Makale numarası: 103390 - Son Gözden Geçirme: 20 Şubat 2007 Salı - Gözden geçirme: 4.4 Ağ erişim doğrulama algoritmaları ve Windows Server 2003, Windows XP ve Windows 2000 için örnekler
Bu SayfadaAşağıdaki Windows hesap doğrulama nasıl uyulduğunu açıklayan Basitleştirilmiş algoritmasıdır çalışması sırasında NTLM iletişim kuralını kullanarak ağ erişimi için. Sunucu ileti bloğu (SMB) protokolü aracılığıyla erişimi örnek olarak kullanıyor, ancak NTLM kimlik doğrulamasını destekleyen tüm diğer sunucu uygulamaları için de geçerlidir. Bu tartışmada, bu işlemin bir iç işleyişini kapsamaz. Bu bilgileri kullanarak Windows tahmin edebilir belirli koşullarda oturum açma davranışını ağ. Kerberos kullanıcı kimlik doğrulamasını ve sunucu kaynaklarına erişim için kullanıldığında, işlem ne NTLM yaptığını çok farklıdır. Daha fazla bilgi için aşağıdaki Microsoft TechNet Web sitesini ziyaret edin: http://technet2.microsoft.com/WindowsServer/en/Library/f5c70774-25cd-4481-8b7a-3d65c86e69b11033.mspx
(http://technet2.microsoft.com/WindowsServer/en/Library/f5c70774-25cd-4481-8b7a-3d65c86e69b11033.mspx)
Veritabanı yerel etki alanı veritabanı ve etki alanı denetleyicilerinde yalnızca veritabanı olduğunu unutmayın. Ancak, diğer sunucuları ve tüm bilgisayarlar, etki alanı denetleyicisinden yerel veritabanı farklıdır. Arka plan bilgileriBunlar, iki Windows Server 2003 tabanlı, Windows XP tabanlı veya Windows 2000 tabanlı bilgisayarlarda bir ağ üzerinden iletişim kurarken, sunucu ileti bloğu (SMB) adı verilen bir üst düzey iletişim kuralı kullanın. SMB komutları, taşıma iletişim kurallarının, Netbıos gelişmiş kullanıcı arabirimi (Netbeuı) ya da TCP/IP katıştırılır. Bir istemci bilgisayar için bir NET USE komutu gerçekleştirdiğinde, örneğin, "SMB oturum Kur ve X" çerçevesi gönderilen.Windows, "Oturum kuruluşu" SMB, kullanıcı hesabının, şifrelenmiş parola ve oturum açma etki alanı karma işlevi içerir. Bir etki alanı denetleyicisi, istemci, NET USE komutu tamamlamak için gerekli izinlere sahip olup olmadığını belirlemek için tüm bu bilgileri incelenecektir. AlgoritmalarBir <a0>Windows</a0> istemci bilgisayarı aşağıdaki komut, sunucuya gönderir:NET USE x: \\server\share Sunucu, etki alanı adını veya SMB tarafından belirtilen bilgisayar adı inceler. Sunucunun kendi adı ise aşağıdaki algoritmayı çalıştırılır:
It checks its own domain database or computer database for
a matching account.
If it finds a matching account then
The SMB password is compared to the domain database password or the computer database password.
If the password matches then
The command completed successfully.
If the password does NOT match then
The user is prompted for a password.
The password is retested as above.
System error 1326 has occurred. Logon failure: unknown
user name or bad password.
End
If it does NOT find the account in the domain Security Accounts Manager (SAM) database or computer SAM database then
Guest permissions are tested.
If the guest account is enabled
The command completed successfully.
If the guest account is disabled
(* See Note a).
The user is prompted for a password.
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
The server will do pass-through authentication. The
network logon request will be sent to a server that has a domain controller role in the
specified trusted domain.
The trusted domain controller checks its own domain database
for a matching account.
If the trusted domain controller finds a matching account, then
NOT for Windows 2000 and later versions:
It determines whether the account is a local or global account.
If the account is local, then
Guest permissions on the original server are tested.
If the guest account is enabled
The command completed successfully.
If the guest account is disabled
(* See Note a) The user is prompted for a password.
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
If the account is global (the only option for Active Directory)
The SMB password is compared to the domain database
password.
