我试图找出一个KRB5KDC_ERR_BADOPTION（13）的原因，我正在看Wireshark跟踪。 我已经设置了一个SPN将xxx / server.fqdn：port与在目标服务器上运行xxx服务的域帐户关联（让我们称之为domain \ target）。 服务器服务将作为代理运行在不同的服务帐户（例如域\委托）上。 这是允许的吗？ 或者所有的服务都需要在同一个服务帐号下运行（即目标服务和中间人服务使用的服务帐号都使用相同的AD服务帐号运行，同时为这两个服务设置了适当的SPN关联到同一个AD服务帐户）
我们已经决定，现在是在我们小办公室build立一个领域的时候了，而且我已经负责这项工作。 域名已设置，我们正在为用户创build用户名和密码。 由于用户都有现有的机器（主要是笔记本电脑），并已使用一段时间，当他们join域，他们的设置将“失踪”他们…他们不会在他们的桌面上，他们的文件夹将在别的地方… 我正在寻找的是将他们的文档，设置，桌面等从他们的旧login帐户移动到他们新的基于域的帐户的一种快捷方式…至less，这应该是文件在他们的“我的文档”文件夹和桌面，但移动Outlook，Visual Studio，IE / FireFox /等设置和邮件，也将得心应手。 我已经阅读了有关微软用户状态迁移工具，但除非我读错了，似乎是从一台机器移动到另一台，而不是从一个帐户到另一个…任何想法？
我们有一些Windows Server 2008 R2系统，但我似乎无法弄清楚这个问题。 当我使用属于本地Administrators组（并且没有其他本地组）的AD帐户login时，我没有看到Windows资源pipe理器中列出的任何本地驱动器。 我可以在运行框中键入驱动器号，他们将打开，我有充分的权限 – 但我不明白为什么他们被隐藏在资源pipe理器。 另外，开始菜单不显示关机或重新启动的选项。 当我用本地pipe理员帐户login时，一切正常。 这似乎是在AD有东西造成这种情况，但我不知道它是什么。 有任何想法吗？
我无法委派用户重置密码。 我做了所有的最小权限 重置密码读取pwnlastset写入pwnlastset 用户从Account Operators组inheritance。 当我尝试重置密码时，我正在恢复访问被拒绝。 有任何想法吗？
我想要做的是授予域帐户login到任何服务器/工作站的权限，并成为一个本地pipe理员不得不将这个帐户添加到域pipe理员组？ 此帐户只需要能够读取工作站/服务器上所有文件夹的文件夹大小。 有没有GPO呢？
我的办公室里有几台电脑，我想放在我们的网站上。 这些计算机当前由本地计算机帐户的员工使用，并且具有存储在这些帐户下的信息。 当我将他们的计算机join域时，我将如何保留他们当前的计算机帐户并将它们添加到Active Directory中，以便像往常一样访问networking资源？ 这是可能的，还是我需要从头开始，所有这些与他们的帐户和本地存储的文件？ 我们正在使用Windows 2008 R2，所有添加的系统都有Windows 7专业版或更高版本。 我所要做的只是将系统添加到域中，并将其帐户存储在Active Directory中，以便他们可以login，访问已经在其计算机上的文件，并使用networking重命名。 如果我可以添加他们的计算机，然后将相同的用户名和密码添加到活动目录，以使这一切工作，这将是没有问题的。 我只是想尽量减less对用户的影响。
设置 ： 森林function级别：Windows 2003 所有DC – Windows 2003 64位SP2 要求 ： Citrix服务器希望将Kerberos委派用于SSO目的。 他们希望从Citrix演示服务器向CIFS和LDAP服务的本地DC创build受Kerberos约束的委派。 我担心这将允许演示服务器上的pipe理员模拟域pipe理员对DC上的LDAP服务，并在AD中进行未经授权的更改。 问题 ： 我的假设是否正确？ 如果是的话，这样做会容易多less？ 允许这种代表团在该地点维持当地区议会的运作方面有什么影响？ （我们在全球拥有200多个DC，在需要代表团的地方有10个DC）
我跑了DCPROMO降级W2K3直stream。 向导完成没有困难。 但是，现在有一些exception情况： 从剩余的直接启动nslookup（W2K8 R2）给出结果 – 默认服务器：未知 nslookup从客户端电脑给 – 服务器未知，地址：降级服务器的IP地址和消息“未知无法find计算机名：服务器没有响应” DNSangular色已经从旧的DC中删除，但新的DC上的DNS仍旧显示旧的DC（例如，在DomainDNSZones＆ForestDNSZones下）的条目。 这篇文章http://support.microsoft.com/kb/216498build议运行ntdsutil来清理元数据，但是文章是为W2K3 SP1或更低版本编写的，新的dc是W2K8。 文章的第一部分还build议，从AD网站和服务中删除旧的DC将在W2K8上做同样的事情。 我可以从网站和服务中删除旧的dc，并从DNS中删除旧的dc条目吗？ 或者我应该从ntdsutil运行元数据清理？ 而且我认为最重要的是，这能解决我所遇到的问题吗？
当启动到安全模式（无networking连接）时，我可以使用哪个帐户login到域控制器，域控制器上没有本地用户帐户，并且没有看到域。
首先设置。 15个工作组用户，而且我们有一个带VPN的Watchguard防火墙。 目前使用WatchGuard来validation用户的VPN访问，但老板想要使用服务器2008作为身份validation服务器。 警卫允许继电器通过RADIUS或ADauthentication。 我的问题是我们可以使用RADIUS作为身份validation服务器没有AD服务？ （他们想维护工作组设置，没有域控制器）