我有一个顶级域控制器（DC1）在我的networking上运行顶级森林。 我在林中添加了一个树域控制器（TDC1）作为一个新的域。 我正在试图添加企业ADMINS到Active Directory中的新树。 所以基本上DC1上的森林企业ADMINS组中的用户也是TDC1上的pipe理员。 当我尝试从DC1向TDC1添加组或组时，它不允许我select另一个域来拉组。 是否有可能使树域上的企业ADMINS，域pipe理员，或者我必须重build用户是该域，以允许他们login到该域？ 或者我可以在森林级别DC1上创build一个组，并根据权限要求将该组添加到TDC1域中？ 运行Windows Server 2016的所有服务器。 在将域添加到林时，在“Server 2016configurationpipe理器”部分中显示的编辑树域。 所以我正在给森林添加一个域名。 在我的Active Directorypipe理中心客户端中，我可以将两个域添加到它以便从DC1pipe理它们。 所以我有一个DC1域，这是一个办公室的工作领域。 从DC1运行一个testing实验室和安全pipe理的TDC1域。 我想我想知道，因为在DC1域我添加了一个pipe理组到企业领域是TDC1组pipe理？ 除了相互连接的2个DC之外，networking并不相互连接。 因此，来自DC1域用户的login无法在TDC1计算机上工作。
我们以前的ITpipe理员坚持pipe理员帐户几乎所有（扫描到电子邮件的LDAP查找打印机都使用pipe理员帐户和密码显示在控制面板中的纯文本等）。 我已经开始把所有的东西都转移到为他们的目的而创build的子账户上，并且认为我快到了，但是我想要做的是在临时期间（例如7天）loggingpipe理员的使用情况，以确保没有非法设备/当我更改密码/禁用帐户等时将会中断的服务 有没有一个简单的方法来做到这一点（宁愿不必安装一些第三方程序，但如果这是唯一的select…）？
我已拼凑在一起下面的PowerShell脚本，但是当我在我的DC运行它我得到下面的错误信息。 我的总体目标是让脚本在计算机OU中的任何工作站上工作，并将其移动到伦敦OU父系中的子OU中的Workstations OU。 任何帮助，将不胜感激。 Powershell脚本 $computerstomove = Get-ADComputer -LDAPFilter "(name=TCWSTEST)" -SearchBase "CN=computers,DC=temporis,DC=corp" foreach ($computertomove in $computerstomove) { Move-ADObject $computertomove -TargetPath "OU=London,OU=Workstations,DC=temporis,DC=corp" } 错误消息： Move-ADObject : The operation could not be performed because the object's parent is either uninstantiated or deleted At \\tcws40\c$\Scripts\Workstation move.ps1:4 char:2 + Move-ADObject $computertomove -TargetPath "OU=London,OU=Workstations,DC=tempori … + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : […]
我一直在阅读关于减轻PtH的MSbuild议，他们的首要和主要build议是为工作站pipe理员，服务器pipe理员和域控制器pipe理员分别设立帐户。 我是一个真正的IT人员和我的老板谁是技术上的IT团队，但不知道任何关于IT和其他人可以重置AD用户密码。 现在，我的老板和我是域pipe理员，并使用这些凭据login日常使用。 执行密码重置的人是具有本地pipe理员权限的标准用户（因此她可以打开RSAT），该用户具有用于密码重置的委派权限。 所以，让我直接得到这个，理想的情况下… 1）我的老板和我应该有4个独立的帐户？！ 1个标准，1个工作站pipe理员，1个服务器pipe理员和1个域pipe理员帐户。 2）密码pipe理员应该有2个账户，1个密码pipe理员和1个标准用户？ 3）我们应该限制login到具有angular色的机器，所以服务器pipe理员帐户只能login到文件服务器/应用程序服务器，域pipe理员帐户只能login到域控制器上？ 因此，除了我应该记住4个独立的AD帐户密码这个事实外，我还需要多less个工作站才能完成工作？ 如果我应该用我的标准用户帐户login到我的主工作站来执行诸如阅读电子邮件，我应该如何添加新用户或更改组策略？ 我的DC是服务器核心安装，我在本地工作站上通过RSAT进行pipe理，但是现在我应该将RDP升级到跳转服务器，然后通过该服务器pipe理用户？ 密码pipe理员呢，她应该这样做一个完全不同的工作站重置密码？ 如何更改文件夹权限，我可以RDP到文件服务器的服务器帐户权限而不暴露服务器pipe理员凭据？ 我可以告诉你，如果这需要所有的PSpipe理，我其实不会介意太多，但我的老板永远不会搞清楚。 我很想听到这个问题的雄辩的解决scheme，或者有人告诉我，我正在思考的东西。 请帮帮我…
我创build了一个testing域，并创build了一个GPO，它限制了对所有可移动介质的写入权限，并将其应用到我所有用户所在的根OU。 但是我知道，最终会有一些人需要写USB等等（主要是CEO和IT人员） 试图解决如何使用安全组来做到这一点，所以如果用户是特定安全组的一部分，那么该特定的GPO将不会被应用
