![Active Directory:以 WinXP SYSTEM 用户身份访问网络共享](https://linux22.com/image/609335/Active%20Directory%EF%BC%9A%E4%BB%A5%20WinXP%20SYSTEM%20%E7%94%A8%E6%88%B7%E8%BA%AB%E4%BB%BD%E8%AE%BF%E9%97%AE%E7%BD%91%E7%BB%9C%E5%85%B1%E4%BA%AB.png)
问题:
我无法Domain Computers
通过以帐户身份在 Windows XP 上运行的进程访问可访问的网络共享SYSTEM
。
我有一个 2008R2 域、一个 2003R2 文件服务器和一组客户端。
在文件服务器上,我创建了一个可供Domain Computers
组访问的共享。该共享用于保存文件的只读存储库 (工作量) 可通过系统服务从域工作站访问 (通用动力) 由用户运行SYSTEM
。
现在的问题是,虽然它在 Windows 7 上运行良好,在 Windows XP 上完全失败。似乎由于某种原因,SYSTEM
Windows XP 上的帐户无法验证为计算机。查看更多详细信息。
问题:
我做错了什么?
这也许是 Windows XP 系统的自然行为吗?如果是,可以更改或修复吗?或者有没有其他方法可以实现这样一种场景,即用户SYSTEM
在计算机上可以看到网络共享,但用户无法访问?
细节:
- 该
Domain Computers
群组已获得权限对于文件和共享 - 我已经检查了更高的权限,从
Read
到Full Controll
- 我已经使用 VBox 上安装的全新操作系统测试了该问题
由于问题是由应用程序报告的,因此我首先开始验证实际的SYSTEM
用户权限。在两个 Windows 版本(7 和 XP)上,我都打开了一个提升的cmd
会话模拟SYSTEM
帐户(使用PsExec -s -i cmd.exe
),并尝试手动挂载网络共享:
net use x: \\myfs.mydomain.com\Wpkg
在 Windows 7 上,驱动器已毫无异议地安装。但在 Windows XP 上,命令响应了有关密码错误的信息并提示输入新密码:
[Windows XP]
Password for \\myfs.mydomain.com\Wpkg is incorrect.
Please enter password for "myfs.mydomain.com": _
(请注意,这只是翻译,官方英语语言环境可能听起来有所不同)
答案1
在正常的、普通的环境中,您的操作将有效。我无法复制您所看到的内容。我创建了一个共享 (\\server\share),授予域计算机读取访问权限,并删除了所有其他 ACE。在 下运行psexec -s -i -d cmd
,我能够从 XP 和 Win7 计算机访问共享。
您有多确定 XP 计算机是域计算机的成员?默认情况下,所有新计算机帐户都是域计算机的成员,但不是通过member
(或memberOf
) 属性,而是作为对象的主组。域计算机组的知名 RID 是 515。该 RID 值标记在计算机对象的 primaryGroupID 属性上。
您能否查看计算机对象的 primaryGroupID 和 memberOf 属性,并告诉我是否存在这些属性?如果您愿意,您可以发布 XP 和 Win7 计算机的完整输出吗?无论哪种方式,获取信息的简单方法是使用以下命令:dsquery * -filter "name=COMPUTER_NAME_GOES_HERE" -attr *
。
还可以尝试更改共享/NTFS 上的 ACL,一次一个,以允许、、Everyone
和计算机名称本身。尝试每一个,看看哪个(如果有的话)有效。Authenticated Users
Domain Users
答案2
固定的!
问题的根源是文件服务器未将自身注册到 DC DNS。这显然是有人故意为之——相应的网络接口选项已被手动取消选中:
(network interface)
-> Properties
-> TCP/IP Protocol
-> Advanced
-> DNS
-> [ ] Register this connection's address in DNS
检查上述选项并发出后ipconfig /registerdns
:
- 文件服务器在 DC DNS 记录中正确注册
- Windows XP
SYSTEM
用户开始正确挂载有问题的共享,而无需输入凭据
Windows XP 和 Windows 7 的不同行为一定是由于内部实现上的一些差异造成的;我猜是 Kerberos,尽管我对 Kerberos 的了解还很肤浅。
CNAME
我发现很有趣的是,当我尝试从 ie.wpkg.domain.mydomain.com
到添加记录时,发生了非常类似的事情filesystem.domain.mydomain.com
:
在 Windows XP 中,只有最终的主机名有效:
C:\WINDOWS\system32>dir \\wpkg[.domain.mydomain.com]\wpkg
Access denied.
C:\WINDOWS\system32>dir \\fileserver[.domain.mydomain.com]\wpkg
[...result OK... ]
...而在 Windows 7 上,使用 CNAME 没有任何问题:
C:\WINDOWS\system32>dir \\wpkg[.domain.mydomain.com]\wpkg
[...result OK... ]
C:\WINDOWS\system32>dir \\fileserver[.domain.mydomain.com]\wpkg
[...result OK... ]
请注意,这里我收到一个Access denied
错误,而不是密码提示。