Forçar logoff imediato do usuário autenticado (caso de emergência)

No Active Directory, se você deseja impedir que um usuário efetue login, você pode desativar a conta ou simplesmente redefinir a senha. No entanto, se você possui um usuário que já está conectado a uma estação de trabalho e precisa impedi-lo de acessar qualquer recurso o mais rápido possível - como você faz isso? Falo de uma situação de emergência em que um trabalhador é demitido com efeito imediato e existe o risco de causar estragos se não for bloqueado imediatamente para fora da rede.

Alguns dias atrás, fui confrontado com um caso semelhante. No começo, eu não tinha certeza de como agir. Impedir o acesso do usuário a compartilhamentos de rede é fácil, mas isso não é suficiente. Eventualmente, desliguei o computador de destino com o Stop-Computer -ComputerName <name> -Forcecmdlet do PowerShell e, no meu caso, isso resolveu o problema. No entanto, em alguns casos, essa pode não ser a melhor opção, digamos, se o usuário que você precisa cortar estiver conectado em várias estações de trabalho ou em um computador que fornece um serviço importante e você simplesmente não pode desligá-lo.

Qual é a melhor solução possível para forçar remotamente um logoff imediato do usuário em todas as estações de trabalho? Isso é possível no Active Directory?

Melhor solução: um segurança escolta a pessoa para fora ...

Segunda melhor solução:

1. Primeiro, verifique o número da sessão com qwinsta: QWINSTA / server: computername
2. Anote o ID da sessão.
3. Em seguida, use o comando logoff: LOGOFF sessionID / server: computername.

C:\>qwinsta /?
Display information about Remote Desktop Sessions.

QUERY SESSION [sessionname | username | sessionid]
              [/SERVER:servername] [/MODE] [/FLOW] [/CONNECT] [/COUNTER] [/VM]

  sessionname         Identifies the session named sessionname.
  username            Identifies the session with user username.
  sessionid           Identifies the session with ID sessionid.
  /SERVER:servername  The server to be queried (default is current).
  /MODE               Display current line settings.
  /FLOW               Display current flow control settings.
  /CONNECT            Display current connect settings.
  /COUNTER            Display current Remote Desktop Services counters information.
  /VM                 Display information about sessions within virtual machines.


C:\>logoff /?
Terminates a session.

LOGOFF [sessionname | sessionid] [/SERVER:servername] [/V] [/VM]

  sessionname         The name of the session.
  sessionid           The ID of the session.
  /SERVER:servername  Specifies the Remote Desktop server containing the user
                      session to log off (default is current).
  /V                  Displays information about the actions performed.
  /VM                 Logs off a session on server or within virtual machine. The unique ID of the session needs to be specified.

Eu escrevi um script em lote rudimentar para isso. Eu preciso de alguns unixtoolsno caminho, bem como psexec.

@ECHO OFF
:: Script to log a user off a remote machine
::
:: Param 1: The machine
:: Param 2: The username

psexec \\%1 qwinsta | grep %2 | sed 's/console//' | awk '{print $2}' > %tmp%\sessionid.txt
set /p sessionid=< %tmp%\sessionid.txt
del /q %tmp%\sessionid.txt
psexec \\%1 logoff %sessionid% /v

Não é totalmente baseado em AD, mas deve fazer o que você deseja.

Desativar ou expirar conta

import-module activedirectory
set-aduser -identity "username" -accountexperationdate "12:09 pm"

ou

set-aduser -identity "username" -enabled $false

Em seguida, desconecte o usuário da máquina

shutdown -m "\\computername" -l

Outra maneira de fazer logoff do usuário é usar um utilitário interno do Windows, em um prompt de comando administrativo

logoff 1 /SEVER:computername

Isso faz o logon da sessão 1 do computador remoto. Se você não souber o ID da sessão (1 é o padrão), poderá usar o quser na máquina remota para encontrá-lo.

Você pode bloquear a sessão do usuário remotamente com wmic:

1 - Primeiro, altere a senha do usuário:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] [NewPassword]"

2 - Desative a conta:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] /active:no"

3 - Em seguida, desconecte a sessão do usuário:

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "tsdiscon"

Isso tem um valor agregado, já que você não perderá a sessão do usuário atual e, portanto, ao desbloquear as estações de trabalho, poderá ver se ele estava tentando fazer algo desagradável antes de ser levado até a porta.

Todos os créditos no Blog Kung Fu da Linha de Comando . Há um monte de coisas loucas relacionadas à segurança / forense lá!

ATUALIZAÇÃO: as duas primeiras etapas são destinadas a usuários locais, em um ambiente de diretório ativo é realmente mais fácil, desabilite a conta e altere a senha no AD e execute o terceiro comando no endereço IP do usuário mal-intencionado.

Basta alterar as horas de logon para logon negado por todas as horas nas propriedades do usuário. Isso os desconectará imediatamente de onde quer que eles estejam conectados.