Windows 2008 R2域控制器和function级别。 networking连接如下： DC03 —— DC02 —— DC01(FSMOs) DC01拥有所有的FSMO。 目前尚未推广的DC03目前与DC02的通信状况良好。 所有的FSMOangular色都在DC01上。 所有站点，子网和站点链接对象都已正确configuration，以表示上面显示的networking情况。 DC03不能直接与DC01通信。 DCPromo目前正在失败，因为DCPromo运行一些直接networking连接到FSMOangular色持有者的testing。 它正试图将LDAP绑定到正在失败的RID主机，此时DCPromo会假定RID主机处于脱机状态。 但它不是离线的。 有没有办法绕过连接testing？ DC03目前正在与DC02同步，并且可以读取它想要的所有Active Directory。 我想过要做一个从媒体安装，但我想要更多的确认，它会实际上工作之前我尝试，我没有看到任何证据表明，IFM安装跳过了常规DCPromo做的连接testing。 PS – 不移动FSMOangular色。
例如，我有一个GPO，将文档文件夹redirect到\\oldserver\username\My Documents然后select“将文档的内容移动到新位置”。 用户login并创build多个文件。 然后，我将GPO更改为\\newserver\username\My Documents 用户下次login时，其文档文件夹的内容将从\\oldserver\username\My Documents移至\\newserver\username\My Documents 。 我已经看过SYSVOL中的GPO对象，它只包含当前设置的位置。 计算机如何记住旧的位置来移动文件？
我正在使用安装了Active Directory证书服务的Windows Server 2008 R2域控制器。 它被configuration为企业根CA. 我configuration了自定义证书模板，以便可以从CA生成扩展validationSSL证书。 在许多EV SSL证书中，在已颁发证书的“主题”字段中指定了以下OID： 2.5.4.15 =组织types 1.3.6.1.4.1.311.60.2.1.2 = STATE 1.3.6.1.4.1.311.60.2.1.3 = COUNTRY 例如： 2.5.4.15 =私人组织 1.3.6.1.4.1.311.60.2.1.2 =亚利桑那州 1.3.6.1.4.1.311.60.2.1.3 = US 我正在尝试查看是否已经有一个地方可以指定这些自定义OID及其在从CA通过Active Directory请求证书时要使用的值。 我查看了EV SSL Hotmail证书，其证书在其“主题”字段中包含以上OID： http://yffaz.org/imgs/hotmail.png 如果我使用MMC证书pipe理单元并select“本地计算机”并尝试使用提供的值使用我的自定义证书模板来请求证书，那么我只能看到以下项目，并且没有可以指定OID的地方： http://yffaz.org/imgs/adcs-request.png 有没有人有一个想法，我可能会做到这一点？
我有一个问题，logging从我的主DNS区域“消失”。 这些设备的客户端logging是静态条目。 条目复制正确，但随机删除。 我已经通过审计跟踪了PDC的编辑。 我从哪里出发？ 这是设置： 4个Win7客户端通过VPN连接到我的域。 三台服务器2012R2 DC; 两个在我的本地站点和一个在Azure上。 DNS被集成到Active Directory中。 DNS清除已closures。 “删除logging时陈旧”未选中。 从我的在线search中，我发现了一篇关于消失的DNSlogging的文章 。 使用ASDIEdit检查Configuration的Partitions ，并能够加载DomainDnsZones和ForestDnsZones 。 我还设置了对DNS条目的审计 。 这使我能够跟踪正在编辑的内容 学科： 安全ID：SYSTEM 帐户名称：系统 帐户域名：NT AUTHORITY loginID：0x44936 目录服务： 名称：example.com 键入：Active Directory域服务 目的： DN：DC = computer_name，DC = example.com，cn = MicrosoftDNS，DC = DomainDnsZones，DC =示例，DC = com GUID：DC = computer_name，DC = example.com，CN = MicrosoftDNS，DC = DomainDnsZones，DC =示例，DC […]
我的公司非常年轻，但是由于我们正在成长，我们想要推出一些软件部署解决scheme。 我们还没有确定哪一个，但他们通常需要一个Windows域，而我们没有一个。 我们使用Office 365处理所有类似于Outlook，SharePoint或Lync的内容。 在另一个问题中 ，我问如何将用户从O365迁移到Windows AD，似乎唯一的办法是从o365和csv-import csv导出到Windows AD。 然后我们激活DirSync，通过覆盖Windows AD中提供的O365中的所有属性来同步帐户。 激活DirSync也会移动权限的来源。 O365中的许多属性在Windows AD中没有类比，反之亦然。 如果我们无法迁移某些属性或在此过程中出现错误，某些云应用程序（如Lync，Outlook和SharePoint）可能会停止正常工作。 我们可以testing一切想到的，但可能有问题，我们不覆盖。 有没有关于哪个云应用程序使用哪些属性的综合文档？ 我对SharePoint，Exchange / Outlook，Lync和离线应用程序感兴趣。 我将如何testing缺失/错误属性的影响？ 为每个testing用例创build一个用户，以他们的身份login并testing每个应用程序的每个function？ 这个过程听起来很容易出错。 有没有更好的方法呢？ 有没有人做过这个？
