Sử dụng WHfBTools PowerShell mô-đun để làm sạch lên đơn lẻ Windows Hello cho chìa khóa kinh doanh

Cài đặt mô-đun PowerShell WHfBTools

Cài đặt qua PowerShell

PS> Install-Module WHfBTools

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module WHfBTools

Hoặc cài đặt bằng cách sử dụng một tải về từ PowerShell Gallery

1. Truy cập https://www.powershellgallery.com/packages/WHfBTools

2. Tải xuống tệp Raw. nupkg vào thư mục cục bộ và đổi tên với phần mở rộng Zip

3. Trích xuất nội dung vào một thư mục cục bộ, ví dụ: C:\ADV190026

Khởi động PowerShell, sao chép và chạy các lệnh sau:

PS> # Save the current execution policy so it can be reset later

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV190026\WHfBTools

PS> Import-Module .\WHfBTools.psd1

Cài đặt các phụ thuộc để sử dụng mô-đun WHfBTools

Nếu bạn đang truy vấn Azure Active Directory cho các phím đơn lẻ, cài đặt mô-đun MSAL.PS PowerShell

Cài đặt qua PowerShell

PS> Install-Module -Name MSAL.PS -RequiredVersion 4.5.1.1

PS> Import-Module MSAL.PS

Hoặc cài đặt bằng cách sử dụng một tải về từ PowerShell Gallery

1. Đi đến https://www.powershellgallery.com/packages/MSAL.PS/4.5.1.1

2. Tải xuống tệp Raw. nupkg vào thư mục cục bộ và đổi tên với phần mở rộng Zip

3. Trích xuất nội dung vào một thư mục cục bộ, ví dụ: C:\MSAL.PS

Khởi động PowerShell, sao chép và chạy các lệnh sau:

PS> CD C:\MSAL.PS

PS> Import-Module .\MSAL.PS.psd1

Nếu bạn đang truy vấn Active Directory cho các phím đơn lẻ, cài đặt công cụ quản trị viên máy chủ từ xa (RSAT): Dịch vụ miền Active Directory và công cụ dịch vụ thư mục nhẹ

Cài đặt qua cài đặt (Windows 10, phiên bản 1809 hoặc mới hơn)

1. Đi tới cài đặt-> ứng dụng-> tính năng tùy chọn-> Thêm một tính năng

2. Chọn RSAT: Dịch vụ miền Active Directory và công cụ dịch vụ thư mục nhẹ

3. Chọn cài đặt

Hoặc cài đặt qua PowerShell

PS> dism /online /Add-Capability /CapabilityName:Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

Hoặc cài đặt qua tải về

1. Đi đến https://www.Microsoft.com/en-US/download/details.aspx?id=45520 (Windows 10 liên kết)

2. Tải xuống công cụ quản trị máy chủ từ xa cho cài đặt Windows 10

3. Khởi chạy trình cài đặt sau khi hoàn tất tải xuống

Truy vấn cho các phím và khoá đơn lẻ bị ảnh hưởng bởi CVE-2017-15361 (ROCA)

Truy vấn cho các khóa trong Azure Active Directory bằng cách sử dụng các lệnh sau:

PS> Get-AzureADWHfBKeys -Logging -Report -Tenant contoso.com -All | Export-Csv C:\AzureKeys.csv

Lệnh này sẽ truy vấn "contoso.com"thuê cho tất cả đăng ký Windows Hello cho doanh nghiệp chìa khóa công cộng và sẽ ra thông tin đó đểC:\AzureKeys.csv. Thay thếcontoso.comvới tên thuê của bạn để truy vấn đối tượng thuê của bạn.

Đầu ra CSV,AzureKeys.csv, sẽ chứa các thông tin sau cho mỗi phím:

• Tên chính của người dùng

• Thuê

• Sử dụng

• Khóa ID

• Thời gian tạo

• Trạng thái mồ côi

• Hỗ trợ thông báo trạng thái

• Trạng thái lỗ hổng ROCA

Get-AzureADWHfBKeyscũng sẽ xuất ra một bản tóm tắt các phím được truy vấn. Tóm tắt này cung cấp các thông tin sau:

• Số người dùng đã quét

• Số phím đã quét

• Số lượng người dùng có phím

• Số phím dễ bị tổn thương ROCA

Lưu ý Có thể có các thiết bị cũ trong đối tượng thuê Azure AD của bạn với các phím Windows Hello cho doanh nghiệp được liên kết với họ. Các phím này sẽ không được báo cáo là mồ côi ngay cả khi các thiết bị không được sử dụng chủ động. Chúng tôi khuyên bạn nên làm theo cách: quản lý các thiết bị cũ trong AZURE AD để làm sạch các thiết bị cũ trước khi truy vấn cho các phím đơn lẻ.