Win2012失去信任关系问题可以很容易地解决在以下情况： 您可以物理访问服务器以提供Windows恢复磁盘 您有本地证书login并使用netdom.exe命令进行修复 您可以访问远程提示（我不知道如何，因为它是脱离域），您可以通过inputpssession powershell命令发出netdom.exe命令 但是，如果您处于没有物理访问权限的AWS环境中，并且政策禁用了所有本地帐户。 我能做的唯一事情就是获得根音量并操纵它。 我试过了（失败了）： 从卷中加载registryconfiguration单元，并将所有域名存在编辑到WORKGROUP 已删除\ windows \ system32 \ Group *文件夹 编辑\ ec2config的config.xml以接受用户数据引导服务器 <powershell> rename-computer -computername test add-computer -workgroupname WORKGROUP invoke-gpupdate </powershell> 我也尝试locking一个安全组，只允许我的RDP访问和没有出站连接来模拟断开的networking状态，也许让我login使用caching的凭据。 剩下的问题和唯一的行动是如何编辑服务器的政策，允许通过编辑registry或系统文件本地login？ 还是我错过了另一个载体？ 参考文献： registry蜂箱 registry中的AD域名 AD在registry中 删除registry中的GPO 编辑registry
TL; DR： 如何使Active Directory中的user objectClassinheritance我的自定义xyz objectClass的属性？ 更多文字： 这似乎是一件容易的事情，但是我一直在寻找并尝试几个小时而没有成功。 我有一个简单的新鲜的Active Directory域控制器，所有用户都有user objectClass。 现在，当我创build一个自定义属性，并将其添加到user objectClass，我发现它的每个用户的属性（即pipe理员将有这个新的自定义属性，用户abc将拥有它等）。 但是我想要做的是，为每个服务创build不同的objectClass，比如， OpenVPN一个objectClass，其中所有的OpenVPN服务属性都是组织的。 然后我想让user objectClass从OpenVPN objectClassinheritance所有这些属性。 我尝试了以下：在user objectClass属性，在relationship选项卡，辅助类，我加了OpenVPN objectClass，但是什么都没做。 我不知道这种关系应该做什么。 有些身体可以帮助我吗？
我正在设置一个RD网关服务器用于testing目的，我想我可能已经搞砸了SSL证书购买。 我们已经在主networking上创build了一个子网（192.168.25.XXX），其中一台防火墙和服务器运行着DC，RDS，Workstation等虚拟机。 我已经购买了域名，configuration了外部DNS，并正在configurationRD网关服务器。 我想设置安装在共享激活模式下的RD网关服务器/ w Office。 该域名是AD.mydomain.com，但我购买了remote.mydomain.com的SSL证书，而不考虑整个域名是在AD.mydomain.com下的子域名 有没有什么办法可以在没有通配证书的情况下进行设置？ 这对于一个学习项目来说有点贵。
我有2个域名，我需要合并。 举例来说，让我们把它们命名为： 领域1：猫 域2：Dogs.com 域1是一个单一的homed域，这使得一切更有趣。 这两个域都安装了AD。 猫是遗产，Dogs.com将成为新的领域。 Cat拥有所有用户，计算机，服务器和文件。 Dogs.com拥有Cat的所有用户的副本，并且是Dirsynced到Office 365. Dogs.com用户需要保持对他们的电子邮件的访问。 我相信做正确的工具是ADMT，但是如果我错了，请纠正我： 我想把猫的所有资源转移到Dogs.com。 ADMT指南指示用户先走，然后走资源路线。 所以来自Cat的所有用户和计算机都将被迁移到Dogs.com。 在我们从Dogs.comvalidation用户仍然可以访问File01.cat之后，File01.cat就会变成File01.Dogs.com。 现在在Dogs.com中的所有先前迁移的用户仍然可以访问新迁移的File01.Dogs.com。 我刚才所说的正是ADMT的正常stream程，我的目标是什么？ 作为额外的好处：40％的用户是移动的，只有在需要时才连接到VPN。 那么如何与ADMT一起工作呢？
我们公司有15家分店，每家都有高速互联网。 在每家商店，我们有2-3台Windows 10个人电脑，每家商店有3-4名员工（每名员工每天不工作）。 所有我们有大约40个个人计算机和50个用户。 我们希望所有员工使用集中authentication系统login到他们的计算机。 我们不想在每个位置都build立一个VPN到我们总部的Active Directory服务器。 考虑到我们的HQ AD只有一些安全策略和10台计算机，我们可以用Azure AD替代它。 从我所读到的，我相信Azure AD应该能够帮助我们。 这是正确的吗？ 或者，我们会更好地使用诸如JumpCloud这样的真正的云端AD产品吗？ 如果是这样，我们可以使用多个域名（例如abc.com和xyz.com）吗？ 此外，我们希望能够远程监控计算机是否正在运行（因此，这是远程完成，它也有互联网连接），远程执行Windows更新，并远程共享屏幕进行故障排除。 我认为这是另一个问题，但是微软可能有一个产品可以与身份validation一起进行监控吗？