![共享文件夹和客户端 AD 不进行更改](https://linux22.com/image/674293/%E5%85%B1%E4%BA%AB%E6%96%87%E4%BB%B6%E5%A4%B9%E5%92%8C%E5%AE%A2%E6%88%B7%E7%AB%AF%20AD%20%E4%B8%8D%E8%BF%9B%E8%A1%8C%E6%9B%B4%E6%94%B9.png)
我遇到了以下问题。在我的公司,我在 WS2008 R2 中安装了 DNS 服务器 + AD。我遇到的问题是,当我向组中添加或删除用户时,通过共享组的文件夹,客户不会进行更改,直到您关闭会话并重新启动。例如,您不会关闭会话,直到用户可以访问共享文件夹但不能访问组内文件夹。我还发现一些奇怪的事情,如果我访问 IP,更改会反映出来,但如果我同意 DNS,更改不会反映出来,DNS 会正确解析。有人能帮帮我吗?非常感谢!
答案1
当用户登录时,他们会获得一张 Kerberos 票证。该票证包含用户所属的所有组的列表当时。如果您在他们登录后将他们添加到组,他们需要注销/登录以获取包含新组列表的新票。
当您通过 DNS 名称访问共享时,该连接将使用 Kerberos 进行身份验证。当您通过 IP 访问共享时,将使用 NTLM 来验证连接(而不是 Kerberos)。NTLM 不使用票证,并且以更动态的方式评估成员资格。但是,Kerberos 是一种行业标准身份验证方法,使用范围更广,并且具有 NTLM 不具备的其他优势。
答案2
这是预期行为。Windows 仅在生成 Kerberos 票证授予票证时查找您的组成员身份。有一个很好的解释这里,但引用一下:
当 Alice 成功向其 DC(这是定义 Alice 的用户帐户的域的 DC)进行身份验证后,DC 的 KDC 将构造 Kerberos 票证授予票证 (TGT)。为了使 KDC 能够使用 Alice 的授权数据填充 TGT 的 PAC 字段,DC 完成以下步骤:
- 在步骤 1 中,DC 查询本地 AD 域分区以找出 Alice 的全局组成员身份。这些不仅包括直接分配给 Alice 用户帐户的全局组成员身份,还包括分配给 Alice 所属的全局组之一的全局组成员身份。
- 在步骤 2 中,DC 查询本地 AD 域分区以找出 Alice 的通用组成员身份。同样,这些不仅包括直接分配给 Alice 用户帐户的通用组成员身份,还包括分配给 Alice 所属的通用组或全局组之一的通用组成员身份。
- 在步骤 3 中,DC 查询本地 AD 域分区以找出 Alice 的域本地组成员身份。同样,这些不仅包括直接分配给 Alice 用户帐户的域本地组成员身份,还包括分配给 Alice 所属的域本地组、通用组或全局组之一的域本地组成员身份。
然后,KDC 将这三个步骤中收集的授权数据存储在 Alice 的 TGT 中,并将 TGT 转发给 Alice 的工作站。Alice 的工作站会自动将 TGT 缓存在 Alice 的本地 Kerberos 票证缓存中。
为了让 Alice 访问位于成员服务器上的资源并让 Alice 透明地向该成员服务器进行身份验证,Alice 工作站上的 Kerberos 逻辑将使用 Alice 缓存的 TGT 向 KDC 请求该资源的服务票证。
如果服务票证请求有效,KDC 将生成服务票证。为了填充新服务票证的 PAC,KDC 会复制它在 Alice 的 TGT 的 PAC 中找到的授权数据。然后 KDC 将服务票证发送给 Alice。同样,Alice 的工作站将自动将服务票证缓存在 Alice 的本地 Kerberos 票证缓存中。
(Kerberos 将您的组成员身份存储在特权访问证书 (PAC) 字段中。)
我希望这能有所帮助。