如何保存/恢复 Windows AD 密码？

Question

当用户不在时，我们经常需要调整、测试或修复某些软件。
例如，今天我们中的一个人在用户的计算机上设置了一个新的邮件帐户，但该用户正在休假。这就要求我们模拟用户。

当用户不在时在计算机上工作对我们和他们来说都很好。但这通常需要我们询问他们的 Windows 帐户密码，或者我们在使用之前更改它，然后用户回来时必须将其更改回来，但这需要他了解发生了什么。

是否有（快速）方法来保存然后恢复 Active Directory 密码？
1 - 我们保存密码
2 - 我们将密码更改为 TECHPASS123
3 - 我们在计算机上工作，我们测试用户帐户是否一切正常
4 - 我们恢复原始密码

Answer 1

由于以下几个原因，这是一个坏主意：

当您更改用户的密码以模拟他们然后将其改回时，它会绕过审计跟踪。有一条你做到了。如果该用户的帐户发生任何事情，这使您可以拒绝并保护您。允许绕过这条路径将是非常糟糕的政策。

想象一下，一名员工因拥有儿童色情内容而被解雇。如果你有一个随意交换这个散列的政策，几乎没有办法证明是员工而不是你做的。如果您要重置密码，则会有一个关于它的清晰日志条目，它将隔离您以该用户身份登录的时间。

做起来极其困难
虽然理论上可行，但您必须修改一大堆东西，这会使您的 Active Directory 处于不受支持的状态。这显然不是一件好事。或者您可以将密码存储在可逆加密中，但这样做是一个非常糟糕的主意。

它减少了你和用户之间的交流，
擅长支持用户的一部分就是与他们交流。通过设置，然后在绝对需要模拟时重置他们的密码，您被迫与该用户取得联系并解释发生了什么以及为什么。它提供了更多的信任感，而不仅仅是早上登录并看到事情有所不同。

Answer 2

对于本地计算机，您只需将c:\windows\system32\config\sam文件复制到临时计算机即可。完成后，只需复制回来即可。
但在 Windows 运行时您无法执行此操作。因此，您必须使用 Linux CD 或从 Windows CD 启动并打开命令行。

对于第一部分，您可以使用 runas 系统帐户或卷影副本在线完成。所以这是一个简单的步骤。
最后一部分必须离线完成。如果有人在网上找到了如何做到这一点，我会很高兴知道如何做。

请注意，如果您检查密码重用，可能会遇到问题。

问题是：这不适用于活动目录，因为您不想在中午重新启动服务器。如果您有多个域控制器，则这根本不起作用。

有些软件可以即时完成。我用过一个，我忘记了名字（它的名字中有“迁移”），对于这种用途来说它是多余的。我不知道它是否存在，是否适用于 7 或 2008。也许存在更轻的软件，但我不知道。