我正在寻找构buildLDS目录的指导，并仅查找针对域服务的最佳实践。 这里有没有人有我们在目录中设置的层次结构的参考？ 我对小项感兴趣，比如是否使用“DC”标签或“O”标签来命名顶层节点，例如，如果我们没有实际使用，应该是“DC = CompanyName，DC = local”特定的域名？ 不应该是“O = CompanyName”吗？ 而且我对这个问题是否值得考虑甚感兴趣。
我创build了一个域控制器和3个额外的机器（ SQL-A ， SQL-B ， SQL-CORE ）。 所有在Windows Server2008R2上的虚拟机都在virtualbox上运行。 我已经成功地将3台机器join到域中。 接下来，我在Active Directory中创build了名为Kim_Akers的用户，他是Domain Admins ， Domain users ， Enterprise Admins和Schema Admins 。 当我login到SQL-A （例如）作为[domain]\Kim_Akers ，然后尝试运行像ServerManager.msc东西。 我得到一个权限错误： Windows无法访问指定的设备，path或文件。 您可能没有适当的权限。 我做错了什么，使Kim_Akers没有权限做这件事？
大概有点混乱，让我来解释一下情况。 我们公司希望通过PEAPauthentication实施企业无线LAN 。 不幸的是，10年前，有人在我们的Active Directorydevise中犯了一个大错误。 我们使用的域名company.ch不属于我们公司，而是由其他人拥有。 这使得无法为RADIUS服务器颁发公共SSL证书，而且我们的Active Directory域太大而无法重命名。 我们已经考虑过使用我们的私人PKI并通过GPO推出CA生成的证书，但这只会覆盖我们的企业pipe理的客户端，而不是我们的BYOD策略（智能手机，平板电脑，笔记本电脑）环境中的任何设备。 ） 有没有办法添加像company2.ch这样的二级域名，针对它颁发一个公共证书，并将RADIUSjoin到该二级域名，那么我们可以通过DHCP为所有客户端池configuration二级域名？ 或者有另外一种方法，例如，在自己的域（ company2.ch ）上有一个新的RADIUS服务器，它连接到company.ch域的某种信任？ 我不是一个客户服务器的人，但希望你得到我的漂移。
我们在我们的networking上运行Windows DNS（Server 2008，Active Directory）。 我已经为我们的每个Web开发人员在我们的区域下创build了域，并在该域下configuration了一个Alogging。 虽然我可以轻松地为开发者域下的子域添加CNAMElogging，但我希望开发人员能够为他们自己configuration这些logging，这样，他们可以在不需要打扰的情况下为新项目生成新的CNAME。 例如： Zone – company.supernet.net.au Developer domain – frank.company.supernet.net.au Developer subdomain (entered as CNAME for developer domain) – redesign.frank.company.supernet.net.au – project.frank.company.supernet.net.au 有没有简单的方法来允许这个？ 我尝试search，但我所得到的是如何直接从DNSpipe理创buildCNAME的说明。 如果可以避免的话，我不想让所有的开发者完全访问服务器。
最近我有一个DC失败，并试图添加一个新的到我的域名，虽然我感觉我可能在我的域名有其他问题。 我是一个发展的核心，只是知道AD是危险的，所以寻求一些援助。 我工作的DC是RIVERCITY-DC12。 我试图推广RIVERCITY-DC14作为一个DC到RIVERCITY域，但是当我运行DCPROMO时，在NETWORK CREDENTIALS步骤中我指向域（rivercity.local）的名称，我得到“一个AD DC域rivercity.local不能联系“，并在详细信息请参阅”错误是DNS名称不存在“ 看看RIVERCITY-DC12，我可以看到DNS正在工作，我已经能够从我的域中的其他机器查询它，并且在事件查看器中的DNS类别中没有报告错误。 当我查看FMSOangular色时，显示RIVERCITY-DC12是所有angular色的机器。 不知道下一步应该做什么，或者在search解决scheme之后如何排除故障/调查……想法？ 环境： 域名：rivercity（rivercity.local） 森林function级别：Windows 2000（我很乐意提出这个） Windows Server 2008 所有服务器都是Windows Server 2008 R2 SP1（已完全修补）
我试图提供几个pipe理员的任务小组来操作在OU级委托给他们的几个任务。我遇到了以下问题; 可以说我委派了对OU X上pipe理员的访问权限，并且可以修改样本组X1等组，他必须能够将任何用户从OU X添加到组X1。 这里的问题是，当testing我发现pipe理员可以做到上面的，但也可以添加一个用户Y1从OU Y（他没有委派的权限）到组X1.我缺less什么？ 如何限制pipe理员从OU中添加用户到他修改访问的组？ 请问我是否需要更多的细节/说明。
有没有办法，通过ActiveSync第一次成功同步，用户可以被添加到Active Directory组？
我正在使用PowerShell脚本来从各种Exchange邮箱进行一些导出。 主要内容包括为每个受影响的邮箱创buildconfiguration文件并调用outlook.exe /importPRF customprofile.prf等。 主要的逻辑和一切工作正常，但一个问题发生：如果用户名是彼此的前缀（说我有“Foo”和“Foobar”）那么较短（“Foo”）的configuration文件中断自动化脚本，而不是popup对话窗口是否想要“Foo”或“Foobar”。 该名称以MailboxName行的forms进入configuration文件customprofile.prf [Service List] ServiceEGS1=Exchange Global Section Service1=Microsoft Exchange Server … [ServiceEGS1] MailboxName=Foo … [Service1] MailboxName=Foo … 什么可以做，所以没有Foo与Foobar问题popup？ 换句话说：“Foo”似乎真的被解释为正则expression式“/Foo.*/”。 如何让“Foo”真的代表“/ ^ Foo $ /”（虽然当然没有正则expression式可以进入） （万一重要：用户名是从Active Directory中取得的SamAccountName ）
我在AD服务器上有一个单独的组织单元，用于集成许多台式PC。 现在，我已经安装了Request tracker v 4.0.8并将其与AD服务器集成在一起。 现在的问题是，我不想validation所有AD服务器中的用户到RT服务器。 我只想要其中的一些authentication到RT服务器。 条件是，我不想创build一个新的组织单位。 我不想在AD服务器中为RT创build单独的用户。 我只想使用单一用户名进行桌面集成和RT目的。 如何做到这一点？
环境：一个不受本地pipe理员pipe理的AD域（无法编辑，无法添加GPO等）用户在这里有帐户。 调用此AD alpha这个AD Alpha对本地pipe理员pipe理的本地AD域（称之为Zeta）有信任。 包含计算机帐户。 有可访问的networking共享 目标：使用AD Alpha的用户帐户和AD Zeta计算机帐户来设置AD Zeta的networking共享文件夹的权限以进行文件夹访问。 原因：为了确保当使用来自Alpha的凭证的用户访问Zeta上的共享时，他们只有在他们也正在从工作时间内通常使用的计算机访问共享的情况下才能这样做。 示例：用计算机Alogin的用户A =授予访问权限用户A使用计算机loginB =无访问权限 用户B使用计算机loginB =授予访问权限用户B使用计算机loginA =无权访问