डायरेक्ट्री सेवा पुनर्स्थापना मोड (डीएसआरएम):विंडोज सर्वर डोमेन नियंत्रकों के लिए सुरक्षित बूट

<पी>

<पी> द्वारा

राहुल अवती

<पी> प्रकाशित:14 अगस्त, 2023

<पी> डायरेक्ट्री सर्विसेज रिस्टोर मोड (डीएसआरएम) विंडोज सर्वर डोमेन नियंत्रकों के लिए एक सुरक्षित मोड बूट विकल्प है। डीएसआरएम एक प्रशासक को सक्रिय निर्देशिका (एडी) डेटाबेस की मरम्मत, पुनर्प्राप्ति या पुनर्स्थापित करने में सक्षम बनाता है। DSRM में एक डोमेन नियंत्रक को पुनरारंभ करने से यह ऑफ़लाइन हो जाता है इसलिए यह केवल एक नियमित सर्वर के रूप में कार्य करता है।

<पी> डीएसआरएम विंडोज़ ऑपरेटिंग सिस्टम में सेफ मोड के समान है। हालाँकि, यह केवल Windows सर्वर डोमेन नियंत्रकों में उपलब्ध है। DSRM मोड Windows सर्वर के इन संस्करणों में उपलब्ध है:

विंडोज सर्वर 2022।
विंडोज सर्वर 2019।
विंडोज सर्वर 2016।
Windows Server 2012 R2.
Windows Server 2008 R2.
विंडोज सर्वर 2008.
विंडोज सर्वर 2003.

<पी> डीएसआरएम का मुख्य उद्देश्य एडी डेटाबेस को पुनर्स्थापित या मरम्मत करने के लिए सिस्टम व्यवस्थापकों को सिस्टम में लॉग इन करने में मदद करना है। डीएसआरएम का उपयोग करने के लिए, व्यवस्थापकों को पासवर्ड के साथ एक डीएसआरएम स्थानीय व्यवस्थापक खाता बनाना होगा। जब उन्हें डीएसआरएम के साथ एक डोमेन नियंत्रक में साइन इन करने की आवश्यकता होती है - सर्वर बूटअप के दौरान - और सिस्टम त्रुटि या विफलता के बाद एडी बैकअप को पुनर्स्थापित करने के लिए उन्हें उस खाते का उपयोग करना होगा। डोमेन नियंत्रक की तैनाती के दौरान व्यवस्थापक खाते का पासवर्ड शायद ही कभी बदलता है। हालाँकि, इसे Ntdsutil टूल का उपयोग करके सर्वर को पुनरारंभ किए बिना डोमेन में किसी भी सर्वर के लिए रीसेट किया जा सकता है।

DSRM बनाम सुरक्षित मोड

<पी> Windows सर्वर डोमेन नियंत्रक के लिए, DSRM सुरक्षित मोड के समान नहीं है। डीएसआरएम का उपयोग तब किया जाता है जब नियंत्रक सुरक्षित मोड में प्रारंभ करने का प्रयास करता है और असमर्थ होता है। सामान्य तौर पर, डीएसआरएम की आवश्यकता केवल तभी होती है जब एडी क्षतिग्रस्त हो और प्रशासक को अपने नियमित एडी क्रेडेंशियल्स का उपयोग करके लॉग ऑन करने की अनुमति नहीं देता है। ऐसी स्थितियों में, AD सामान्य रूप से बूट नहीं होता है, इसलिए DSRM की आवश्यकता होती है, विशेष रूप से AD डोमेन-वाइड या फ़ॉरेस्ट-वाइड रिस्टोर करते समय।

एडमिन के लिए DSRM खाते में लॉग इन करने की प्रक्रिया

<पी> DSRM में डोमेन नियंत्रक को पुनरारंभ करने के लिए, व्यवस्थापकों को DSRM व्यवस्थापक खाते में लॉग इन करना होगा। इस प्रक्रिया में ये चरण शामिल हैं:

डीएसआरएम बूट करें, और स्विच यूजर> अन्य यूजर पर क्लिक करें।
लॉगऑन खाता नाम के रूप में, .\Administrator टाइप करें।
Ntdsutil कमांड-लाइन टूल के साथ .\एडमिनिस्ट्रेटर खाते के लिए DSRM पासवर्ड रीसेट करें।
यदि AD सर्वर काम नहीं कर रहा है, तो लॉस्ट-पासवर्ड रिकवरी टूल से DSRM पासवर्ड रीसेट करें।

