解决服务器SID引起虚拟机不能加入AD域用户,无法远程登录的问题

最近在公司搭建AD域控制器,发现无法在计算机真正添加域用户,也就是添加的用户虽然可以在本地登录,但是无法远程登录,尝试多种方法都无法解决,而最终原因居然是虚拟机导致的服务器的SID冲突。本文记录下该问题的发生原因和解决过程。

添加域账户

在域用户里面添加一个用户,如下图:

(图1)

将用户添加到“开发组”中去,然后让该用户在另外一台服务器远程登录:

(图2)

无法登录,甚至使用域管理员,也无法登录,看来必须去远程服务器上增加一个域用户到本地用户组上面去:

(图3)

选择Administrators组,点击添加按钮,选择一个域用户,然后添加,最好确定。 用该域用户登录,结果还是前面的界面,无法登录。 再次回到远程服务器上,打开Administrators组,发现之前添加的域用户没有添加进去。 重复上面的操作,问题依旧,并且域用户无法添加到本地任何用户组。

去群里面咨询有关大牛,给了各种链接,有人说是本地安全策略问题,有人说是防火墙设置,也有人说是域控制器设置问题。 将前面的域用户加入 Active Domain Admins组,然后再去远程服务器登录,问题依旧。

(图4)

 SID冲突

最后,找到原来公司的运维同事咨询,他告诉我,可能是SID冲突,原因是上面图片中域用户名后面的一串字符串:

 S-1-5-21-2625116194-3287851518-1169719709-500

在命令行,输入下面的命令:

C:\Users\Administrator>whoami /user

用户信息
----------------

用户名            SID
================= =============================================
dxn\administrator S-1-5-21-2625116194-3287851518-1169719709-500

在域控制器服务器上,同样输入上面的命令,显示的SID值果然跟远程服务器是一样的。 看来同事说的问题是真的。

那么,《什么是SID》呢?

搜索了下,找到如下解释:

SID 只是安全标识符的缩写而已。SID 的全称是“安全标识符(Security Identify)”,是为域或本地计算机中创建的每个帐户分配的唯一 ID 字符串(例如,S-1-5-21-1454471165-1004336348-1606980848-5555)。

Active Directory活动目录域中每一个对象也有一个唯一标识,成为GUID。GUID=SID + RID 。活动目录中专门有一个操作主机角色叫RID,就是为域中的每个对象分配一个RID号。最终GUID在所有域,乃至全世界都是唯一的。 实际上,计算机使用 SID 来跟踪每个帐户: 如果重命名管理员帐户,计算机仍然知道哪个帐户是管理员帐户。 这是因为 SID 不同于名称,它永远不会更改。

计算机账户为了更高级别的安全性要求,会与一些计算机硬件信息相关联。由于活动目录数据库已经不再信任计算机账户,认为这个计算机账户是不安全的,所谓的安全通道 security channel被破坏。

这就是前面为何在远程服务器添加域用户不成功的原因。

配置SID

SID重复的原因是怎么回事呢?

这往往是系统通过克隆安装,或者复制的虚拟机的原因,这些方式尽管安装部署系统快速,但却造成了现在的问题。解决方式,就是重新配置系统,生成新的SID。可以采用下面的命令:

C:\Users\Administrator>cd \

C:\>dir c:\windows\system32\sysprep
 驱动器 C 中的卷没有标签。
 卷的序列号是 B0D1-4221

 c:\windows\system32\sysprep 的目录

2010/11/22  02:52    <DIR>          .
2010/11/22  02:52    <DIR>          ..
2010/11/22  02:52    <DIR>          en-US
2015/12/17  12:23    <DIR>          Panther
2009/07/14  09:39           128,512 sysprep.exe
2010/11/22  02:52    <DIR>          zh-CN
               1 个文件        128,512 字节
               5 个目录 91,940,900,864 可用字节

c:\windows\system32\sysprep\sysprep.exe

然后,出现下面的配置程序界面:

(图5)

运行sysprep.exe程序以后,系统参数全部很多都重新设置了,包括IP配置信息,系统重启后,服务器的IP将变成自动获取的,并且服务器的名字也修改了,所以如果你不能在现场操作服务器,或者你没有虚拟机的管理员权限,千万不要运行sysprep.exe程序。

