Управляем паролем локального администратора с помощью LAPS

Компания с 500+ компьютерами. Год-два назад запустил Wireshark, накачал 2гб траффика и начал искать интересное. По словам "administrator" нашел, что ИТ придумали такое: раз в 6-8 часов запускается visual-basic скрипт, который лезет на ftp, скачивает с него key-value файлик, где для каждой рабочей станции свой вполне сепьюрный пароль локального админа. Пошел ручками скачал файлик проверил что все ко всем подходит, отписал ребятам. После чего они перешли на LAPS. Вспомнилось вот :)

Мы создали учетную запись, которая имеет очень ограниченные полномочия в домене, но добавили ее в группу локальных администраторов рабочих станций и выключили локального админа вообще. Меняем пароль по расписанию и я пока не сталкивался с ситуацией, когда нам нужно было что-то дополнительно.

# python 3.6
import struct
import win32com.client


def set_password(computername, password):
    # подключаемся к компьютеру
    computer = win32com.client.GetObject(f"WinNT://{computername}")
    # перебираем все его объекты (пользователи, группы)
    for obj in computer:
        # игнорируем всё, кроме пользователей
        if obj.Class != "User":
            continue
        # вычисляем админа по SID
        sid = bytes(obj.objectSid)
        if struct.unpack("i", sid[-4:])[0] == 500:
            admin = obj
            break
    else:
        raise WindowsError(
            f"На компьютере {computername}"
            f" не найдена учетная запись администратора!"
        )
    # DONT_EXPIRE_PASSWD + NORMAL_ACCOUNT + PASSWD_CANT_CHANGE
    admin.userflags = 66112
    # устанавливаем пароль
    admin.SetPassword(password)
    # сохраняем все изменения
    admin.SetInfo()


if __name__ == "__main__":
    set_password("QWERTY-123", "40_Thousand_Monkeys")