Thread de AdminSDHolder afecta transitória membros de grupos de distribuição

Um controlador de domínio do Active Directory que detém a principal função controlador de domínio (PDC, Primary Domain Controller) operações principal (também conhecido como a função de operações de mestre único flexível ou a função FSMO) executa um thread de cada hora para verificar a que listas do controlo de acesso (ACL) sobre os seguintes grupos e todos os objectos membro destes grupos:

• Admins da empresa
• Admins de esquemas
• Admins do domínio
• Administradores
• Controladores de domínio
• Editores de certificados
• Operadores de cópia de segurança
• Operadores de servidor do replicador
• Operadores de contas
• Operadores de impressão

Se uma conta de utilizador for membro de um destes grupos administrativos devido a respectiva associação com um grupo de distribuição, ACL a conta de utilizador é verificada quando o thread é executado e pode ser reposto para corresponder a ACL do thread AdminSDHolder. Se utilizar o comando repadmin /showmeta user distinguished name para ver a conta de utilizador, verá que o atributo ntSecurityDescriptor está definido dentro de uma hora depois da última hora que alterou a ACL da conta de utilizador. A conta de utilizador também contém o atributo AdminCount .

Este artigo descreve como o AdminSDHolder thread afecta membros transitórias de grupos de distribuição. Para obter informações adicionais sobre o thread de AdminSDHolder, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:

Membros de um grupo de distribuição normalmente não tem qualquer significado de segurança. Por exemplo, se UtilizadorA for membro de distribuição GroupA e distribuição GroupA é membro do grupo Admins do domínio, UtilizadorA não é um membro do grupo Admins do domínio se o utilizador tiver sessão iniciada no computador. O grupo de distribuição bloqueia os membros do grupo de segurança. No entanto, o algoritmo de enumeração que é utilizado pelo thread AdminSDHolder é rápido e simples e inclui UtilizadorA durante a iteração transitória do grupo Admins do domínio.

Pode alterar grupos sejam um grupo de distribuição a um grupo de segurança; por conseguinte, o algoritmo de enumeração que é utilizado pelo thread AdminSDHolder assegura que todos os membros transitivas são abordados em ambos os casos. Não efectue distribuição membros de grupos de grupos de segurança, se possível. Não tiver um comportamento inesperado depois de alterar o grupo de um grupo de distribuição a um grupo de segurança se não fizer distribuição membros de grupos de grupos de segurança. Um utilizador que está coberto pelo algoritmo de enumeração é utilizado pelo thread AdminSDHolder tem um atributo AdminCount que tem um valor maior que ou igual a 1 .