Makale numarası: 103390 - Son Gözden Geçirme: 20 Şubat 2007 Salı - Gözden geçirme: 4.4

Ağ erişim doğrulama algoritmaları ve Windows Server 2003, Windows XP ve Windows 2000 için örnekler

Sistem İpucuBu makale, kullandığınızdan farklı bir işletim sistemine yöneliktir. Sizinle ilgili olmayabilecek makale içeriği devre dışı bırakıldı.

Bu Sayfada

Hepsini aç | Hepsini kapa
Aşağıdaki Windows hesap doğrulama nasıl uyulduğunu açıklayan Basitleştirilmiş algoritmasıdır çalışması sırasında NTLM iletişim kuralını kullanarak ağ erişimi için. Sunucu ileti bloğu (SMB) protokolü aracılığıyla erişimi örnek olarak kullanıyor, ancak NTLM kimlik doğrulamasını destekleyen tüm diğer sunucu uygulamaları için de geçerlidir. Bu tartışmada, bu işlemin bir iç işleyişini kapsamaz. Bu bilgileri kullanarak Windows tahmin edebilir belirli koşullarda oturum açma davranışını ağ.
Kerberos kullanıcı kimlik doğrulamasını ve sunucu kaynaklarına erişim için kullanıldığında, işlem ne NTLM yaptığını çok farklıdır. Daha fazla bilgi için aşağıdaki Microsoft TechNet Web sitesini ziyaret edin:
http://technet2.microsoft.com/WindowsServer/en/Library/f5c70774-25cd-4481-8b7a-3d65c86e69b11033.mspx (http://technet2.microsoft.com/WindowsServer/en/Library/f5c70774-25cd-4481-8b7a-3d65c86e69b11033.mspx)
Veritabanı yerel etki alanı veritabanı ve etki alanı denetleyicilerinde yalnızca veritabanı olduğunu unutmayın. Ancak, diğer sunucuları ve tüm bilgisayarlar, etki alanı denetleyicisinden yerel veritabanı farklıdır.

Arka plan bilgileri

Bunlar, iki Windows Server 2003 tabanlı, Windows XP tabanlı veya Windows 2000 tabanlı bilgisayarlarda bir ağ üzerinden iletişim kurarken, sunucu ileti bloğu (SMB) adı verilen bir üst düzey iletişim kuralı kullanın. SMB komutları, taşıma iletişim kurallarının, Netbıos gelişmiş kullanıcı arabirimi (Netbeuı) ya da TCP/IP katıştırılır. Bir istemci bilgisayar için bir NET USE komutu gerçekleştirdiğinde, örneğin, "SMB oturum Kur ve X" çerçevesi gönderilen.

Windows, "Oturum kuruluşu" SMB, kullanıcı hesabının, şifrelenmiş parola ve oturum açma etki alanı karma işlevi içerir. Bir etki alanı denetleyicisi, istemci, NET USE komutu tamamlamak için gerekli izinlere sahip olup olmadığını belirlemek için tüm bu bilgileri incelenecektir.

Algoritmalar

Bir <a0>Windows</a0> istemci bilgisayarı aşağıdaki komut, sunucuya gönderir:
   NET USE x: \\server\share
		
Windows istemci bilgisayar, oturum açma etki alanı kullanıcı hesabı ve parolayı içeren bir "Oturum Kur'a" SMB gönderir.

Sunucu, etki alanı adını veya SMB tarafından belirtilen bilgisayar adı inceler. Sunucunun kendi adı ise aşağıdaki algoritmayı çalıştırılır:
    It checks its own domain database or computer database for
        a matching account.
    If it finds a matching account then
        The SMB password is compared to the domain database password or the computer database password.
        If  the password matches then
            The command completed successfully.
        If  the password does NOT match then
            The user is prompted for a password.
                The password is retested as above.
            System error 1326 has occurred. Logon failure: unknown
            user name or bad password.
        End
    If  it does NOT find the account in the domain Security Accounts Manager (SAM) database or computer SAM database then
        Guest permissions are tested.
        If  the guest account is enabled
            The command completed successfully.
        If  the guest account is disabled
            (* See Note a).
            The user is prompted for a password.
            System error 1326 has occurred. Logon failure:
                unknown user name or bad password.
        End
		
sunucunun güvendiği bir SMB'de belirtilen etki alanı ise, aşağıdaki algoritmayı çalıştırılır:
    The server will do pass-through authentication. The
        network logon request will be sent to a server that has a domain controller role in the
        specified trusted domain.
		
