我正在build立一个最初将在内部使用的PKI。 由于我们可能会增加对此的使用，因此我select了三级层次结构 – 脱机根和策略CA（目前供内部使用的一个策略CA）和在线颁发CA. 我们最初讨论的是使用我们的域控制器作为颁发CA，而不是build立专用的CA。 我现在开始怀疑是否让我们的区议会签发证书是个好主意。 我们有不到1000个用户，所以我们的区议会没有被征税。 有没有人有任何build议或反对这样做？ 我们目前正在运行Windows 2003 Active Directory，但将在未来一年升级到Windows 2008。 我正在设置Windows 2008 PKI。
我在我们的networking上有pipe理权限，但我不pipe理所有服务器或软件的安装。 在我们的一些机器上，SQL Server 2008的实例已经安装，我需要能够访问，但是由于我的帐户还没有被明确授予login，我无法进入。 有没有办法在不改变任何人的密码的情况下进入数据库（例如，我可以通过更改安装实例的用户的密码来解决这个问题，假设他们已经将自己设置为pipe理员，然后以他们身份login，但是我不想这样做）。
我们的团队最近在我们的Windows域中实施了14个以上的字符密码，以便我们符合我们的组织安全指令。 在密码更改时，用户现在正在接收密码长度警告，说： The Password is longer than older versions of Windows; such as Windows 98 or Windows 95, can use. 有没有办法来禁用此警告？ 我们的支持团队正在被用户问及这个问题。 我们的networking只使用Windows XP SP3和Windows 7客户端操作系统。 AD域处于function级别2008上。我们设置了GPO，以便不存储LANpipe理器散列值，LANpipe理器authentication级别仅为NTLMv2。
我需要将某个工作站从基于工作组的环境迁移到Windows 2008域。 我不会失去用户configuration文件，那么有没有办法做到这一点，而无需手动移植一对一？
在Windows 7上用几个伪造的用户创build一个虚拟Active Directory域将是一种轻量级的方式？ 我想testing一个与AD集成的小应用程序。
我有一个活动目录服务器（2008）与DNSconfiguration为internal.company.com并具有转发所有未知的请求到ISP DNS的活动转发器。 company.com已注册，并有一个由外部主机www.company.com托pipe的活动网页。 服务器AD和DNS已使用标准设置与DCPromo一起安装。 一切正常。 我现在的问题是，如果来自内部networking（将该服务器configuration为名称服务器）的客户端请求内部域的未知地址（例如unknown.internal.company.com ，如果该请求将被转发到isp的DNS，因为我的DNS不知道这个主机？ 如果是的话，我有什么configuration，这不会发生。
在对LDAP服务器进行AuthType Basic身份validation时，首先绑定Apache来search用户的DN，然后绑定该DN来testing用户的密码。 挑战在于，对于AD，您通常不能执行匿名绑定。 所以，你必须设置AuthLDAPBindDN 。 但是，我说，我已经知道DN了！ 我不必绑定search绑定，我可以绑定为cn=_username_,OU=Employees,DC=megacorp,DC=com ！ 这似乎是不可能的，但我想我会问：我是否可以说服Apache通过简单构build一个DN即可跳过绑定和searchDN的绑定使用绑定，或者做我必须和当地的官僚机构谈一个特殊的账户，我可以通过这个账户来寻找我想要authentication的用户？ 谢谢！ -danny
我从来没有见过这样的事情。 在一个潜在的客户现场，我注意到个人电脑都无法find域控制器和netlogon失败。 我修复了客户端PC上的DNS条目，因此AD服务器是DNS服务器，并尝试重新join域。 PC无法find域控制器。 在服务器上，我检查了DNS设置，并且存在高级AD文件夹时，与Active Directory相关的每个条目似乎都已被完全删除。 从我所知道的情况来看，没有任何备份，至less已经发生了6个月。 有没有人有任何修复这个build议？ 谢谢。
在我的活动目录中，我目前在包含login脚本的域对象上有一个GPO。 我想创build一个新的组，我可以添加用户，并运行一个额外的/不同的login脚本。 我试着创build一个新的OU，把这个组放入OU中，把用户添加到组中。 在OU中，我创build了一个GPO并设置了用户login脚本 – 我使用浏览button导航到脚本文件。 UNCpath看起来是正确的，我validation了用户/机器可以真正到达并正确运行。 问题是它似乎不工作。 我重新启动机器，login，脚本似乎并没有运行。 我猜测这可能是因为在其他域GPO的login脚本（这是设置为不覆盖）（也许这是不重写，这是问题…？）？ 您是否只能从单个GPO定义一个login脚本，或者您是否可以拥有多个具有login脚本的GPO？
有没有办法使用用户名从Active Directorylogin用户的IP地址？ （安全事件日志除外）