(图6)

经过稍长时间的配置,重新进入系统,将当前服务器加入域,然后配置域用户登录权限了,也就是上面的(图3),不会在域用户名后面跟一长串SID字符了。经过这样的配置后,域用户终于可以远程登录服务器了。

最后,感谢你的支持看完本文(数据开发利器-SOD开源框架 http://pwmis.codeplex.com )。

配置失败的问题

在有些系统上,按照上面的方式失败的可能性比较高,目前测试“数据中心版” 按照上面的方式是成功的,企业版,专业版都是失败的,系统重启后,系统出现下面的界面:

按照提示,修复计算机,或者按F8进入安全模式,都有可能失败。

因此,修改SID之前,请一定先备份一个系统快照,如果出问题,请恢复快照,然后尝试下面的方法。

使用 SIDCHG64 修改SID

可以下载这个附件工具,SIDCHG64表示该程序用于64位系统,下面这篇文章有介绍:

http://www.stratesave.com/html/sidchg.html

SIDCHG (SIDCHG64 on 64-bit Windows) 2.0f is a command-line utility to modify local computer SID and computer name, for Windows 10/8.1/2012 R2/8/2012/7/2008 R2/2008/Vista/2003/XP. It replaces current computer SID with new random SID. In addition, it changes the WSUS ID for Windows Updates, the MachineGuid, the Device Identifier for modern Windows apps, and the encryption state to preserve encrypted files, Windows Action Center settings, Certificates and other encrypted stored information.

注意,需要在(管理员)命令提示行里面执行此程序,执行后重新启动系统。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏数据和云

故障分析:内核参数设置不当导致数据库异常重启

编辑手记:数据库中每一个不起眼的参数,都有其内部的原理,不可随意更改。今天分享一则因内核参数SEMOPM设置太小,加上在业务高并发时段LGWR写入太慢,系统调用...

3734
来自专栏云计算教程系列

[快速入门]如何在Ubuntu 18.04上安装Apache Web服务器

Apache HTTP服务器是世界上使用最广泛的Web服务器。它提供了许多强大的功能,包括可动态加载的模块,强大的媒体支持以及与其他流行软件的广泛集成。

6850
来自专栏安全领域

使用JavaScript开发物联网设备也会非常安全

本文将引导你完成一个练习,向你展示如何在 IoTivity 安全框架上使用 Java 对 OCF 设备进行快速原型设计。

49310
来自专栏数据之美

玩转 Linux 之:由 Nginx log rotation 聊聊 mv 的妙用

1、Nginx 下如何正确的做日志切分 今天发现有个 Nginx 日志 rotation 出来大小是 0,很奇怪,按公司的业务场景来说,这是不可能的。 瞅了...

25410
来自专栏散尽浮华

Heartbeat使用梳理

在日常的集群系统架构中,一般用到Heartbeat的主要就2种: 1)高可用(High Availability)HA集群, 使用Heartbeat实现,也称为...

3497
来自专栏容器云生态

Openstack平台搭建之第一天 基于RDO方式搭建

openstck基于web方式的rdo部署 If you have any question ,please contact me by weichuangxx...

32710
来自专栏飞雪无情的博客

使用Hexo在Github上搭建自己的博客

以前的博客是使用Jekyll托管在github上,后来用着越来越不方便,比如没有自动生成post,不能一键部署,文件结构和配置也是比较繁琐,更重要的是有时候用m...

692
来自专栏蓝天

LINUX系统性能调谐

邓延军 (deng.yanjun@163.com), 硕士研究生, 西安电子科技大学软件工程研究所

1812
来自专栏Ryan Miao

Hexo next博客添加折叠块功能添加折叠代码块

前言 有大段的东西想要放上去,但又不想占据大量的位置。折叠是最好的选择。下面在Hexo的主题上定制添加折叠功能。 本文基于Hexo Next的主题修改。其他主题...

5438
来自专栏惨绿少年

企业架构规划及服务器优化参数

第1章 企业架构规划 1.1 架构图 ? 1.1.1 用户访问网站组成 类型 作用 实现方式 顾客-用户 访问网站的人员 ...

3230

扫码关注云+社区

领取腾讯云代金券