<पी> डीएसआरएम खाते में लॉग इन करते समय, प्रारंभिक लॉगऑन प्रॉम्प्ट खाते का नाम MyDomain\Administrator के रूप में दिखा सकता है। हालाँकि, यह काम नहीं करता है, इसलिए व्यवस्थापक उपयोगकर्ता को पहले स्विच उपयोगकर्ता पर क्लिक करना होगा और मैन्युअल रूप से नाम टाइप करना होगा .\Administrator।

<पी> BIOS पावर-ऑन सेल्फ-टेस्ट स्क्रीन के बाद और विंडोज लोगो दिखाई देने से पहले F8 कुंजी को बार-बार दबाकर DSRM में मैन्युअल बूटिंग भी संभव है। ऐसा करने से उन्नत बूट विकल्पों के साथ एक टेक्स्ट मेनू खुल जाता है, जैसे डायरेक्ट्री सर्विसेज रिस्टोर मोड या डीएस रिस्टोर मोड। व्यवस्थापक विकल्प का चयन कर सकते हैं और डीएसआरएम में प्रवेश करने के लिए एंटर कुंजी दबा सकते हैं।

हालांकि डोमेन नियंत्रक बड़े संगठनों को नेटवर्क एक्सेस प्रमाणीकरण और प्राधिकरण की सुरक्षा में मदद करते हैं, लेकिन उनकी कीमत चुकानी पड़ती है।

Windows सर्वर में DSRM एडमिन पासवर्ड रीसेट करने की प्रक्रिया

<पी> जब AD को Windows सर्वर पर स्थापित किया जाता है और डोमेन नियंत्रक के लिए प्रचार प्रक्रिया के दौरान, इंस्टॉल विज़ार्ड व्यवस्थापक को DSRM पासवर्ड चुनने के लिए संकेत देता है। यदि बाद में कुछ गलत होता है तो यह पासवर्ड व्यवस्थापक को डेटाबेस के लिए एक पिछला दरवाजा प्रदान करता है। डीएसआरएम में रखरखाव और पुनर्प्राप्ति कार्य करने के लिए पासवर्ड भी आवश्यक है; हालाँकि, यह डोमेन या किसी भी सेवा तक पहुँच प्रदान नहीं करता है।

<पी> यदि व्यवस्थापक DSRM पासवर्ड भूल जाते हैं या खो देते हैं, तो वे Ntdsutil कमांड-लाइन टूल का उपयोग करके इसे बदल सकते हैं। यह टूल Setpwd उपयोगिता के साथ एकीकृत है जो Windows 2000 से Microsoft Windows का हिस्सा रहा है। Windows सर्वर में DSRM एडमिन पासवर्ड को रीसेट करने की प्रक्रिया इस प्रकार है:

प्रारंभ> चलाएँ पर क्लिक करें, Ntdsutil टाइप करें और फिर OK पर क्लिक करें।
Ntdsutil कमांड प्रॉम्प्ट पर, सेट dsrm पासवर्ड टाइप करें।
डीएसआरएम कमांड प्रॉम्प्ट पर, वर्तमान सर्वर पर पासवर्ड रीसेट करने के लिए या तो सर्वर पर रीसेट पासवर्ड टाइप करें या किसी अन्य सर्वर पर पासवर्ड रीसेट करने के लिए सर्वर सर्वरनाम पर पासवर्ड रीसेट करें।
नया पासवर्ड टाइप करें।
DSRM कमांड प्रॉम्प्ट पर, q टाइप करें।
Ntdsutil कमांड प्रॉम्प्ट पर, बाहर निकलने के लिए फिर से q टाइप करें।

<पी> डीएसआरएम पासवर्ड को उस सर्वर के लिए रीसेट किया जा सकता है जिस पर व्यवस्थापक वर्तमान में काम कर रहा है या डोमेन में किसी अन्य डोमेन नियंत्रक के लिए। हर बार पासवर्ड बदलने पर, एक विंडोज़ इवेंट आईडी (4794) उत्पन्न होती है ताकि अन्य अधिकृत व्यवस्थापक इन प्रयासों को देख सकें और निर्धारित कर सकें कि क्या कोई प्रयास किसी गैर-व्यवस्थापक या दुर्भावनापूर्ण उपयोगकर्ता द्वारा किया गया था।

