有没有办法刷新计算机组成员身份,而无需重新启动?

我正在使用Windows Server 2008 R2,并在计算机ComputerA中的“networking服务”帐户下运行Windows服务。 此Windows服务要访问授予对GroupA的读取权限的共享区(在另一台计算机ComputerB上)。 所以我需要将ComputerA的计算机帐户添加到GroupA并重新启动ComputerA。

我的问题是:是否有一种方法让小组成员immedialy生效,而无需重新启动ComputerA?

For Windows 2008 and higher: psexec -s -i -d cmd.exe C:\Windows\system32>whoami nt authority\system -- List the session 0 tickets (0x3e7 is the machine session 0) klist -lh 0 -li 0x3e7 -- Purge the session 0 tickets klist -lh 0 -li 0x3e7 purge Should display: Current LogonId is 0:0x3e7 Deleting all tickets: Ticket(s) purged! 

PSExec是从微软免费SysInternals下载。


为了消除混淆,此过程绝对会刷新计算机的组成员资格,并允许适用于安全组的组策略适用于计算机,而无需重新启动计算机。 这已经在Windows Server 2012 R2和Windows Server 2008 R2以及通用安全组中进行了testing和validation。 简短的版本将是:

  • psexec -s -i -d cmd.exe
  • klist tgt (查看当前票证,logging大小。另请注意,由于您正在以系统身份运行,当前loginID是0x3e7)
  • 将计算机添加到安全组。 (如果适用,留出时间复制)
  • klist purge
  • nltest /dsgetdc:domain.com (运行这个或任何其他命令将连接到networking资源并强制TGT请求)
  • klist tgt (查看当前票证,logging大小,应该稍微大些,注意whoami / groups不会反映新会员)

此时可以退出系统命令提示符。

  • gpupdate /force
  • gpresult /h gpresult.html

查看gpreport,它现在应该显示组策略应用。

我认为,恢复netlogon服务做同样的事情,不知道总体影响会是什么。 很确定用户会暂时断开用户。