If the password matches, then
The command completed successfully.
(* See Note b)
If the password does NOT match, then
The user is prompted for a password.
The password is retested as above.
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
If the trusted domain controller does NOT find the account in the trusted domain controller
database, then
Guest permissions are tested on the original server, not the trusted domain. (* See Note c)
If the guest account is enabled
The user will have original server guest access.
The command completed successfully.
If the guest account is disabled
(* See Note a) The user is prompted for a password.
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
It will check its own account database for
a matching account
If the server finds a matching account, then
The SMB password is compared to the domain database password or the computer database password.
If the password matches, then
The command completed successfully.
If the password does NOT match, then
The user is prompted for a password.
The password is retested as above.
System error 1326 has occurred. Logon failure: unknown
user name or bad password.
End
If it does NOT find the account in the domain database then
guest permissions are tested.
If the guest account is enabled
The command completed successfully.
If the guest account is disabled
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
The server will treat this a local network logon. The server
will test for a matching account in its own database.
If it finds a matching account, then
The SMB password is compared to the SAM database password.
If the password matches, then
The command completed successfully.
If the password does NOT match, then
The user is prompted for a password.
The password is retested as above.
System error 1326 has occurred. Logon failure: unknown
user name or bad password.
End
If it does NOT find the account in the local SAM database AND
LsaLookupRestrictIsolatedNameLevel=0, then (* See Note d)
The server will simultaneously ask each domain that it trusts whether it has account that
matches the SMB account.
The first trusted domain to reply is sent a request to
perform pass-through authentication of the client
information.
The trusted domain will look in its own database.
If an account that matches the SMB account is found, then
The trusted domain determines whether the account is a local or global
account.
Not for Windows 2000 and later versions:
If the account is local then
Guest permissions on the original server are tested.
If the guest account is enabled
The command completed successfully.
If the guest account is disabled
The user will be prompted for a password.
Regardless of what password is entered, the user will receive
"Error 5: Access has been denied."
End
If the account is global (the only option for Active Directory)
The password that was specified in the SMB is compared
to the SAM database password.
If the password matches, then
The command completed successfully.
If the password does NOT match, then
The user is prompted for a password.
The password is retested as above.
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
If no trusted domains respond to the request to identify the
account, then
Guest permissions are tested on the original server,
not the trusted server.
If the guest account is enabled
The command completed successfully.
If the guest account is disabled
System error 1326 has occurred. Logon failure:
unknown user name or bad password.
End
NOTLAR
ÖrneklerBu algoritmaların sürüyor örnekleri aşağıda verilmiştir.Örnek 1Bilgisayar için aynı hesap adını ve SıFıRDAN DOMAIN etki alanı hesabı veritabanı olan bir parola kullanarak oturum. KARALAMA DOMAIN etki alanı için etki alanı denetleyicisi için <a2>NET USE \\SCRATCH</a2> komutunu çalıştırırsanız, komut başarıyla tamamlandı. KARALAMA-etki ALANı güvenleri etki alanında etki alanı denetleyicisi için NET USE \\NET komutunu çalıştırdığınızda, aşağıdaki hata iletisini alırsınız:Sistem 1326 hatası oluştu. Oturum açma başarısızlığı: Bilinmeyen kullanıcı adı veya hatalı parola. Not Bu örnek, aşağıdaki yapılandırmalardan varsayar. Yapılandırmaları Bir yerel güvenlik yetkilisi bulunan bilgisayar: -Login account: USER1 -Password: PSW1 -Login Domain: LOCAL1
-Server Name: NET</WWITEM>
-Domain: NET-DOMAIN</WWITEM>
-Trust: NET-DOMAIN Trust SCRATCH-DOMAIN (Therefore,
accounts on SCRATCH-DOMAIN can be granted permissions
in the NET- DOMAIN).
