.255.0
# gateway 192.168.1.254

Modifier le fichier hosts en conséquence :

sudo echo "192.168.1.10 srv-samba.domaine.local srv-samba" >> /etc/hosts

Installation et configuration de Samba

Installation des paquets nécessaires :
```
sudo apt -y install samba krb5-config winbind smbclient
```
- Modifier smb.conf pour utiliser les paramètres WINS fournis par DHCP ? : Non
- Royaume (« realm ») Kerberos version 5 par défaut : domaine.local
- Serveurs Kerberos du royaume : srv-samba.domaine.local
- Serveur administratif du royaume Kerberos : srv-samba.domaine.local
Samba est installé.

Création du domaine

Renommer le fichier de configuration principal de samba /etc/samba/smb.conf :
```
sudo mv /etc/samba/smb.conf /etc/samba/smb.conf.org
```
Provisionner le domaine :
```
sudo samba-tool domain provision
```
- Realm [DOMAINE.LOCAL]: Appuyer sur Entrée
- Domain [DOMAINE]: Appuyer sur Entrée
- Server Role (dc, member, standalone) [dc]: Appuyer sur Entrée
- DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]: Appuyer sur Entrée (Le serveur DNS sera interne à Samba dans cette installation)
- DNS forwarder IP address (write 'none' to disable forwarding) [1.1.1.1]: Appuyer sur Entrée
- Administrator password: Saisir le mot de passe admin du domaine
- Retype password: Ressaisir le mot de passe admin du domaine

Le domaine est créé :

Looking up IPv4 addresses
Looking up IPv6 addresses
No IPv6 address will be assigned
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
Unable to determine the DomainSID, can not enforce uniqueness constraint on local domainSIDs

Adding DomainDN: DC=domaine,DC=local
Adding configuration container
Setting up sam.ldb schema
Setting up sam.ldb configuration data
Setting up display specifiers
Modifying display specifiers and extended rights
Adding users container
Modifying users container
Adding computers container
Modifying computers container
Setting up sam.ldb data
Setting up well known security principals
Setting up sam.ldb users and groups
Setting up self join
Adding DNS accounts
Creating CN=MicrosoftDNS,CN=System,DC=domaine,DC=local
Creating DomainDnsZones and ForestDnsZones partitions
Populating DomainDnsZones and ForestDnsZones partitions
Setting up sam.ldb rootDSE marking as synchronized
Fixing provision GUIDs
A Kerberos configuration suitable for Samba AD has been generated at /var/lib/samba/private/krb5.conf
Merge the contents of this file with your system krb5.conf or replace it with this one. Do not create a symlink!
Once the above files are installed, your Samba AD server will be ready to use
Server Role: active directory domain controller
Hostname: srv-samba
NetBIOS Domain: DOMAINE
DNS Domain: domaine.local
DOMAIN SID: S-1-5-21-1555810112-1359199810-2012430263

Mise en service du domaine

Copier le fichier de configuration de kerberos dans le répertoire /etc :
```
sudo cp /var/lib/samba/private/krb5.conf /etc/
```
Arrêter les services SMB, NMBD et Bind :
```
sudo systemctl stop smbd nmbd winbind
```
Désactiver les services SMB, NMBD et Bind :
```
sudo systemctl disable smbd nmbd winbind
```
Rendre visible le service samba-ad-dc :
```
sudo systemctl unmask samba-ad-dc
```
Démarrer le service :
```
sudo systemctl start samba-ad-dc
```
Activer le service :
```
sudo systemctl enable samba-ad-dc
```
Vérifier le statut de Samba :
```
smbclient -L localhost -U%
```

Tout est OK :

 Sharename Type Comment
 --------- ---- -------
 netlogon Disk
 sysvol Disk
 IPC$ IPC IPC Service (Samba 4.9.5-Debian)
Reconnecting with SMB1 for workgroup listing.

 Server Comment
 --------- -------

 Workgroup Master
 --------- -------
 WORKGROUP SRV-SAMBA

Vérifier le niveau fonctionnel du domaine :
```
sudo samba-tool domain level show
```

Le niveau fonctionnel du domaine est Windows 2008 R2 :

Domain and forest function level for domain 'DC=domaine,DC=local'

Forest function level: (Windows) 2008 R2
Domain function level: (Windows) 2008 R2
Lowest function level of a DC: (Windows) 2008 R2

Création utilisateur

Créer un 1er utilisateur dans l'annuaire :
```
sudo samba-tool user create superman
```

Indiquer le mot de passe de superman :

New Password:
Retype Password:
User 'superman' created successfully

Jonction au domaine

La jonction au domaine d'un poste Windows est identique qu'avec un contrôleur de domaine Microsoft. Les outils d'administrations (RSAT) peuvent être employé pour administrer les objets du domaine (dsa.msc), les gpo (gpmc.msc), le serveur dns (dnsmgmt.msc)...

