因此，当我尝试验证与活动目录（内部、其他外部）之间的信任时，出现了以下错误 传出信任已成功验证。 Active Directory 域控制器上将域 FQDN 的 \FQDN 重置为域 FQDN 的安全通道 (SC) 失败，并出现错误：当前没有可用的登录服务器来处理登录请求。 dcdiag 的日志：安全系统检测到服务器 cifs/fqdn 的身份验证错误。身份验证协议 Kerberos 的失败代码为“指定域的名称或 SID 与该域的信任信息不一致。 （0xc000019b）”。 防火墙没有阻断任何内容，可以 ping 外部 fqdn，用户和密码正确 任何想...
当用户尝试登录到他的工作站时出现此错误。 通常这意味着 AD 中的计算机帐户密码和实际工作站上的计算机帐户密码由于某种原因不同步。根据元数据工作站昨天晚上更改了密码随后不久便出现了登录问题的报告。 不过我可以读很多4624 事件（“登录成功”）自上次更改属性以来，DC 上的安全日志unicode密码具有匹配 IP 地址和登录类型 3（网络登录）的所述计算机帐户。在我看来，这意味着计算机密码匹配存储在 AD 中，否则它应该生成 4625 个事件。然而，在我们重置计算机帐户之前，用户无法使用其密码登录上述工作站。 那么，有什么线索可以知道那里出了什么问题吗？ ...
我们在 Windows Server 2022 上有一个网络共享，其中托管了大量“生产”文件和开发文件。我们有两个域 - 一个生产域（例如“prod.local”）和一个开发域（“dev.local”）。 一些文件夹已设置为“所有人”访问权限，并且虽然生产域和开发域之间存在信任关系，但开发用户对共享具有只读访问权限，这是预期的。 然而，我被要求以一种方式建立信任（dev 信任 prod，prod 不信任 dev），现在“所有人”权限不再起作用。 我已尝试实施建议的更改这里但是 a) 看起来这些是针对 Windows 10/11 的解决方案，并且 b) 它仍然...
我理解传出信托和传入信托之间的区别 我理解信任流朝一个方向，而访问方向则朝另一个方向 我理解，作为具有传入信任的域，我们是可以访问其他域的人 我理解，作为具有外向信任的域，我们是被访问的对象 现在，我正在进行林恢复，并且必须出于安全目的重置信任的一侧，如本 Microsoft 文档中所述：https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/forest-recovery-guide/ad-forest-recovery-reset-trust 林中的根域显然...
我们有一个父域和多个子域。我们在父域下创建了一个绑定帐户，用于读取所有子域中的用户和组。在父域下创建的帐户如何向子域验证自身身份？是通过 Kerberos 吗？ ...
在我的实验室环境中，我想在两个共享一个共同根的 Active Directory 域之间创建信任关系。一个是，home.acme.com另一个是work.acme.com。当我将两个域创建为单独的林，然后使用 AD 信任 UI 流程在两个域中创建林范围的双向信任以进行林范围的身份验证时，我收到错误 操作失败。错误为：指定的帐户已存在。 我想知道我是否因为域home.acme.com和work.acme.com包含相同的根而收到此错误acme.com，但我将它们创建为单独的林。如果是这样，我应该使用什么流程来创建这两个域？我应该创建一个域acme.com并创建...
几天来一直尝试建立一个 RDP 网关，允许来自受信任域的用户连接。 我在错误日志中发现的唯一错误是： 客户端计算机“172.22.2.125”上的用户“DOMAIN\login”不满足连接授权策略要求，因此无权访问 RD 网关服务器。使用的身份验证方法是：“NTLM”，使用的连接协议是：“HTTP”。发生以下错误：“23003”。 NPS 的另一个错误是： “服务器名称”，“RAS”，04/07/2023,11：31：59,1，“DOMAIN \ login”，“DOMAIN \ login”，“UserAuthType：PW”，,,,,,,,,,,,...
首先，我想在“main.adds”域上使用此命令创建单向林信任： netdom trust main.adds /Domain:second.adds /Add /UserD:SECOND\administrator /PasswordD:* /UserO:MAIN\administrator /PasswordO:* 它返回（法语 Windows 版本，但我认为它很容易理解）： Paramètre incorrect. Essayez « NETDOM HELP » pour plus d’informations. 由于我找不到任何语法错误，并且想在...
