IT会需要用户的域密码吗？

Windows域管理员在为新用户配置工作站时可能需要做些什么，而没有用户的域帐户密码则绝对无法完成？为了避免向用户询问密码，理论上，管理员可以更改密码，以用户身份登录并执行他们想要执行的任何操作，但实际上这将为他们提供他们尚未拥有的任何其他权限成为域管理员的好处？

更新：

到目前为止，答案是“调整”或更改用户的个人资料。但是，Microsoft 的这篇文章是关于修改默认配置文件的信息，该默认配置文件在用户首次登录时将应用于用户，并且这些说明可随时更改另一个用户的Windows注册表设置。管理员以用户身份登录时会发生什么变化，而管理员无法使用不涉及以该用户身份登录的这些或其他可用技术来进行更改？仅仅“以用户身份登录”并不是要求或更改用户密码的理由。我正在寻找这样做的实际原因。

管理员请求用户密码既不可接受，也不是必需的。

在管理员可能有必要以用户身份登录的情况下（我认为这种情况不存在），该用户应登录并监督管理员的活动。

原因是问责制。每个用户都有责任确保其密码安全。如果恶意活动被追溯到用户的凭据，则可以追究该用户的责任。因此，他们需要确保其凭据保持安全。

组织还有责任确保不仅采用该标准，而且还强制执行该标准。在一个法律案件中，组织中的某人使用别人的邮箱发送了恶意电子邮件。邮箱的所有者最终被撤职。当他们争辩说自己已将密码提供给其他人时，该公司坚持认为，保持其凭据的完整性是他们的责任，因此，根据公司的IT策略，他们必须负责。然后，当该用户证明组织内部存在一种共享密码的地方性文化时，法院对此予以了推翻。法院裁定，如果不能看到该公司积极执行其IT策略，则在这种情况下，他们不能依靠它来承担责任。

也就是说，理论与实践之间显然存在鸿沟。我已经与一家大型跨国公司签约，该公司除其他外提供IT咨询服务，作为S​​OE升级的书面程序的一部分，我们被指示要求最终用户的密码。

就个人而言，我对此采取强硬态度。我认为不需要输入密码（或重新设置密码以访问用户帐户）是没有必要的。如果要解决这个问题的工作量大大增加，那就这样吧。这不是破坏安全性的借口。我很幸运我不是经理，所以在上级领导的指示下，不必对这些决定负责。

让我们清楚一点：如果您是Domain Admin，则可以安装一个软件-一个可以想到的设备驱动程序-实际上可以执行任何操作。但是，这是不切实际的程度，范围从“再次是桌面背景的注册表项是什么？”。一直到“然后我们挂接到加密配置文件层内的文件读取调用，以欺骗Firefox以为他们已从doubleclick.net禁用了cookie”。

您需要一个绝对值，我认为这是错误的处理方式，因为答案将是“您确实不需要用户密码，”，这非常容易引起误解。现实情况是，除非Microsoft提供（或安装第三方软件以允许）* NIX的su/之类的功能，否则您sudo将永远无法完美地模仿用户帐户的所有用途，同时又保持理智的外观，而无需偶尔这样做。用法-请注意，我没有说出密码的“泄露！”。

我们中的许多人都在出于各种原因需要披露密码的环境中工作。我什至会说我们所有人都认为这是个坏主意。如果需要这样做，则最终用户需要同意，而不是被强迫。

像1998年那样，在过去，当我进行PC更换时，我的IT部门曾经要求输入用户密码，以便我们可以像设置旧密码一样准确地进行设置。向下到图标位置。由于我们处于没有相应WinNT域的Novell NetWare环境中，因此更改其网络密码并不会更改其本地密码，因此，如果我们要提供这种水平的无缝服务，则需要使用该密码。

那是13年前。您专门询问了Windows域。在我刚离开的一所大型大学的工作中，最终用户要决定是否公开密码或是否在进行任何工作。换句话说，最终用户选择了它，而不是由IT强迫。在组织结构图中，某些非常忙碌的执行人员通常会为其登录管理员助理，因此IT人员可以轻松进入（同意已被委派）。

在Windows中，手动调整用户配置文件的唯一方法是以该用户身份登录。如果该配置文件由于某种原因需要手动调整（留下的不良卸载仍在妨碍重新安装，或其他怪异的东西），则IT人员将需要以该用户身份登录。这可以通过强制更改管理密码，让用户公开其密码或让用户以自己的身份登录IT人员并让IT人员工作来完成。

安装过程中的某些应用程序需要具有使用诸如％userprofile％，修改HK_CURRENT_USER等环境变量来更改或引用用户的配置文件（即与Outlook集成的CRM应用程序）的能力。

您当然可以使用诸如procmon之类的工具对安装进行“反向工程”，然后在事后手动修改用户的配置文件，注册表等，但这是非常低效的，不切实际的并且容易出错。

绝对不是100％。需要使用其他用户帐户进行的任何操作都应通过重置用户密码，登录并随后让用户致电服务台或将密码重新设置为告知用户的方式并设置帐户以强制更改密码来完成。下次登录时。尽管承认我在相当大或安全的环境中工作，但通常向他人透露您的密码是终止密码的理由（在大多数情况下应该如此）

这些帖子中的大多数似乎都很老，但是希望一些知识渊博的人仍然活跃在主题上，因为这似乎仍然是当前的话题。

当然可以提出一个论点，即您不必再要求输入密码。我更愿意告诉我的用户“永远不要共享”……是的，在大多数情况下，配置可以由管理员为用户处理。但是故障排除是另一回事。

我们支持2600名学生和500名员工的一对一计划。我们每天都会解决“奇怪”的软件问题。在很多情况下，我们必须以用户身份遇到问题，以便解决问题（或有把握地确定将需要重新加载）。绝对，我们尝试在用户在场的情况下执行此操作-但这并不总是可行的。他们有时间表要维护。

那智能卡呢？在2010/2012 AD环境中，可以将智能卡（临时）与域帐户相关联吗？这将允许完全现实地访问用户的帐户，而不必专门公开其密码。故障排除完成后，可以停用该卡。技术人员可以使用该帐户，但是可以对卡进行良好的监督。

我们已经使用指纹读取器多年了，但是针对特定技术进行设置，然后清除打印内容的过程根本不可行。我不确定为特定用户“授权”然后“停用”智能卡的过程将多么复杂，但是似乎这可能是一个不错的妥协。

是：需要对其个人资料进行任何操作。发生这种情况时，您要么必须知道他们的密码，要么按照您的说明进行设置。然后，他们可以在完成后更改它。

如果以该用户身份登录，则不会授予他们其他权限。您以他们的权限登录。