-Server Name: SCRATCH -Domain: SCRATCH-DOMAIN -Domain Database contains account: USER1 -Domain Database contains password: PSW1 Örnek 2X: \\NET\share NET USE</a0> komutunu çalıştırdığınızda, aşağıdaki adımlar gerçekleşir:
Örnek 3X: \\SCRATCH\share NET USE</a0> komutunu çalıştırdığınızda, aşağıdaki adımlar gerçekleşir:
En uygun çözüm, bir etki alanı üzerinde tüm bilgisayarlarda günlük almaktır. Kullanıcı oturum açmak için etki alanı, hesap ve parola belirtmeniz gerekir. Sonra bunu tüm NET USE-türü komutları doğru etki alanı hesabı ve parola bilgileri iletir. Yöneticiler, birden çok etki alanı ve bilgisayarların yinelenen hesaplar denemelisiniz. Windows Server 2003, Windows XP ve Windows 2000 tabanlı bilgisayarlarda bu yapılandırmayı etki alanları arasında güven kullanarak ve bu üyelere etki alanı veritabanları kullanabileceğiniz kullanarak korunma. Geçici ÇözümBu durumda kullanılabilecek tek geçici çözüm vardır. Bilgisayarda, aşağıdaki komutu çalıştırabilirsiniz:NET USE X: \\NET\SHARE /USER:SCRATCH-DOMAIN\USER1 PSW1 Bu komutta, izleme doğrudur:
- \\NET = The computer name of the domain controller being accessed.
- \SHARE = The share name.
- /USER: command line parameter that lets you specify the domain,
account and password that should be specified in the "Session Setup"
SMB.
- SCRATCH-DOMAIN = Domain name of the domain where the user
account resides.
- \USER1 = account to be validated against.
- PSW1 = password that matches account on the domain.
NET USE /? BOŞ bir etki alanı adlarıMicrosoft Windows Server 2003, Windows XP ve Windows 2000'de bulunan istemci etki alanı adları NULL gönderir SMB "oturum <a1>Kur</a1> SMB [x 73]" SMB. Microsoft SMB istemcisinin etki alanı adı, oturum açma etki alanı adı belirterek ve etki alanı adı NET USE komutunda belirtilen bir boş (NULL) karakter göndererek gerçekleştirir. Microsoft SMB istemcisinin, ayrıca örnek 1'de anlatılan davranışı sergiler.NOTLAR
SORUN GİDERMEAşağıdakileri yaparak denetimi etkileştirmek için ağ erişimi sorunlarını gidermek için iyi bir ipucu olur.Windows 2000 ve Windows 2000 tabanlı etki alanı denetleyicilerinin daha sonraki sürümleri
Windows 2000 sunucuları ve bu üyelere etki alanı ayarları
Windows 2000 sunucularına ve üyeleri yerel ayarları
Güven ilişkileri, kimlik doğrulaması, kullanıcı izinleri ve etki alanı oturum açma hakkında daha fazla bilgi için bkz: "Teknik genel Windows Server 2003 güvenlik hizmetleri." Bunu yapmak için şu Microsoft Web sitesini ziyaret edin: http://www.microsoft.com/windowsserver2003/techinfo/overview/security.mspx
(http://www.microsoft.com/windowsserver2003/techinfo/overview/security.mspx)
Bu makaledeki bilginin uygulandığı durum:
Otomatik TercümeÖNEMLİ: Bu makale, bir kişi tarafından çevrilmek yerine, Microsoft makine-çevirisi yazılımı ile çevrilmiştir. Microsoft size hem kişiler tarafından çevrilmiş, hem de makine-çevrisi ile çevrilmiş makaleler sunar. Böylelikle, bilgi bankamızdaki tüm makalelere, kendi dilinizde ulaşmış olursunuz. Bununla birlikte, makine tarafından çevrilmiş makaleler mükemmel değildir. Bir yabancının sizin dilinizde konuşurken yapabileceği hatalar gibi, makale; kelime dağarcığı, söz dizim kuralları veya dil bilgisi açısından yanlışlar içerebilir. Microsoft, içeriğin yanlış çevrimi veya onun müşteri tarafından kullanımından doğan; kusur, hata veya zarardan sorumlu değildir. Microsoft ayrıca makine çevirisi yazılımını sıkça güncellemektedir. Makalenin İngilizcesi aşağıdaki gibidir:103390
(http://support.microsoft.com/kb/103390/en-us/
)
| Diğer Kaynaklar Diğer Destek Siteleri
ToplulukHemen Yardım AlMakale çevirileri
|






Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
Email


Üste