我有两个具有双向林信任的 AD 域。我希望 DomainB 中的计算机帐户从 DomainA 中的双层 Windows CA 注册计算机客户端身份验证证书。我为此在颁发 CA 中配置了一个证书模板，并授予 DomainB 中的计算机读取和注册权限。 我根据 Microsoft文档。CEP 和 CES 使用具有 SPN 的域服务帐户进行 Kerberos 身份验证，并为 HOST 和 RPCSS 配置了 Kerberos 委派。该服务帐户是 IISUsers 组的成员，并且对颁发 CA 具有“请求证书”权限。 为了进行测试，我在 DomainB Win10 计...
我替换了前系统管理员，有一台笔记本电脑给我一个信任关系错误。计算机对象在 AD 中不可用。但是，我可以 ping 计算机名称。我不知道当前登录用户的密码，也不知道本地用户帐户。 有人能解释一下为什么计算机对象不再存在于 AD 中吗？当我尝试登录时，它给出安全数据库没有此工作站信任关系的计算机帐户的错误。 提前致谢！！ ...
我们有两个已建立信任的 AD 林。fwDomain 已被防火墙阻止访问 corpDomain 中的资源。 corpDomain 在防火墙边界内有一个 DC，并且能够与其他 corpDomain DC 进行通信。 目标是将 fwDomain trust\AD 流量限制到同一防火墙边界内的单个 corpDomain DC。fwDomain DC 不应尝试与防火墙外的其他 corpDomain DC 进行通信。信任图 这不是防火墙问题。这是 DNS 或 ADSS 问题 - 将 ldap\kerberos\etc 流量限制到同一防火墙边界内的 DC。 条件转发器将不...
我在执行 ssh 时尝试验证我的 Kerberos 凭证，但失败了从加入 Windows Server 2019 域的 Windows 11 客户端（我们称之为AD.LOCAL）到加入由 FreeIPA 管理的域的 Linux 主机（我们称之为IPA.LOCAL）。 我已经建立了“森林”信任关系，为了解决问题，我验证了如果我更改客户端（到 Linux）或目标（到同一域上的主机），它就可以起作用。 为了演示该问题，命令输出被精简以简洁，并且主机和 IP 被匿名化。 ❌ 来自视窗到国际音标协会 (IPA)主持人： PS C:\Users\user> ssh...
我们正在独立本地域（从现在起为 DMZ）和 AD/AAD（同步）企业域（从现在起为 CORP）之间建立信任，以便 CORP 的用户可以登录加入 DMZ 的服务器。明确地说，它们位于不同的林中。 我的目的是建立从 DMZ 到 CORP 的外部、非传递的信任。 现在，问题是 - CORP 域在本地有两个域控制器，在 Azure 中有两个作为虚拟机的域控制器...我想避免必须添加两个防火墙规则（一个用于本地 DC，一个用于 Azure DC）。我如何才能限制从 DMZ 到 CORP 的任何 AD 流量仅到达本地 CORP DC，或者除了冗余之外，出于其他原因这是否...
在 GUI 中（Active Directory 域和信任MMC Snap-in（domain.msc））中，您可以设置“其他域支持 Kerberos AES 加密”设置以建立信任关系： 我正在寻找一种以编程方式设置此设置的方法。我已经查看了Install-ADDSDomainPowerShell cmdlet 以及netdom TRUST工具，但两者似乎都没有包含设置Kerberos AES 加密环境。 有人能告诉我如何以编程方式设置此设置吗？ ...
我正在尝试使用以下命令在 Samba AD DC 中为其他 kerberos5（MIT）域添加域信任帐户： net rpc trustdom add <域名> -UAdministrator%<管理员密码> 发生的情况是，该帐户已创建到 Samba ldap 数据库中，并且我可以在 Windows 11 机器中看到它。 该命令给出错误消息： 无法设置信任帐户密码：NT_STATUS_ACCESS_DENIED 使用命令 pdbedit -Lw <account_name>$ 我看到： <帐户名称>$:30000...