我正在configuration一个带有Kerberos的AD的apache / SSO身份validation。 我的http服务器是Debian Wheezy，AD是Windows Server 2012。 我使用kpass命令为kpass的每种encryptiontypes生成了WS2012上的keytabs文件。 当我尝试用kinit打开与用户[email protected]的会话时，它可以工作。 当我尝试用HTTP/[email protected]打开会话时，我收到以下消息： kvno HTTP/[email protected] kvno: KDC has no support for encryption type while getting credentials for HTTP/[email protected] 另外，当我检查用于[email protected]时，我有： root@SERVER:~# klist -e Ticket cache: FILE:/tmp/krb5cc_0 Default principal: [email protected] Valid starting Expires Service principal 03/04/2015 12:48:21 03/04/2015 22:48:17 krbtgt/[email protected] renew until 04/04/2015 12:48:21, Etype (skey, tkt): arcfour-hmac, arcfour-hmac 我试图用我的/etc/krb5.conf来定制： […]
我有一个证书提供者，不按照我想要的方式行事。 它提供了辅助身份validation，但范围是针对主机范围内的所有交互式Windowslogin，而不是针对特定用户。 除了凭证提供者之外，还安装了凭证提供者filter。 凭证提供程序filter将login屏幕上的凭证提供程序的使用限制为仅凭凭证提供程序。 但是，如果删除了凭证提供程序filter（通过删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Provider Filters下的密钥），则用户可以将凭证提供程序更改为任何其他可用的凭证提供程序好朋友PasswordProvider ）。 我的意图是为某些用户强制使用凭据提供者。 例如，如果这个用户试图用另一个凭证提供者login，那也没关系，但是我想AD拒绝这个请求……只允许从正确的凭证提供者调用它的请求。 这可能吗？ 我希望有一种方法可以在AD中configuration用户对象来限制可接受的凭据提供程序。 谢谢
我们将有一个有NT用户authentication和代理服务器的有组织的networking。 在Active Directory和Samba服务器之间进行select时，我想selectSamba服务器（我爱开源）。 我们的计划有一个森林（根：[域名]）和树子域（如：英国[域名]，也许有一些孩子），也许互联网网站（网站用户只是使用互联网），我们可能有一个新的森林（我们应该在这些领域之间相互信任）。 在每个站点我们应该有DC和Squid代理服务器（用于高性能的控制和stream量整形互联网）。 我们所有的客户都使用Win XP或Seven。 而且我们也将使用MOSS 2007。 问题是： – 我们可以完全使用Samba服务器来处理我们的计划吗？ ，复制和信任？ ，我们应该做什么？ 我们应该为我们的计划使用OpenLDAP吗？ 你有什么build议？ 你对我们的计划推荐哪种Linux版本？ 我们有没有问题使用这些MOSS？
请看下面的编辑 ，事实certificate，问题是与UID / GID SID映射，并显示一个解决方法，这将有助于更快地了解问题。 我们有一台Ubuntu 11.04服务器机器（让我们称之为数据）join到Windows域， 同样提供了开放的工具。迄今为止，这是非常好的，因为我能够： 使用AD凭据login到计算机 设置扩展ACL文件和文件夹的权限，他们的工作。 所以通过在文件夹上设置“域pipe理员”权限，我可以login到不同的域pipe理员帐户的机器，并访问该文件夹。 所以电脑本身就能理解我所属的域组，并能正确处理权限。 但问题是，当我想从桑巴共享访问文件。 Windows似乎不明白，我们正在谈论相同的“域pipe理员”或任何其他域用户/组。 细节 主文件夹已启用acl 我在smb.conf中的共享： [home] path = /home/local/MYDOMAIN browsable = yes guest ok = no read only = no writeable = yes valid users = MYDOMAIN\Administrator, @MYDOMAIN\"Domain Users", @MYDOMAIN\"Domain Admins" write list = @MYDOMAIN\"Domain Users", @MYDOMAIN\"Domain Admins" nt acl support = yes […]
我有AD和ntlm_auth的问题。 我使用以下命令查询AD服务器以检查用户是否存在： ntlm_auth –use-cached-creds –username=SOME_USER –password=SOME_PASS –domain=SOME_DOMAIN 但是，当我在AD中更改用户的密码时，以下两个查询都有效： ntlm_auth –use-cached-creds –username=SOME_USER –password=OLD_PASS –domain=SOME_DOMAIN ntlm_auth –use-cached-creds –username=SOME_USER –password=NEW_PASS –domain=SOME_DOMAIN 如果我删除/var/cache/samba/的.tdbcaching文件，则只能使用NEW_PASSlogin。 我该如何解决这个问题？ 有没有办法让服务器不caching密码？ 或ntlm_auth的任何标志，我可以使用不考虑old_password？ 我正在使用CentOS5和ntlm_auth 3.3.8。 提前致谢。