การใช้งาน WHfBTools PowerShell โมดูลเพื่อทำความสะอาดกำพร้า Windows Hello สำหรับคีย์ธุรกิจ

การติดตั้งโมดูลของ WHfBTools มือ PowerShell

ติดตั้งผ่านทาง PowerShell

PS> Install-Module WHfBTools

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module WHfBTools

หรือติดตั้งโดยใช้การดาวน์โหลดจากแกลเลอรี่ของ PowerShell

1. ไปที่https://www.powershellgallery.com/packages/WHfBTools

2. ดาวน์โหลดไฟล์ดิบ. nupkg ไปยังโฟลเดอร์ภายในเครื่องและเปลี่ยนชื่อด้วย. zip นามสกุล

3. แยกเนื้อหาไปยังโฟลเดอร์ภายในตัวอย่างเช่น C:\ADV190026

เริ่มการทำงานของ PowerShell คัดลอกและเรียกใช้คำสั่งต่อไปนี้:

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV190026\WHfBTools

PS> Import-Module .\WHfBTools.psd1

การติดตั้งการอ้างอิงสำหรับการใช้โมดูล WHfBTools

ถ้าคุณกำลังสอบถามไดเรกทอรีที่ใช้งานอยู่ของ Azure สำหรับคีย์กำพร้าติดตั้งโมดูล MSAL.PS PowerShell

ติดตั้งผ่านทาง PowerShell

PS> Install-Module -Name MSAL.PS -RequiredVersion 4.5.1.1

PS> Import-Module MSAL.PS

หรือติดตั้งโดยใช้การดาวน์โหลดจากแกลเลอรี่ของ PowerShell

1. ไปที่https://www.powershellgallery.com/packages/MSAL.PS/4.5.1.1

2. ดาวน์โหลดไฟล์ดิบ. nupkg ไปยังโฟลเดอร์ภายในเครื่องและเปลี่ยนชื่อด้วย. zip นามสกุล

3. แยกเนื้อหาไปยังโฟลเดอร์ภายในเครื่องตัวอย่างเช่น C:\MSAL.PS

เริ่มการทำงานของ PowerShell คัดลอกและเรียกใช้คำสั่งต่อไปนี้:

PS> CD C:\MSAL.PS

PS> Import-Module .\MSAL.PS.psd1

ถ้าคุณกำลังสอบถามเกี่ยวกับไดเรกทอรีที่ใช้งานอยู่สำหรับคีย์กำพร้าติดตั้งเครื่องมือผู้ดูแลเซิร์ฟเวอร์ระยะไกล (RSAT): บริการระบบโดเมนไดเรกทอรีที่ใช้งานอยู่และเครื่องมือบริการไดเรกทอรีน้ำหนักเบา

ติดตั้งผ่านการตั้งค่า (Windows 10 รุ่น๑๘๐๙หรือใหม่กว่า)

1. ไปที่การตั้งค่า-> แอป-> คุณลักษณะเสริม-> เพิ่มคุณลักษณะ

2. เลือก RSAT: บริการระบบโดเมนไดเรกทอรีที่ใช้งานอยู่และเครื่องมือบริการไดเรกทอรีที่มีน้ำหนักเบา

3. เลือกติดตั้ง

หรือติดตั้งผ่านทาง PowerShell

PS> dism /online /Add-Capability /CapabilityName:Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

หรือติดตั้งผ่านการดาวน์โหลด

1. ไปที่Https://www.microsoft.com/en-us/download/details.aspx?id=45520 (การเชื่อมโยง Windows 10)

2. ดาวน์โหลดเครื่องมือการดูแลเซิร์ฟเวอร์ระยะไกลสำหรับ Windows 10 โปรแกรมติดตั้ง

3. เปิดตัวติดตั้งเมื่อการดาวน์โหลดเสร็จสมบูรณ์

แบบสอบถามสำหรับคีย์กำพร้าและคีย์ที่ได้รับผลกระทบโดยCVE-2017-15361 (ROCA)