Avec un DC Microsoft, un compte utilisateur du domaine peut être employé pour joindre un poste au domaine. Avec samba, le compte administrator doit être employé.

Tactical RMM : Agent installation

Thu, 21 Oct 2021 10:35:03 +0200

A lire

Pour l'instant seul un agent Windows est pleinement fonctionnel. Les versions Linux et macOS sont en cours de développement.
Afin d'éviter la détection de l'agent par l'antivirus, 2 solutions :
- Agent avec code signé par Microsoft.
Un don mensuel de 50$ est demandé afin d'avoir accès à l'agent avec le code signé Microsoft. Le status Sponsor est alors attribué au sein du projet Tactical RMM.
- Agent sans code signé par Microsoft.
Le setup généré dynamiquement de l'agent (explications plus bas) sans code signé peut provoquer une alerte virale sur votre système. L'utilisation de l'agent générique (via script, gpo) ne provoque pas d'alerte virale.
Penser à vérifier vos exclusions antivirus une fois l'agent Windows déployé:
```
C:\Program Files\TacticalAgent\*
C:\Program Files\Mesh Agent\*
C:\Windows\Temp\winagent-v*.exe
C:\Windows\Temp\trmm\*
C:\temp\tacticalrmm*.exe
```
Lors du déploiement de l'agent, les exclusions sont automatiquement créées dans Windows Defender.
Par défaut les mises à jour Windows sont désactivées automatiquement après l'installation de l'agent.

Déploiement agent

L'exécution de l'installation des agents doit être effectué sur les hôtes à surveiller.

Déploiement manuel

Se rendre sur https://rmm.example.com.
Clic droit sur le client/site puis Install Agent.
Vérifier que le Client et le Site soient corrects.
Définir le type de machine (Server / Workstation) à qui s'adresse l'agent.
Définir le temps de validité de l'agent (Token expiration).
Définir les options appliqués par l'agent (Enable RDP, Enable Ping, Disable sleep/hibernate).
Sélectionner la méthode d'installation souhaitée :
- Agent généré dynamiquement
Attention à l'antivirus si le code de l'agent est non signé par Microsoft. Voir la section A lire au début de cet article.
- Powershell : Génération d'un script Powershell. L'agent est générique et le scripts contient tous les paramètres de l'agent.
- Autoriser l'exécution du script Powershell :
```
PS C:\> Set-ExecutionPolicy Unrestricted
```
- Manuel : L'agent est générique. Le script d'exécution est afficher à l'écran. Cette méthode est préconisée pour l'intégration dans des scripts et/ou des GPOs.
Attention à la durée du token si cette méthode est choisie pour une utilisation dans des scripts et/ou GPOs. Mettre une valeur très importante si besoin d'une validité permanente.

Lien de déploiement

A partir du client, se rendre sur https://rmm.example.com.
Menu Agents puis Manage Deployments.

Astuce : Créer un client/site default avec un lien de déploiement (token avec une longue expiration) pour avoir une URL générique. Puis déplacer l'agent dans le client / site souhaité.

L'agent téléchargé à travers ce lien est de type dynamique. Il est potentiellement détectable par les antivirus (si code non signé). Se référer à la section A lire en début de cet article.

Déploiement par GPO

La GPO de déploiement de l'agent doit être appliquée au niveau ordinateur afin que l'installation de l'agent se déroule sous un compte Local System ayant les droits nécessaires.

Récupérer le script d'installation de l'installation manuelle (voir plus haut) ainsi que l'exécutable de l'agent générique.
Stocker le script et l'agent.exe dans un dossier partager du contrôleur de domaine (exemple: C:\agent_rmm\).
Sur le domaine Windows, ouvrir la console MMC des GPOs :

gpmc.msc

Créer une nouvelle GPO ciblant une OU contenant des Ordinateurs.

Editer cette GPO. Trois étapes sont nécessaire pour que celle-ci fonctionne parfaitement.
- La création d'un dossier sur le poste client.
- La copie du script et de l'agent.exe sur le poste client.
- L'exécution d'un script au démarrage du poste client :
```
cd c:\agent_rmm
agent_rmm.bat
```
Patienter ou forcer l'application de la nouvelle GPO :

gpupdate /force

Un modèle de GPO importable dans un domaine est disponible : ICI

Arguments optionnels

Quelques arguments qui peuvent être utilisés dans des scripts :
- -log debug : Affiche un log verbeux lors de l'installation de l'agent
- -silent : Aucun message durant l'installation de l'agent
- -proxy "http://proxyserver:port" : Pour utiliser un proxy
- -meshdir "C:\Mesh Agent" : Spécifier le chemin contenant meshagent.exe
- -nomesh : N'installe pas l'agent meshcentral. Pas de take control, remote terminal, file browser