![我需要将 AD 默认域控制器策略恢复为默认值,但无法登录](https://linux22.com/image/725008/%E6%88%91%E9%9C%80%E8%A6%81%E5%B0%86%20AD%20%E9%BB%98%E8%AE%A4%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%E7%AD%96%E7%95%A5%E6%81%A2%E5%A4%8D%E4%B8%BA%E9%BB%98%E8%AE%A4%E5%80%BC%EF%BC%8C%E4%BD%86%E6%97%A0%E6%B3%95%E7%99%BB%E5%BD%95.png)
好的,说来话长。
我只有两个域控制器,我知道,这是一个糟糕的选择,但这就是我所做的。
Microsoft 刚刚发布了 RD Web 客户端,所以我想安装它。我创建了一个新的 VM 并将其加入到我的域中。安装远程桌面 Web 客户端后,它就可以正常工作,但我无法使用连接代理,因为它的服务正在启动和停止。我发现它与计算机配置 > Windows 设置 > 本地安全选项 > 用户权限分配中的策略有关。
我进入该部分,发现网站列出的要更改的政策是关于生成安全审核的,以及关于以服务身份登录以允许本地服务和网络服务的政策。但这并没有为我解决问题。
我就是在这里发疯的,请不要介意我,我对我所做的一切感到后悔。
我想,也许我应该尝试该策略列表中的其他策略,因此我尝试了有关创建令牌对象的策略。
它冻结了,过了一会儿,然后说无法更改策略。但即便如此,它仍然显示了我所做的更改。所以我继续将它们改回来。再一次,它给出了错误,但仍然改变了。然后我注意到它给出了一个错误,说无法联系域控制器。另一个也不能。然后 GPO 管理关闭了。
在我的 VMWare 列表中,我注意到我的主域控制器已关闭。我查看了它,它重新启动了,然后它显示正在应用安全策略和默认域控制器策略,然后它显示请等待本地会话管理器,然后再次关闭。
现在它处于启动循环中。
我在这里发现了一些东西”http://www.sysadminlab.net/windows/restore-default-domain-policy-and-default-domain-controller-gpo-settings-to-default“,但我无法在启动修复选项上执行此操作,因为它不支持 Windows PE。
我尝试了安全模式、带网络连接的安全模式和带命令提示符的安全模式。没有任何效果。
我尝试了“最后一次的正确配置”,但是没有用。
我也尝试了目录服务修复,但它无法完成命令,因为“它不是域控制器”。如果我尝试在目录服务修复中登录域帐户,它会说无法联系登录服务器。
我已经尝试了所有能想到的方法,但我不能失去我的 AD 域。
此外,如果您想出了解决方案,请考虑到我在该 DC 上也托管了一个 Exchange 2010 服务器,我也不能丢失它。
此外,无法启动的域控制器正在运行 Windows Server 2008 R2。
此外,RD 域控制器确实可以启动并登录,我不确定有什么不同。但您认为重置策略是否值得?
答案1
您可以尝试关闭损坏的域控制器,将损坏的域控制器磁盘安装到功能正常的域控制器上,并从功能正常的 DC 磁盘复制您更改的策略文件夹的内容。然后将磁盘重新连接到损坏的 DC 并启动它。
C:\Windows\SYSVOL\sysvol\[domain]\Policies\{Guid of the policy that you changed}\
有问题的文件可能是 \MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
我相信你要找的那条线应该是这样的:
SeCreateTokenPrivilege =
如果计算机在应用您更改的策略之前崩溃,它可能无法正常工作。
答案2
好吧,伙计们,我修好了。我必须启动到恢复模式 (WINPE),然后进入 CMD,删除策略错误策略 {6AC1786C-016F-11D2-945F-00C04FB984F9}(如 Semicolon 所述),然后服务器重新启动。非常感谢。
答案3
我猜你错过了这个小贴士有关创建令牌对象用户权限的 Windows 文档-(您在调整 GPO 之前读过但您不理解)
[创建令牌对象] 由操作系统内部使用。除非必要,否则不要将此用户权限分配给本地系统以外的用户、组或进程。
老实说,鉴于您明显的经验水平,您需要拿出您的信用卡,致电微软并开设一个案例,看看他们是否可以帮助您解决这个问题。
你可能如果您使用类似 Live 发行版的东西来启动并访问驱动器,则可以手动编辑 DDCP 组策略文件。我已经绝不之前在域控制器上尝试过类似的事情,所以 YMMV。
或者,您也可以从备份中获取 GPO 的先前副本,然后使用 Live CD Linux 发行版将当前 DDCP gpo 替换为较旧的 DDCP gpo 文件 - 可能需要在两个都但是,域控制器。
如果失败了,您可能不得不咬紧牙关从备份中恢复 DC。
答案4
也许如果你幸运的话,你可以从 VMWare 快照中恢复。将来,你应该考虑每次在服务器上进行任何重大更改时都拍摄 VMWare 快照。当然,你需要记住在确认更改成功后删除快照,因为不幸的是,VMWare 快照无法长期保留。
否则,希望您可以从备份软件中恢复。请告诉我们有人在您的环境中进行定期备份。