我正在尝试提供一些特殊情况的笔记本电脑。 我想创build一个本地访客帐户。 这很好，但是当我尝试创build它时，我提示我的访客密码不符合复杂性要求。 我试图编辑本地安全策略来改变复杂性，但这是灰色的。 是否有可能用本地覆盖域策略？ 是的，我知道我可以select一个更长的密码，但这不是重点。 我想知道如何覆盖域名政策，以防万一我需要在将来。
我已经看到了有关这样做的其他问题和文件，但有些东西仍然让我感到困惑。 这里是我见过的文件和问题： 淘汰死的Windows 2003域控制器 从Petri 抓住FSMO的angular色 使用NTDSUtil.exe将FSMOangular色转移或获取到域控制器 – Microsoft知识库 Active Directory域控制器上的FSMO布局和优化 – Microsoft知识库 在域控制器降级失败后，如何删除Active Directory中的数据 该环境包含两个Windows服务器和众多的客户端。 域控制器是与Windows 2000本机AD一起运行的Windows 2003 SP2。 另一台服务器（根本不是DC）是Windows 2000 SP4（它正在托pipe一个病毒检查工具）。 netdom query fsmo结果netdom query fsmo ： Schema owner missing.office.local Domain role owner myself.office.local PDC role missing.office.local RID pool manager missing.office.local Infrastructure owner missing.office.local The command completed successfully. 来自dcdiag结果： Domain Controller Diagnosis Performing […]
我正在监视广告日志，当有人修改AD对象时，我可以看到一个日志，但只有该组策略的GUID在行中提供。 所以给定一个组策略的GUID，是否有可能得到在gpmc.msc中显示的名称？ （我的意思是使用LDAP协议来获得）
我在一个有15个物理站点的组织工作。 公司总部有两个DC，它们之间保持着FSMO的所有angular色。 每个远程站点都有一个现场直stream电。 当我在这里工作时，AD网站没有configuration。 我的问题是，如果我们在所有站点之间都有高速WAN链接（超过10 MB），则configuration它们会获得什么。我知道login速度可能会提高。 但是，当广域网链路断开时，客户端应该仍然能够find本地的DC，是否正确？
我们find了域pipe理员帐户 – 除非在灾难恢复情况下，我们不使用 – 在LastLogonTimeStamp属性中最近有一个date。 据我所知，没有人应该使用这个帐户在有关的时间段（和几个月以上），但也许有一个白痴已经configuration它运行一个计划的任务。 由于安全日志事件的数量（以及缺乏分析的SIEM工具），我想确定哪个DC具有帐户的实际lastLogon时间（即不是复制的属性），但是我查询了域中的每个DC，他们每个人都有一个最后login“无”pipe理员。 这是林中的一个子域，所以有人可能使用这个子域pipe理员帐户在父域中运行某些东西。 任何人都可以想出一种方法来确定哪些DC正在进行login，而不是在LastLogonTimestamp中logging的时间内检查来自16个森林DC的潜在2000万事件吗？ 我想我可以首先瞄准父域DC（因为小孩DC似乎没有做auth）。 附录 这个请求的最初原因是由于我们的IT安全团队，他们想知道为什么我们显然使用默认的域pipe理员帐户频繁login。 我们知道我们没有login。 事实certificate，有一种叫做“Kerberos S4u2Self”的机制，当一个作为本地系统运行的调用进程正在做一些特权升级时。 它以域控制器上的pipe理员身份执行networkinglogin（不是交互式）。 由于它是非交互式的，这就是为什么在任何DC上没有lastLogon帐户（该帐户从未login到任何当前的域控制器）。 这篇文章解释了为什么这个东西会把你的日志写出来，并使你的安全团队有小猫（源机器是Server 2003，使事情变得更糟）。 以及如何追踪。 https://blogs.technet.microsoft.com/askpfeplat/2014/04/13/how-lastlogontimestamp-is-updated-with-kerberos-s4u2self/ 获得的经验 – 只有在涉及pipe理员login时，才向IT安全团队提供有关lastLogon属性的报告。
我在使用我的一个域名实验室时遇到了一个相当有趣的问题。 2008 R2文件服务器上有一个目录，用于“Staff”OU中的所有用户的文件夹redirect。 该目录具有以下权限集： FILESERVER \ Administrators：允许完全控制目录，子目录和文件 DOMAIN \ Domain Admins：允许完全控制目录，子目录和文件 经过身份validation的用户：只允许创build文件，创build文件夹，写入属性并将扩展属性写入顶层目录 另外，该目录也是一个networking共享，其中“允许完全控制”Authenticated Users组。 当用户john.doe（域pipe理员组的成员）尝试从文件服务器访问目录时，他将收到错误“您当前没有权限访问此文件夹”。 尝试从同一台服务器访问networking共享也会导致权限被拒绝错误（尽pipe用户仍然可以在共享内访问他自己的目录）。 从同一用户login的另一台计算机访问共享允许按configuration进行访问。 login到文件服务器时可以访问目录中的文件的唯一方法是打开提升的命令提示符。 通过组策略禁用域中所有计算机的UAC（在pipe理员批准模式下启用所有pipe理员，默认行为设置为提升而不提示）。 所有道路指向允许访问的用户，但仍然被拒绝。 有任何想法吗？
Windows Server提供证书颁发机构服务。 但是，从文档中不清楚如何（或者如果）根证书分发给客户端。 域成员计算机是否自动信任根证书？ 如果是这样，他们如何以及何时获得证书？ 是否需要安装或信任根证书的用户交互？ 客户端是否在轮询Active Directory？ 它在AD DNS吗？ 它只会在login过程中得到它吗？ 如果域成员远程VPN到局域网怎么办？ 是否有不同版本的Windows客户端的警告？
我们有许多分支机构，其中有一个AD / DNS服务器会对用户体验产生很大的影响。 以下特征适用于： 没有空调的服务器房间，没有预算来设置一个 办公室位于发展中国家，所以高温，潮湿和灰尘是常见的 这些办事处没有IT人员 获得更换零件通常意味着从欧洲发送一些东西 由于运输设备到办公室的后勤挑战，小型化是首选 办公室有2-25个用户 我一直在考虑部署运行Windows 2008 R2的低功耗闪存的迷你PC作为只读域控制器的可能性。 我看到有可能使用Atom 1.6GHz处理器的Mini ITX设备，2Gb的RAM和基于mSATA闪存的存储（32Gb）（例如Soekris net6501-70 ），看起来它将满足运行Windows Server 2008 R2的最低要求。 有没有人推出过这样的生产系统，能够分享经验？ 考虑到环境条件，我认为无风扇/固态硬盘更好吗？ 对于我们的域名大小（800个用户，组策略审查中），32Gb存储是否足以运行RODC？
我们正在准备一个场景，当一个域中的帐户受到攻击时，下一步该做什么？ 禁用帐户是我的第一个答案，但几周前我们在这里做了testing，他们能够使用几个月前离开的pipe理员用户的哈希login。 我们到目前为止的两个答案是： 删除帐户并重新创build（创build新的SID，但也为用户和我们工作更戏剧） 更改密码至less3次并禁用帐户 你的方法是什么，或者你会推荐什么？
我pipe理的Windows域有数百个我不认识的计算机名称，我想删除那些未使用的旧计算机名称，然后再尝试追踪这些错误的名称。 有没有办法看到上次loginnetworking的时间？ 通过dhcpd或用户login事件或其他。