Güvenli bir kanal kurulu değilse, aşağıdaki algoritmayı çalıştırılır:
The trusted domain controller checks its own domain database
        for a matching account.
    If the trusted domain controller finds a matching account, then
       NOT for Windows 2000 and later versions:
    It determines whether the account is a local or global account.
       If the account is local, then
           Guest permissions on the original server are tested.
           If the guest account is enabled
               The command completed successfully.
           If the guest account is disabled
               (* See Note a) The user is prompted for a password.
               System error 1326 has occurred. Logon failure:
               unknown user name or bad password.
        End
        If the account is global (the only option for Active Directory)
           The SMB password is compared to the domain database
               password.
           If  the password matches, then
               The command completed successfully.
               (* See Note b)
           If  the password does NOT match, then
               The user is prompted for a password.
                   The password is retested as above.
               System error 1326 has occurred. Logon failure:
               unknown user name or bad password.
       End
    If the trusted domain controller does NOT find the account in the trusted domain controller
           database, then
       Guest permissions are tested on the original server, not the trusted domain.  (* See Note c)
       If  the guest account is enabled
           The user will have original server guest access.
           The command completed successfully.
       If  the guest account is disabled
           (* See Note a) The user is prompted for a password.
           System error 1326 has occurred. Logon failure:
           unknown user name or bad password.
    End
etki alanındaki bir etki alanı belirtildi, ancak değildi SMB sunucu tarafından bilinmeyen sunucu tarafından güvenilen bir etki alanı veya kendi etki alanı denetleyicisi olarak tanınan belirtilirse, aşağıdaki algoritmayı çalıştırılır: sunucu, eşleşen bir hesabı bulursa The SMB parola veritabanı parolasını etki alanı veya bilgisayar veritabanı parolası karşılaştırılır sonra
    It  will check its own account database for
        a matching account
    If  the server finds a matching account, then
        The SMB password is compared to the domain database password or the computer database password.
        If  the password matches, then
            The command completed successfully.
        If  the password does NOT match, then
            The user is prompted for a password.
                The password is retested as above.
            System error 1326 has occurred. Logon failure: unknown
            user name or bad password.
    End
    If  it does NOT find the account in the domain database then
        guest permissions are tested.
        If  the guest account is enabled
            The command completed successfully.
        If  the guest account is disabled
            System error 1326 has occurred. Logon failure:
            unknown user name or bad password.
    End
		
SMB'de belirtilen etki alanı NULL, yani ise, belirtilen etki alanı için aşağıdaki algoritmayı çalıştırın:
    The server will treat this a local network logon. The server
        will test for a matching account in its own database.
    If  it finds a matching account, then
        The SMB password is compared to the SAM database password.
        If  the password matches, then
            The command completed successfully.
        If  the password does NOT match, then
            The user is prompted for a password.
                The password is retested as above.
            System error 1326 has occurred. Logon failure: unknown
            user name or bad password.
    End
    If  it does NOT find the account in the local SAM database AND
      LsaLookupRestrictIsolatedNameLevel=0, then (* See Note d)
        The server will simultaneously ask each domain that it trusts whether it has account that
            matches the SMB account.
        The first trusted domain to reply is sent a request to
            perform pass-through authentication of the client
            information.
        The trusted domain will look in its own database.
        If  an account that matches the SMB account is found, then
            The trusted domain determines whether the account is a local or global
                account.
           Not for Windows 2000 and later versions:
            If  the account is local then
                Guest permissions on the original server are tested.
                If  the guest account is enabled
                    The command completed successfully.
                If  the guest account is disabled
                The user will be prompted for a password.
                Regardless of what password is entered, the user will receive
                    "Error 5: Access has been denied."
            End
            If  the account is global (the only option for Active Directory)
                The password that was specified in the SMB is compared
                    to the SAM database password.
                If  the password matches, then
                    The command completed successfully.
                If  the password does NOT match, then
                    The user is prompted for a password.
                        The password is retested as above.
                    System error 1326 has occurred. Logon failure:
                    unknown user name or bad password.
            End
    If  no trusted domains respond to the request to identify the
        account, then
        Guest permissions are tested on the original server,
            not the trusted server.
        If  the guest account is enabled
            The command completed successfully.
        If  the guest account is disabled
            System error 1326 has occurred. Logon failure:
            unknown user name or bad password.
    End
		

