Бывает такое, что сервер достался “по наследству”, всё вроде работает, но внутри - куча сюрпризов. Один из самых частых - в локальных администраторах сидят учётки, о которых никто и не помнит.
🔥 Для быстрой диагностики можно прогнать вот такой скрипт:
$admins = Get-LocalGroupMember -Group "Administrators"
$admins | Select-Object Name, ObjectClass, PrincipalSource
Здесь сразу видно: это локальный пользователь, доменный, или кто-то притащен через группу. Поле
PrincipalSource подскажет, откуда взялся доступ.А если нужно найти только “подозрительных” локальных юзеров, можно сделать так:
$admins | Where-Object { $_.ObjectClass -eq 'User' -and $_.PrincipalSource -eq 'Local' }
👌 Очень полезно проверять такие вещи на серверах после изменений или перед аудитом безопасности. У меня однажды всплыл старый техаккаунт с правами админа, который никто не использовал уже несколько лет.
👉 @win_sysadmin