डीएसआरएम के सुरक्षा जोखिम

<पी> डीएसआरएम व्यवस्थापक खाते के पासवर्ड का दुर्भावनापूर्ण घुसपैठियों द्वारा शोषण किया जा सकता है, जिससे संगठनों के लिए एक बड़ा सुरक्षा जोखिम पैदा हो सकता है। उदाहरण के लिए, धमकी देने वाले कलाकार डोमेन नियंत्रक में एक स्थायी बैकडोर बनाने के लिए पासवर्ड का उपयोग कर सकते हैं। यह पिछला दरवाजा उन्हें एंटरप्राइज़ नेटवर्क में दृढ़ता बनाए रखने और संवेदनशील संसाधनों और डेटा तक पहुंच प्राप्त करने के लिए किसी भी समय एडी तक पहुंचने में सक्षम बनाता है। वे AD से क्रेडेंशियल भी चुरा सकते हैं, विशेषाधिकार प्राप्त सेवा खातों में हेरफेर कर सकते हैं और विंडोज़ में लोकल लूप मल्टीकास्ट नेम रिज़ॉल्यूशन फ़ंक्शन का उपयोग करके ट्रैफ़िक पैकेट को रोक सकते हैं।

<पी> कुछ मामलों में, हैकर्स खुली कमजोरियों का फायदा उठाकर या सोशल इंजीनियरिंग के माध्यम से विशेषाधिकार प्राप्त खाता हैश चुराने या अपने विशेषाधिकार बढ़ाने में भी सक्षम हो सकते हैं। भूले हुए, खोए हुए या डिफ़ॉल्ट डीएसआरएम एडमिन अकाउंट पासवर्ड से मैलवेयर हमलों, लाइटवेट डायरेक्ट्री एक्सेस प्रोटोकॉल टोही और यहां तक कि डोमेन प्रभुत्व का खतरा भी बढ़ जाता है। AD तक निर्बाध पहुंच हमलावरों को संगठन की बैकअप प्रक्रिया से समझौता करने और ntds.dit फ़ाइल से सभी AD डेटा निकालने में भी सक्षम कर सकती है।

<पी> इन जोखिमों से बचने के लिए, व्यवस्थापक उपयोगकर्ताओं को अपने DSRM खाता पासवर्ड नियमित रूप से अपडेट करने चाहिए। इसके अलावा, उन्हें डिफ़ॉल्ट पासवर्ड का उपयोग नहीं करना चाहिए। प्रत्येक डोमेन नियंत्रक के लिए अद्वितीय खाता पासवर्ड सेट करना भी महत्वपूर्ण है।

<पी> <पी> डीएसआरएम एडमिन अकाउंट पासवर्ड को सुरक्षित रखने के लिए अन्य अच्छी सुरक्षा प्रथाओं में निम्नलिखित शामिल हैं:

रजिस्ट्री में, HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior रजिस्ट्री कुंजी का मान 1 पर सेट करें।
रजिस्ट्री में, सुनिश्चित करें कि HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior रजिस्ट्री कुंजी का मान 2 पर सेट नहीं है।
Windows इवेंट आईडी 4794 की निगरानी करें, और यदि ऐसा होता है तो व्यवस्थापकों को सूचित करने के लिए अलर्ट सेट करें।

<पी> जानें कि AD में सामान्य समस्याओं के निवारण के लिए किन तकनीकों का उपयोग किया जा सकता है और प्रतिकृति समस्या निवारण पर युक्तियाँ।

डायरेक्ट्री सर्विसेज रिस्टोर मोड (DSRM) के बारे में पढ़ना जारी रखें

विंडोज 11 सेफ मोड कैसे काम करता है और इसका उपयोग कब करना है

सक्रिय निर्देशिका पुनर्प्राप्ति विधियों के साथ सुधार पर वापस आएं

DNS बैकअप करना और पुनर्स्थापित करना सीखें

Linux और Windows के लिए DNS सर्वर समस्या निवारण

AD समूह सदस्यता बैकअप और पुनर्स्थापना कैसे करें

Microsoft पहचान और पहुंच प्रबंधन पर गहराई से विचार करें

कड़ी सुरक्षा के लिए Windows LAPS कैसे तैनात करें
<पी>
<पी> द्वारा:ब्रायन पोसी
डोमेन नियंत्रक क्या है?
<पी>
<पी> द्वारा:गेविन राइट
सुरक्षा, गति के लिए रीड-ओनली डोमेन नियंत्रक तैनात करें
<पी>
<पी> द्वारा:डेमन गार्न
Windows Server 2025 में नई सक्रिय निर्देशिका सुविधाएँ आ रही हैं
<पी>
<पी> द्वारा:ब्रायन पोसी