Truy vấn cho các phím trong Active Directory bằng cách sử dụng các lệnh sau:

PS> Get-ADWHfBKeys -Logging -Report -Domain contoso | Export-Csv C:\ADKeys.csv

Lệnh này sẽ truy vấn "contoso"tên miền cho tất cả các đăng ký Windows Hello cho doanh nghiệp chìa khóa công cộng và sẽ ra thông tin đó đểC:\ADKeys.csv. Thay thếcontoso với tên miền của bạn để truy vấn tên miền của bạn.

Đầu ra CSV,ADKeys.csv, sẽ chứa các thông tin sau cho mỗi phím:

• Tên miền người dùng

• Tên tài khoản SAM người dùng

• Tên người dùng phân biệt

• Phiên bản chính

• Khóa ID

• Thời gian tạo

• Vật liệu chính

• Nguồn chính

• Cách sử dụng chính

• ID thiết bị chính

• Xấp xỉ lần đăng nhập dấu thời gian

• Thời gian tạo

• Thông tin khóa tùy chỉnh

• KeyLinkTargetDN

• Trạng thái mồ côi

• Trạng thái lỗ hổng ROCA

• Keyrawldapgiá trị

Get-ADWHfBKeyscũng sẽ xuất ra một bản tóm tắt các phím được truy vấn. Tóm tắt này cung cấp các thông tin sau:

• Số người dùng đã quét

• Số lượng người dùng có phím

• Số phím đã quét

• Số phím dễ bị tổn thương ROCA

• Số phím đơn lẻ (nếu-SkipCheckForOrphanedKeys không được chỉ định)

Lưu ý: Nếu bạn có một môi trường kết hợp với Azure AD tham gia thiết bị và chạy "Get-ADWHfBKeys" trong miền tại chỗ của bạn, số phím đơn lẻ có thể không chính xác. Điều này là do Azure AD tham gia thiết bị không có trong Active Directory và khóa liên quan đến Azure AD tham gia thiết bị có thể hiển thị là mồ côi.

Loại bỏ đơn lẻ, ROCA dễ bị khoá từ thư mục

Loại bỏ các phím trong Azure Active Directory bằng cách sử dụng các bước sau:

1. Lọc các cột mồ côi và rocavulnerableAzureKeys.csvđến đúng

2. Sao chép kết quả được lọc vào một tệp mới,C:\ROCAKeys.csv

3. Chạy lệnh sau để xóa các phím:

PS> Import-Csv C:\ROCAKeys.csv | Remove-AzureADWHfBKey -Tenant contoso.com -Logging

Lệnh này nhập danh sách đơn lẻ, ROCA dễ bị tổn thương phím và loại bỏ chúng khỏicontoso.comThuê. Thay thếcontoso.com với tên thuê của bạn để loại bỏ các khóa từ đối tượng thuê của bạn.

N OTE nếu bạn xóa ROCA dễ bị tổn thương whfb phím mà không mồ côi chưa, nó sẽ gây ra sự gián đoạn cho người dùng của bạn. Bạn nên đảm bảo rằng các phím này là mồ côi trước khi loại bỏ chúng khỏi thư mục.

Loại bỏ các phím trong Active Directory bằng cách sử dụng các bước sau:

Lưu ý loại bỏ khoá mồ côi Active Directory trong môi trường kết hợp sẽ kết quả trong các phím được tái tạo như một phần của quá trình đồng bộ hoá quảng cáo Azure kết nối. Nếu bạn đang ở trong một môi trường kết hợp, loại bỏ phím từ Azure AD

1. Lọc các cột OrphanedKey và rocavulnerable củaADKeys.csv đến đúng

2. Sao chép kết quả được lọc vào một tệp mới,C:\ROCAKeys.csv

3. Chạy lệnh sau để xóa các phím:

PS> Import-Csv C:\ROCAKeys.csv | Remove-ADWHfBKey -Logging

Lệnh này nhập danh sách đơn lẻ, ROCA dễ bị tổn thương phím và loại bỏ chúng khỏi miền của bạn.

Lưu ý nếu bạn xoá ROCA dễ bị tấn whfb phím không mồ côi nào, nó sẽ gây ra sự gián đoạn cho người dùng của bạn. Bạn nên đảm bảo rằng các phím này là mồ côi trước khi loại bỏ chúng khỏi thư mục.