专栏首页程序员的SOD蜜解决服务器SID引起虚拟机不能加入AD域用户,无法远程登录的问题

解决服务器SID引起虚拟机不能加入AD域用户,无法远程登录的问题

最近在公司搭建AD域控制器,发现无法在计算机真正添加域用户,也就是添加的用户虽然可以在本地登录,但是无法远程登录,尝试多种方法都无法解决,而最终原因居然是虚拟机导致的服务器的SID冲突。本文记录下该问题的发生原因和解决过程。

添加域账户

在域用户里面添加一个用户,如下图:

(图1)

将用户添加到“开发组”中去,然后让该用户在另外一台服务器远程登录:

(图2)

无法登录,甚至使用域管理员,也无法登录,看来必须去远程服务器上增加一个域用户到本地用户组上面去:

(图3)

选择Administrators组,点击添加按钮,选择一个域用户,然后添加,最好确定。 用该域用户登录,结果还是前面的界面,无法登录。 再次回到远程服务器上,打开Administrators组,发现之前添加的域用户没有添加进去。 重复上面的操作,问题依旧,并且域用户无法添加到本地任何用户组。

去群里面咨询有关大牛,给了各种链接,有人说是本地安全策略问题,有人说是防火墙设置,也有人说是域控制器设置问题。 将前面的域用户加入 Active Domain Admins组,然后再去远程服务器登录,问题依旧。

(图4)

 SID冲突

最后,找到原来公司的运维同事咨询,他告诉我,可能是SID冲突,原因是上面图片中域用户名后面的一串字符串:

 S-1-5-21-2625116194-3287851518-1169719709-500

在命令行,输入下面的命令:

C:\Users\Administrator>whoami /user

用户信息
----------------

用户名            SID
================= =============================================
dxn\administrator S-1-5-21-2625116194-3287851518-1169719709-500

在域控制器服务器上,同样输入上面的命令,显示的SID值果然跟远程服务器是一样的。 看来同事说的问题是真的。

那么,《什么是SID》呢?

搜索了下,找到如下解释:

SID 只是安全标识符的缩写而已。SID 的全称是“安全标识符(Security Identify)”,是为域或本地计算机中创建的每个帐户分配的唯一 ID 字符串(例如,S-1-5-21-1454471165-1004336348-1606980848-5555)。

Active Directory活动目录域中每一个对象也有一个唯一标识,成为GUID。GUID=SID + RID 。活动目录中专门有一个操作主机角色叫RID,就是为域中的每个对象分配一个RID号。最终GUID在所有域,乃至全世界都是唯一的。 实际上,计算机使用 SID 来跟踪每个帐户: 如果重命名管理员帐户,计算机仍然知道哪个帐户是管理员帐户。 这是因为 SID 不同于名称,它永远不会更改。

计算机账户为了更高级别的安全性要求,会与一些计算机硬件信息相关联。由于活动目录数据库已经不再信任计算机账户,认为这个计算机账户是不安全的,所谓的安全通道 security channel被破坏。

这就是前面为何在远程服务器添加域用户不成功的原因。

配置SID

SID重复的原因是怎么回事呢?

这往往是系统通过克隆安装,或者复制的虚拟机的原因,这些方式尽管安装部署系统快速,但却造成了现在的问题。解决方式,就是重新配置系统,生成新的SID。可以采用下面的命令:

C:\Users\Administrator>cd \

C:\>dir c:\windows\system32\sysprep
 驱动器 C 中的卷没有标签。
 卷的序列号是 B0D1-4221

 c:\windows\system32\sysprep 的目录

2010/11/22  02:52    <DIR>          .
2010/11/22  02:52    <DIR>          ..
2010/11/22  02:52    <DIR>          en-US
2015/12/17  12:23    <DIR>          Panther
2009/07/14  09:39           128,512 sysprep.exe
2010/11/22  02:52    <DIR>          zh-CN
               1 个文件        128,512 字节
               5 个目录 91,940,900,864 可用字节

c:\windows\system32\sysprep\sysprep.exe

然后,出现下面的配置程序界面:

(图5)

运行sysprep.exe程序以后,系统参数全部很多都重新设置了,包括IP配置信息,系统重启后,服务器的IP将变成自动获取的,并且服务器的名字也修改了,所以如果你不能在现场操作服务器,或者你没有虚拟机的管理员权限,千万不要运行sysprep.exe程序。