NOTLAR

  1. Guest hesabını devre dışı bırakılır ve kullanıcı hesabı varsa, sunucu, hala bir parola ister. Parola gereksinimleri karşılayan, ancak sunucu yine de bir güvenlik önlemi olarak parola ister. Bu güvenlik önlemi, yetkisiz bir kullanıcının bir servis talebi arasında fark söyleyin bir hesabın bulunduğu ve hesabın yok edemiyor insures. Kullanıcı hesabı olup olmadığına bakılmaksızın, bir parola her zaman istenir.
  2. Bu noktada, aşağıdaki bilgiler yanıttaki güvenilen etki alanındaki döndürülür: etki alanı SıD'SI, kullanıcı KIMLIĞI, genel grup üyeliklerini, oturum açma saati, oturum kapatma saati, KickOffTime, tam adı, parola LastSet, Parola Değiştir bayrak verebilir, gereken Parola Değiştir bayrak, kullanıcı komut dosyası, profil yolu, başlangıç dizini ve hatalı parola sayısı.
  3. Güvenilen etki alanında hesap bulunursa, işletim sistemi karşı sunucu kimlik doğrulaması için tutarlı bir davranış güvence altına almak için yerel Konuk hesabı kullanmanız gerekir.
  4. Yalıtılmış ad güvenilen dış etki alanlarında arama LsaLookupRestrictIsolatedNameLevel kayıt defteri girdisini kullanarak sınırlamak için adım hakkında daha fazla bilgi için Microsoft Knowledge Base'deki makaleyi görüntülemek üzere aşağıdaki makale numarasını tıklatın:
    818024  (http://support.microsoft.com/kb/818024/ ) Güvenilen dış etki alanındaki yalıtılmış adların aranması LsaLookupRestrictIsolatedNameLevel kayıt defteri girdisi kullanılarak nasıl kısıtlanır
  • Hiçbir zaman Guest hesabı güvenilen etki alanlarında kullanılabilir.
  • Burada açıklanan algoritmalar gerçek, iç işlem daha karmaşıktır.
  • Bu algoritmaların kimlik doğrulaması, bir asıl mechanics tartışın. Daha fazla bilgi için, Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere aşağıdaki makale numarasını tıklatın:
    102716  (http://support.microsoft.com/kb/102716/ ) Windows NTLM kullanıcı kimlik doğrulaması
  • Bu algoritmaların, Windows Server 2003, Windows XP ve Windows 2000'de kullanılan parola şifreleme işlemini tartışın. Tek yönlü bir parola karma türetilen BIR büyük ikili nesne (BLOB), kimlik doğrulama isteği bir parçası olarak gönderilir. Bu bir BLOB içeriğini açma seçilen kimlik doğrulama iletişim kuralı bağlıdır.
  • Bu makalede, kimlik doğrulama modülü iç çalışmalarını anlatılmamaktadır.
  • Bu algoritmaların, Konuk hesabı etkinleştirildiğinde, parola olduğunu varsayalım. Varsayılan olarak, Konuk hesabının, Windows Server 2003, Windows XP ve Windows 2000'de bir parola yok. Guest hesabı parola belirtilmişse, SMB içinde gönderilen kullanıcı parolasının, guest hesabı parola eşleşmesi gerekir.

