我在Windows 7工作站和笔记本电脑上几次收到错误信息，并且我知道如何解决这个问题，但是为什么会这样呢？
如何在Windows客户端上存储caching的Active Directory域凭据？ 它们是否存储在本地SAM数据库中，从而使它们容易受到本地用户帐户易受影响的彩虹表攻击，或者它们的存储方式不同？ 请注意，我知道它们是被腌制和散列的，所以不会以纯文本forms存储，而是像本地帐户一样进行散列，并存储在同一位置？ 我意识到，至less他们是容易受到暴力攻击，但是这是一个更好的情况下，被困机器的情况下容易受到彩虹桌。
我注意到，我们在Active Directory中拥有比公司拥有实际员工更多的用户。 有一个简单的方法来检查多个Active Directory帐户，看看是否有一段时间没有使用的帐户？ 这应该帮助我确定是否应该禁用或删除某些帐户。
我看到许多解决scheme允许Google Apps使用外部AD和LDAP服务进行login。 不过，我已经在Google Apps中安装了大量用户，而且我正试图绕过其他方式。 也就是说，我希望允许用户使用我在Google Apps中创build的帐户login我的外部服务器。 有没有人成功地发现了将Google Apps域用作开放目录，Active Directory或LDAP提供者的方法？
我pipe理一个30台机器和2台terminal服务器的商店（一个生产，一个备用）。我应该在networking中真正部署Active Directory吗？ 有没有真正的好处，可以ballance另一个AD服务器的存在？ 我们的terminal服务器是独立运行的，没有其他服务，除了我们的公司APP。 如果我仍然在没有AD的情况下运行，那么我缺less哪些重要function？ 更新 ：但是你们中的任何一个在没有AD的情况下运行成功的商店
这是关于Active Directory组策略基础的典型问题 什么是组策略？ 它是如何工作的，为什么我应该使用它？ 注意：这是对新pipe理员的问题和回答，可能不熟悉它的function和function。
回到Windows Server 2012之前的日子，推荐似乎至less有一个物理域控制器坐在你的虚拟化数据中心的旁边。 其中一个理由是因为如果您的Hyper-V主机是集群化的，那么他们需要一个DC在启动过程中可联系。 这对我来说是完全意义上的。 不过，我经常听到有人说，即使没有集群设置，拥有物理DC也是非常重要的（例如，在一台运行着几台虚拟机的单个Hyper-V服务器的简单设置中，其中一个是DC）。 这样做的理由似乎（而且我永远也不能确定），在Hyper-V主机第一次启动的时候，你仍然会遇到一个问题，那就是networking上没有DC。 caching的凭据意味着你仍然可以login，但是启动期间发生的所有这些意味着在DC周围有什么好处呢？ 这实际上是一个问题吗？ 实际上是否有任何操作只能在启动时运行才会导致问题？ 任何组策略例如？ 我基本上要问的是，当涉及到集群时，物理DC论证是否真的会持水，还是（2012年以前）没有集群的情况下有一个重要的技术案例？ 来自Altaro的这篇文章 （见“鸡与鸡蛋”的“神话”一节）暗示没有必要，但我仍然不确定。 现在到我的问题的第二个（也是主要）部分： Windows Server 2012引入了几项针对解决虚拟化域控制器问题的function，其中包括： 虚拟机生成ID – 这解决了USN回滚问题，这意味着快照（或更具体地说，回滚到快照）不被支持/一个非常糟糕的想法 集群引导 – 这解决了上面提到的故障转移集群周围的“鸡和蛋”问题。 启动过程中，故障转移群集不再需要DC存在。 所以我的第二个问题与第一个问题类似，但这次是2012+。 假设vDC和主机都是2012+，并且您将聚类排除在等式之外，还有其他像上面提到的那些问题，意味着我应该考虑一个物理DC吗？ 我还应该考虑在我的单个非集群2012 / 2012R2 Hyper-V主机上使用单个虚拟化DC的物理DC吗？ 我听说有人build议将AD放在Hyper-V主机上，但由于各种原因，我不太喜欢这个想法（WBcaching在启动时被禁用）。 作为一个侧面提示，我的问题隐含地认为，让您的Hyper-V主机join域以提高可pipe理性是有意义的。 这个断言是否经过审查？ 更新： 在阅读了一些答案之后，我想到我可以略微不同地描述一些事情，以便了解我所问的内容： 即使在2012年和之后的改进中，事实仍然是在没有任何物理DC或其他主机上的虚拟DC的情况下，当没有DC可用时主机仍然启动。 这实际上是一个问题吗？ 从某种意义上说，如果把虚拟化完全放在图片之外，我想这是相同的（或非常相似的）问题。 如果您定期在任何区议会之前启动成员服务器，是否有问题？
在Windows域中，PDC不一定是域时间服务器。 我怎样才能确定权威的时间服务器？
我通常喜欢为自己设置单独的login，一个用户具有常规用户权限，另一个用于pipe理任务。 例如，如果域名是XXXX，我会设置一个XXXX \ bpeikes和一个XXXX \ adminbp帐户。 我一直这样做是因为坦率地说，我不相信自己是以pipe理员身份login的，但是在我工作的每一个地方，系统pipe理员似乎只是把他们平常的账户添加到域pipe理员组中。 有没有最佳做法？ 我见过一篇来自MS的文章，似乎表示你应该使用运行方式，而不是作为pipe理员login，但他们没有给出一个实现的例子，我从来没有见过其他人这样做。
这是我第一次设置或甚至使用活动目录。 我设置了它，并将计算机（实际上是Hyper V中的虚拟机）添加到活动目录，如果使用hyper-V连接到虚拟机，我可以使用活动目录域中的用户login到虚拟机。 但是，如果我尝试通过远程桌面login，我得到这个错误： The connection was denied because the user account is not authorized for remote login. 我努力了： – 从活动目录内，我已将我的用户所在的组添加到远程桌面用户。 – 在VM本身上，添加活动目录组（包含我尝试login的用户）以允许通过本地安全策略中的远程桌面服务login。 我仍然有相同的授权拒绝错误。 如何在Active Directory中正确设置组以便能够在我的所有虚拟机上使用远程桌面login？ 谢谢！