我正在使用Windows Server 2008 R2,并在计算机ComputerA中的“networking服务”帐户下运行Windows服务。 此Windows服务要访问授予对组GroupA的读取权限的共享区(在另一台计算机ComputerB上)。 所以我需要将ComputerA的计算机帐户添加到GroupA并重新启动ComputerA。
我的问题是:是否有一种方法让小组成员immedialy生效,而无需重新启动ComputerA?
For Windows 2008 and higher: psexec -s -i -d cmd.exe C:\Windows\system32>whoami nt authority\system -- List the session 0 tickets (0x3e7 is the machine session 0) klist -lh 0 -li 0x3e7 -- Purge the session 0 tickets klist -lh 0 -li 0x3e7 purge Should display: Current LogonId is 0:0x3e7 Deleting all tickets: Ticket(s) purged!
PSExec是从微软免费SysInternals下载。
为了消除混淆,此过程绝对会刷新计算机的组成员资格,并允许适用于安全组的组策略适用于计算机,而无需重新启动计算机。 这已经在Windows Server 2012 R2和Windows Server 2008 R2以及通用安全组中进行了testing和validation。 简短的版本将是:
psexec -s -i -d cmd.exe
klist tgt
(查看当前票证,logging大小。另请注意,由于您正在以系统身份运行,当前loginID是0x3e7) klist purge
nltest /dsgetdc:domain.com
(运行这个或任何其他命令将连接到networking资源并强制TGT请求) klist tgt
(查看当前票证,logging大小,应该稍微大些,注意whoami / groups不会反映新会员) 此时可以退出系统命令提示符。
gpupdate /force
gpresult /h gpresult.html
查看gpreport,它现在应该显示组策略应用。
我认为,恢复netlogon服务做同样的事情,不知道总体影响会是什么。 很确定用户会暂时断开用户。