Örnekler

Bu algoritmaların sürüyor örnekleri aşağıda verilmiştir.

Örnek 1

Bilgisayar için aynı hesap adını ve SıFıRDAN DOMAIN etki alanı hesabı veritabanı olan bir parola kullanarak oturum. KARALAMA DOMAIN etki alanı için etki alanı denetleyicisi için <a2>NET USE \\SCRATCH</a2> komutunu çalıştırırsanız, komut başarıyla tamamlandı. KARALAMA-etki ALANı güvenleri etki alanında etki alanı denetleyicisi için NET USE \\NET komutunu çalıştırdığınızda, aşağıdaki hata iletisini alırsınız:
Sistem 1326 hatası oluştu. Oturum açma başarısızlığı: Bilinmeyen kullanıcı adı veya hatalı parola.
\SCRATCH-DOMAIN\USER1 hesabın, üzerinde \\NET izinlere sahiptir.

Not Bu örnek, aşağıdaki yapılandırmalardan varsayar.

Yapılandırmaları

Bir yerel güvenlik yetkilisi bulunan bilgisayar:
  -Login account: USER1
  -Password:      PSW1
  -Login Domain:  LOCAL1
		
Active Directory etki alanı denetleyicisi:
  -Server Name: NET</WWITEM>
  -Domain:      NET-DOMAIN</WWITEM>
  -Trust:       NET-DOMAIN Trust SCRATCH-DOMAIN (Therefore,
                accounts on SCRATCH-DOMAIN can be granted permissions 
                in the NET- DOMAIN).
		
NET DOMAIN etki alanı:
  • NET DOMAIN etki alanı için etki alanı hesabı veritabanı için Kullanıcı1 hesabı içermiyor.
  • Guest hesabını devre dışı bırakılır.
Windows Server 2003:
  -Server Name:                       SCRATCH
  -Domain:                            SCRATCH-DOMAIN
  -Domain Database contains account:  USER1
  -Domain Database contains password: PSW1
		
bu örnekte, bilgisayar, yerel etki alanı için bilgisayarın etki alanı hesabının bulunduğu KARALAMA DOMAIN etki değil açmış.

Örnek 2

X: \\NET\share NET USE</a0> komutunu çalıştırdığınızda, aşağıdaki adımlar gerçekleşir:
  1. Bilgisayarı aşağıdaki "Oturum Kur'a" SMB gönderir:
    Hesap "Kullanıcı1" =
    Parola "PSW1" =
    etki alanı "LOCAL1" =
  2. \\NET sunucu SMB alır ve hesap adı altında görünüyordu.
  3. Sunucu, yerel etki alanı hesabı veritabanı inceler ve bir eşleşme bulmak.
  4. Sunucu, etki alanı adı SMB sonra inceler.
  5. Sunucu "LOCAL1" güven; bu nedenle, sunucu, güvenilen etki alanlarına denetlemez değil.
  6. Sunucu, daha sonra guest hesabı da denetler.
  7. Guest hesabını devre dışı nedenle "1326 sistem hatası oluştu. Oturum açma başarısızlığı: Bilinmeyen kullanıcı adı veya parola hatalı. "hata iletisi oluşturulur.

