Получаем информацию восстановления для BitLocker из AD с помощью PowerShell

Компания Microsoft не предоставляет команд PowerShell для средства просмотра пароля восстановления BitLocker. На такой случай я подготовил сценарий the Get-Bit LockerRecovery.ps 1 (его можно найти по ссылке: https://gist.github.com/morisy/5b99e763d6b72f9b3e7c1747b6d0a1ee). Синтаксис сценария следующий:

Get-BitLockerRecovery [-Name] <String[]> [-Domain <String>] [-Server <String>] [-Credential <PSCredential>]

или

Get-BitLockerRecovery -PasswordID <String> [-Domain <String>] [-Server <String>] [-Credential <PSCredential>]

В сценарии используются два набора параметров, определяющих его работу.
• Если указан список, содержащий одно или несколько имен компьютеров, сценарий показывает информацию восстановления BitLocker для соответствующих компьютеров. Параметр -Name соответствует просмотру свойств объекта-компьютера и выбору вкладки Bit Locker Recovery на консоли ADUC. Параметр -Name предполагается сценарием по умолчанию, поэтому указывать его не обязательно.

• Если указан параметр -PasswordID, то необходимо ввести вместо имени восьмисимвольный идентификатор пароля. Параметр -PasswordID соответствует команде поиска пароля восстановления Bit Locker (Find Bit Locker recovery password) при щелчке правой кнопкой мыши на объекте домена на консоли ADUC.

Параметр -Domain указывает имя домена, если компьютеры находятся вне текущего домена, а параметр -Server задает имя конкретного контроллера домена, из которого нужно получить информацию восстановления для BitLocker.

По умолчанию только члены группы администраторов домена имеют доступ для просмотра информации восстановления для BitLocker, поэтому, если запустить Get-BitLockerRecovery.ps1 из учетной записи, не имеющей достаточных прав доступа, то сценарий выдаст значение N/A («Неприменимо») для свойств TPMRecoveryInforrnation, Date, PasswordID и RecoveryPassword. Это препятствие можно обойти, запустив сеанс PowerShell из другой учетной записи, имеющей разрешения, ил и воспользоваться параметром -Credential и указать другие учетные данные.


Сценарий выводит объекты со свойствами, приведенными в таблице выше.

В дополнение к имени компьютера, идентификатору пароля и паролю восстановления, сценарий Get-BitLockerRecovery.ps1 предоставляет свойства distinguishcdName и TPMRecoverylnformation. Свойство distinguishedName помогает определить расположение объекта-компьютера в AD, а свойство TPMRecoverylnformation позволяет выяснить, выполнено ли архивирование информации восстановления для ТРМ компьютера в AD. На экране ниже показан пример выходного объекта.



1. Получение информации восстановления для Bit Locker для одного компьютера:

Get-BitLockerRecovery computer1

2. Получение информации восстановления для BitLocker для списка компьютеров: Get-BitLockerRecovery
Get-BitLockerRecovery "computer1","computer2"
или

"computer1","computer2" | Get-BitLockerRecovery

3. Получение информации восстановления для BitLocker для компьютеров в организационном подразделении

(OU):Get-ADComputer -Filter { name -like "*" } `

  -SearchBase "OU=Sales,DC=fabrikam,DC=com" |

  Get-BitLockerRecovery

4. Получение информации восстановления для Bit Locker для конкретного идентификатора пароля:
Get-BitLockerRecovery -PasswordID B1FED823

5. Получение информации восстановления для Bit Locker для всех объектов msFVE-Recoverylnformation в текущем домене:

$filter = "(objectClass=msFVE-RecoveryInformation)"

Get-ADObject -LDAPFilter $filter | ForEach-Object {

  Get-ADPathname (Get-ADPathname $_.DistinguishedName `

  -Format X500Parent) -Format Leaf -ValuesOnly |

  Get-BitLockerRecovery

}

Эта команда зависит от сценария Get-ADPathname.ps1. Она извлекает родительский путь каждого объекта msFVE-Recoverylnformation (то есть все объекты-компьютеры, которые имеют дочерние объекты msFVE-Recoverylnformation), получает конечный элемент пути каждого из них (только значения, то есть только имена компьютеров без префикса CN=) и передает имя каждого компьютера в сценарий Get-BitLockerRecovery.ps1.


Средство просмотра пароля восстановления BitLocker — важный инструмент, но работает он только на консоли «Пользователи и компьютеры Active Directory». Используйте сценарий BitLockerRecovery.ps1 (https://gist.github.com/morisy/5b99e763d6b72f9b3e7c1747b6d0a1ee), чтобы обойти это ограничение и получить информацию восстановления для BitLocker из командной строки PowerShell.

---

Перестали работать с PowerShell, после того, как начали играть в игровые автоматы и зарабатывать гораздо больше, чем на прежней работе? Значит, вам определенно точно следует посетить сайт http://apparaty777.com. Здесь вы найдете свои самые любимые слоты, которые отличаются отменной щедростью и неимоверным числом разнообразных бонусов, благодаря которым доходы от вашего азартного увлечения взлетят до небес.