แบบสอบถามสำหรับคีย์ในไดเรกทอรีที่ใช้งานอยู่ของ Azure โดยใช้คำสั่งต่อไปนี้:

PS> Get-AzureADWHfBKeys -Logging -Report -Tenant contoso.com -All | Export-Csv C:\AzureKeys.csv

คำสั่งนี้จะสอบถาม "contoso.com"ผู้เช่าสำหรับทั้งหมดลงทะเบียน Windows Hello สำหรับคีย์สาธารณะธุรกิจและจะส่งออกข้อมูลที่จะC:\AzureKeys.csv. แทนcontoso.comกับชื่อผู้เช่าของคุณเพื่อสอบถามผู้เช่าของคุณ

เอาต์พุต Csv,AzureKeys.csvจะประกอบด้วยข้อมูลต่อไปนี้สำหรับแต่ละคีย์:

• ชื่อหลักของผู้ใช้

• ผู้เช่า

• ใช้

• รหัสคีย์

• เวลาที่สร้าง

• สถานะกำพร้า

• สนับสนุนสถานะแจ้งเตือน

• สถานะช่องโหว่ของ ROCA

Get-AzureADWHfBKeysจะยังแสดงผลสรุปของคีย์ที่ถูกสอบถามด้วย สรุปนี้มีข้อมูลต่อไปนี้:

• จำนวนของผู้ใช้ที่สแกน

• จำนวนของคีย์ที่สแกน

• จำนวนผู้ใช้ที่มีคีย์

• จำนวนคีย์ที่มีช่องโหว่ของ ROCA

ทราบ อาจมีอุปกรณ์เก่าในผู้เช่าโฆษณา Azure ของคุณกับ Windows Hello สำหรับคีย์ธุรกิจที่เกี่ยวข้อง คีย์เหล่านี้จะไม่ถูกรายงานเป็นกำพร้าแม้ว่าอุปกรณ์เหล่านั้นจะไม่ถูกใช้อย่างแข็งขัน. เราขอแนะนำให้ทำตามวิธีการ: จัดการอุปกรณ์เก่าในโฆษณา Azureเพื่อล้างข้อมูลอุปกรณ์เก่าก่อนการสอบถามสำหรับคีย์กำพร้า

สอบถามคีย์ในไดเรกทอรีที่ใช้งานอยู่โดยใช้คำสั่งต่อไปนี้:

PS> Get-ADWHfBKeys -Logging -Report -Domain contoso | Export-Csv C:\ADKeys.csv

คำสั่งนี้จะสอบถาม "contoso"โดเมนสำหรับการลงทะเบียน Windows Hello สำหรับคีย์สาธารณะธุรกิจและจะส่งออกข้อมูลที่จะC:\ADKeys.csv. แทนcontoso ด้วยชื่อโดเมนของคุณเพื่อสอบถามโดเมนของคุณ

เอาต์พุต Csv,ADKeys.csvจะประกอบด้วยข้อมูลต่อไปนี้สำหรับแต่ละคีย์:

• โดเมนของผู้ใช้

• ชื่อบัญชีผู้ใช้ SAM

• ชื่อที่แตกต่างของผู้ใช้

• รุ่นที่สำคัญ

• รหัสคีย์

• เวลาที่สร้าง

• วัสดุที่สำคัญ

• แหล่งที่มาของคีย์

• การใช้คีย์

• รหัสอุปกรณ์ที่สำคัญ

• การประทับเวลาการเข้าสู่ระบบล่าสุดโดยประมาณ

• เวลาที่สร้าง

• ข้อมูลคีย์แบบกำหนดเอง

• KeyLinkTargetDN

• สถานะกำพร้า

• สถานะช่องโหว่ของ ROCA

• Keyrawvalue

Get-ADWHfBKeysจะยังแสดงผลสรุปของคีย์ที่ถูกสอบถามด้วย สรุปนี้มีข้อมูลต่อไปนี้:

• จำนวนของผู้ใช้ที่สแกน

• จำนวนผู้ใช้ที่มีคีย์

• จำนวนของคีย์ที่สแกน

• จำนวนคีย์ที่มีช่องโหว่ของ ROCA

• จำนวนของคีย์กำพร้า (ถ้าไม่ระบุ-SkipCheckForOrphanedKeys)

หมายเหตุ: ถ้าคุณมีสภาพแวดล้อมไฮบริดสลีกับอุปกรณ์ที่เข้าร่วมโฆษณา Azure และเรียกใช้ "รับ ADWHfBKeys" ในโดเมนของคุณในสถานที่จำนวนของคีย์กำพร้าอาจไม่ถูกต้อง ทั้งนี้เนื่องจากอุปกรณ์ที่เข้าร่วม AD Azure ไม่มีอยู่ในไดเรกทอรีที่ใช้งานอยู่และคีย์ที่เกี่ยวข้องกับอุปกรณ์ที่เข้าร่วมกับ Azure AD อาจแสดงขึ้นเป็นกำพร้า

เอาออกกำพร้า, ROCA ความเปราะบางคีย์จากไดเรกทอรี

เอาคีย์ในไดเรกทอรีที่ใช้งานอยู่ของ Azure โดยใช้ขั้นตอนต่อไปนี้:

1. กรองคอลัมน์กำพร้าและrocavulnerable ของAzureKeys.csvเป็นจริง

2. คัดลอกผลลัพธ์ที่กรองไปยังไฟล์ใหม่C:\ROCAKeys.csv

3. เรียกใช้คำสั่งต่อไปนี้เพื่อลบคีย์:

PS> Import-Csv C:\ROCAKeys.csv | Remove-AzureADWHfBKey -Tenant contoso.com -Logging

คำสั่งนี้นำเข้ารายการของที่ถูกละเลยคีย์ที่มีช่องโหว่และเอาออกจากcontoso.comผู้เช่า . แทนcontoso.com กับชื่อผู้เช่าของคุณเพื่อลบคีย์ออกจากผู้เช่าของคุณ

N ถ้าคุณลบที่มีความเสี่ยงที่จะไม่ถูกละเลยในการทำงานของผู้ใช้ของคุณ คุณควรตรวจสอบให้แน่ใจว่าคีย์เหล่านี้ถูกละเลยก่อนที่จะลบออกจากไดเรกทอรี

เอาคีย์ในไดเรกทอรีที่ใช้งานอยู่โดยใช้ขั้นตอนต่อไปนี้:

หมายเหตุลบคีย์กำพร้าออกจากไดเรกทอรีที่ใช้งานอยู่ในสภาพแวดล้อมไฮบริดสลีจะส่งผลให้คีย์ถูกสร้างขึ้นเป็นส่วนหนึ่งของกระบวนการซิงค์การเชื่อมต่อโฆษณา Azure ถ้าคุณอยู่ในสภาพแวดล้อมไฮบริดสลีให้เอาคีย์ออกจากโฆษณา Azure เท่านั้น

1. กรองคอลัมน์ OrphanedKey และrocavulnerable ของADKeys.csv เป็นจริง

2. คัดลอกผลลัพธ์ที่กรองไปยังไฟล์ใหม่C:\ROCAKeys.csv

3. เรียกใช้คำสั่งต่อไปนี้เพื่อลบคีย์:

PS> Import-Csv C:\ROCAKeys.csv | Remove-ADWHfBKey -Logging

คำสั่งนี้นำเข้ารายการของที่ถูกละเลยคีย์ที่มีช่องโหว่และเอาออกจากโดเมนของคุณ

หมายเหตุถ้าคุณลบความเสี่ยงในการทำงานของคีย์ whfb ที่ไม่ถูกละเลยแต่ก็จะก่อให้เกิดการหยุดชะงักให้กับผู้ใช้ของคุณ คุณควรตรวจสอบให้แน่ใจว่าคีย์เหล่านี้ถูกละเลยก่อนที่จะลบออกจากไดเรกทอรี