Örnek 3

X: \\SCRATCH\share NET USE</a0> komutunu çalıştırdığınızda, aşağıdaki adımlar gerçekleşir:
  1. Bilgisayarı aşağıdaki "Oturum Kur'a" SMB gönderir:
    Hesap "Kullanıcı1" =
    Parola "PSW1" =
    etki alanı "LOCAL1" =
  2. \\SCRATCH sunucu SMB alır ve hesap adını inceler.
  3. Sunucu, yerel etki alanı hesabı veritabanı inceler ve bir eşleşme bulur.
  4. Sunucu, daha sonra etki alanı hesabı parolası için SMB parola karşılaştırır.
  5. Parolalar eşleşmiyor. Bu nedenle, "Komut tamamlar başarıyla" iletisi oluşturulur.
Güven ilişkisi, örnek 3 ve örnek 2'de kullanılamaz. Bilgisayar KARALAMA DOMAIN etki alanına oturum, x: \\NET\share NET USE</a0> komutu başarılı olacaktı.

En uygun çözüm, bir etki alanı üzerinde tüm bilgisayarlarda günlük almaktır. Kullanıcı oturum açmak için etki alanı, hesap ve parola belirtmeniz gerekir. Sonra bunu tüm NET USE-türü komutları doğru etki alanı hesabı ve parola bilgileri iletir. Yöneticiler, birden çok etki alanı ve bilgisayarların yinelenen hesaplar denemelisiniz. Windows Server 2003, Windows XP ve Windows 2000 tabanlı bilgisayarlarda bu yapılandırmayı etki alanları arasında güven kullanarak ve bu üyelere etki alanı veritabanları kullanabileceğiniz kullanarak korunma.

Geçici Çözüm

Bu durumda kullanılabilecek tek geçici çözüm vardır. Bilgisayarda, aşağıdaki komutu çalıştırabilirsiniz:
NET USE X: \\NET\SHARE /USER:SCRATCH-DOMAIN\USER1 PSW1
Bu komutta, izleme doğrudur:
  - \\NET = The computer name of the domain controller being accessed.
  - \SHARE = The share name.
  - /USER: command line parameter that lets you specify the domain,
    account and password that should be specified in the "Session Setup"
    SMB.
  - SCRATCH-DOMAIN = Domain name of the domain where the user
    account resides.
  - \USER1 = account to be validated against.
  - PSW1 = password that matches account on the domain.
		
Bu komut hakkında daha fazla bilgi için komut isteminde aşağıdakileri yazın:
NET USE /?

BOŞ bir etki alanı adları

Microsoft Windows Server 2003, Windows XP ve Windows 2000'de bulunan istemci etki alanı adları NULL gönderir SMB "oturum <a1>Kur</a1> SMB [x 73]" SMB. Microsoft SMB istemcisinin etki alanı adı, oturum açma etki alanı adı belirterek ve etki alanı adı NET USE komutunda belirtilen bir boş (NULL) karakter göndererek gerçekleştirir. Microsoft SMB istemcisinin, ayrıca örnek 1'de anlatılan davranışı sergiler.

NOTLAR

  • Varsayılan etki alanı adı üzerinde LANMAN.INI dosyasında belirtilen "DOMAIN =" satırı. Bu tarafından kılınabilir / DOMAIN:NET LOGON komutu ile geçin.
  • Vardır genellikle iki temsili için "NULL" SMB: BIR sıfır uzunluklu bir etki alanı adı) ve soru işareti (?) karakteri oluşan bir baytlık bir etki alanı adı. SMB sunucusunun, soru işareti yakalar ve yerel güvenlik yetkilisi (LSA) geçirmeden önce NULL olarak çevirir.

SORUN GİDERME

Aşağıdakileri yaparak denetimi etkileştirmek için ağ erişimi sorunlarını gidermek için iyi bir ipucu olur.

Windows 2000 ve Windows 2000 tabanlı etki alanı denetleyicilerinin daha sonraki sürümleri

  1. Yönetim Araçları bir etki alanı denetleyicisinde, Active Directory Kullanıcıları ve Bilgisayarları'nı başlatın.
  2. Etki alanı denetleyicileri OU ' ı sağ tıklatın ve sonra da Properties ' i tıklatın.
  3. Grup ilkesi</a0> sekmesinde Varsayılan etki alanı denetleyicisi ilkesi ' ni çift tıklatın.
  4. Ilkesi Düzenleyicisi'nde Bilgisayar ayarları ' nı tıklatın, Windows Ayarları ' nı tıklatın, Güvenlik ayarları ' nı tıklatın, Yerel ilkeleri ' ni tıklatın ve sonra da Denetim ilkesi ' ni tıklatın.
  5. Istediğiniz oturum açma hesabı oturum açma başarılı'ı seçin ve seçeneklerini hatası.