(图6)

经过稍长时间的配置,重新进入系统,将当前服务器加入域,然后配置域用户登录权限了,也就是上面的(图3),不会在域用户名后面跟一长串SID字符了。经过这样的配置后,域用户终于可以远程登录服务器了。

最后,感谢你的支持看完本文(数据开发利器-SOD开源框架 http://pwmis.codeplex.com )。

配置失败的问题

在有些系统上,按照上面的方式失败的可能性比较高,目前测试“数据中心版” 按照上面的方式是成功的,企业版,专业版都是失败的,系统重启后,系统出现下面的界面:

按照提示,修复计算机,或者按F8进入安全模式,都有可能失败。

因此,修改SID之前,请一定先备份一个系统快照,如果出问题,请恢复快照,然后尝试下面的方法。

使用 SIDCHG64 修改SID

可以下载这个附件工具,SIDCHG64表示该程序用于64位系统,下面这篇文章有介绍:

http://www.stratesave.com/html/sidchg.html

SIDCHG (SIDCHG64 on 64-bit Windows) 2.0f is a command-line utility to modify local computer SID and computer name, for Windows 10/8.1/2012 R2/8/2012/7/2008 R2/2008/Vista/2003/XP. It replaces current computer SID with new random SID. In addition, it changes the WSUS ID for Windows Updates, the MachineGuid, the Device Identifier for modern Windows apps, and the encryption state to preserve encrypted files, Windows Action Center settings, Certificates and other encrypted stored information.

注意,需要在(管理员)命令提示行里面执行此程序,执行后重新启动系统。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 基于邮件通道的WCF通信系统

    WCF邮件通信系统,详细介绍请见 http://files.cnblogs.com/bluedoctor/WCF%e9%82%ae%e4%bb%b6%e9%80...

    用户1177503
  • 无需重新编译代码,在线修改表单

        最近在跟朋友一起讨论工作流系统中自定义表单的问题,这些表单用于流程节点的数据处理,比如在请假流程中设计一个请假单。为了使工作流具有很高的灵活性,往往需要...

    用户1177503
  • 隐藏在程序旮旯中的“安全问题”

    --作为一个真正的程序员,必须有高度的“安全意识”,因为我们作出的软件运行在复杂的环境中,不能把不该有异常抛给用户,更不能把漏洞留给“黑客”,当然也不能把“操作...

    用户1177503
  • 【大系统小做】——实战篇

    昨天我们分享了【海量服务之道】中【大系统小做】的基本理论,今天我们将结合QQ相册系统设计实战,让大家由浅入深的感受这一理论如何指导互联网后台系统的建设。 QQ相...

    腾讯大讲堂
  • 腾讯高级副总裁郭凯天做客北大讲堂,谈腾讯与“互联网+”

    9月26日,腾讯高级副总裁郭凯天做客北大讲堂,围绕“互联网+”与腾讯发展战略进行了主题演讲。郭凯天表示,互联网正逐渐成为社会的基础设施,如水和电一样,融入各...

    腾讯研究院
  • 张量 101

    斯蒂文查了查 2019 年 1 月 3 日平安银行 (000001.XSHE) 的收盘价,发现是 9.28,他默默将这个单数字存到 X0 里。

    用户5753894
  • 第二十六节:复习Java语言基础-Java的概述,匿名对象,封装,构造函数

    达达前端
  • js运算符优先级笔记

    运算符的优先级决定了表达式中运算执行的先后顺序,优先级高的运算符最先被执行。 下面是一个简单的例子: 3 + 4 * 5 // 计算结果为23 乘法运算符...

    练小习
  • 逻辑回归项目实战-附Python实现代码

    记得刚工作的时候,用的第一个模型就是逻辑回归。虽然从大二(大一暑假参加系里建模培训,感谢知识渊博的老师把我带入模型的多彩世界!)就参加了全国大学生数学建模比赛,...

    阿黎逸阳
  • 形式化分析工具:在虚拟操作系统和主机操作系统之间配置共享文件夹

    1. 在VirtualBox应用程序中,单击虚拟机名称,然后单击“配置”,然后单击“共享文件夹”,然后添加与主机OS上的路径关联的永久性虚拟共享文件夹。如图所示...

    春风大魔王

扫码关注云+社区

领取腾讯云代金券