Windows 2000 sunucuları ve bu üyelere etki alanı ayarları

  1. Yönetim Araçları bir etki alanı denetleyicisinde, Active Directory Kullanıcıları ve Bilgisayarları'nı başlatın.
  2. Etki alanı adını sağ tıklatın ve sonra da Özellikler ' i tıklatın.
  3. Grup ilkesi</a0> sekmesinde Varsayılan etki alanı ilkesi ' ni çift tıklatın.
  4. Ilke Düzenleyicisi'nde, Bilgisayar ayarları ' nı tıklatın, Windows ayarları, tıklatın Güvenlik ayarları ' nı tıklatın, Yerel ilkeleri ' ni tıklatın ve sonra da Denetim ilkesi ' ni tıklatın.
  5. Istediğiniz oturum açma hesabı oturum açma başarılı'ı seçin ve seçeneklerini hatası.

Windows 2000 sunucularına ve üyeleri yerel ayarları

  1. Yönetim Araçları, yerel güvenlik başlatma ilkesi.
  2. Denetim ilkesi'ni açın.
  3. Istediğiniz oturum açma hesabı oturum açma başarılı'ı seçin ve seçeneklerini hatası.
Artık, bir ağ kullanıcısı bu sunucuya uzaktan erişen herhangi bir zamanda bir denetim izi Olay Görüntüleyicisi'nde günlüğe kaydedilmeyecek. Bu olayları Olay Görüntüleyicisi'nde görmek için <a0></a0>, Güvenlikgünlüğü menüde'ni tıklatın.

Güven ilişkileri, kimlik doğrulaması, kullanıcı izinleri ve etki alanı oturum açma hakkında daha fazla bilgi için bkz: "Teknik genel Windows Server 2003 güvenlik hizmetleri." Bunu yapmak için şu Microsoft Web sitesini ziyaret edin:
http://www.microsoft.com/windowsserver2003/techinfo/overview/security.mspx (http://www.microsoft.com/windowsserver2003/techinfo/overview/security.mspx)

Bu makaledeki bilginin uygulandığı durum:
  • Microsoft Windows Server 2003 Standard Edition
  • Microsoft Windows Server 2003 Enterprise Edition
  • Microsoft Windows Server 2003 Web Edition
  • Microsoft Windows XP Professional Edition
  • Microsoft Windows 2000 Professional Edition
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server
Anahtar Kelimeler: 
kbmt kbnetwork KB103390 KbMttr
Otomatik TercümeOtomatik Tercüme
ÖNEMLİ: Bu makale, bir kişi tarafından çevrilmek yerine, Microsoft makine-çevirisi yazılımı ile çevrilmiştir. Microsoft size hem kişiler tarafından çevrilmiş, hem de makine-çevrisi ile çevrilmiş makaleler sunar. Böylelikle, bilgi bankamızdaki tüm makalelere, kendi dilinizde ulaşmış olursunuz. Bununla birlikte, makine tarafından çevrilmiş makaleler mükemmel değildir. Bir yabancının sizin dilinizde konuşurken yapabileceği hatalar gibi, makale; kelime dağarcığı, söz dizim kuralları veya dil bilgisi açısından yanlışlar içerebilir. Microsoft, içeriğin yanlış çevrimi veya onun müşteri tarafından kullanımından doğan; kusur, hata veya zarardan sorumlu değildir. Microsoft ayrıca makine çevirisi yazılımını sıkça güncellemektedir.
Makalenin İngilizcesi aşağıdaki gibidir:103390  (http://support.microsoft.com/kb/103390/en-us/ )