Kopsavilkums
Katrai Windows 2000 vai Windows XP darbstaciju vai serverim, kas ir domēna dalībnieks, ir diskrēts saziņas kanāls, kas tiek dēvēts par drošības kanālu, ar domēna kontrolleri.Drošības kanāla parole tiek saglabāta kopā ar datora kontu visās domēnu kontrolleros. Operētājsistēmai Windows 2000 vai Windows XP noklusējuma datora konta paroles maiņas periods ir ik pēc 30 dienām. Ja kāda iemesla dēļ netiek sinhronizēta datora konta parole un LSA noslēpums, Netlogon pakalpojums reģistrē vienu vai abus no šiem kļūdas ziņojumiem:
NETLOGON notikuma ID 5723:Sesijas iestatīšanu no datora DOMAINMEMBER neizdevās autentificēt. Konta nosaukums, uz kuru ir atsauce drošības datu bāzē, ir DOMAINMEMBER$. Radās šāda kļūda: Piekļuve ir liegta.
NETLOGON notikuma ID 3210:Neizdevās autentificēt ar \\DOMAINDC, Windows NT domēna kontrolleri domēna domēnam.
Pakalpojuma Netlogon domēnu kontrolleris reģistrē šādu kļūdas ziņojumu, ja parole nav sinhronizēta:
NETLOGON notikuma ID 5722:Sesijas iestatīšana no datora ComputerName neizdevās autentificēties. Tā konta nosaukums, uz kuru ir atsauce drošības datu bāzē, ir AccountName$.Radās šāda kļūda:Piekļuve ir liegta.
Šajā rakstā aprakstīti četri veidi, kā atiestatīt datoru kontus operētājsistēmā Windows 2000 vai Windows XP. Šīs metodes ir šādas:
-
Komandrindas Netdom.exe izmantošana
-
Izmantojot Nltest.exekomandrindas rīku Piezīme. Netdom.exe un Nltest.exe rīki atrodas kompaktdiska Windows Server CD-ROM mapē Atbalsts\Rīki. Lai instalētu šos rīkus, Setup.exe vai izvilktu failus no Support.cab faila.
-
Microsoft Active Directory lietotāji un datori konsoles (Microsoft Management Console – MMC) izmantošana
-
Microsoft Visual Basic skripta izmantošana
Šie rīki nodrošina attālo un neattālu administrēšanu. Netdom.exe un Nltest.exe ir komandrindas rīki, kas atiestata veiksmīgi izveidotu drošības kanālu. Šos rīkus nevar izmantot, ja drošības kanāls ir bojāts un saziņa nedarbojas pareizi.
Papildinformācija
Netdom.exe
Katram dalībniekam ir diskrēts saziņas kanāls (drošības kanāls) ar domēna kontrolleri. Drošības kanālu izmanto Netlogon pakalpojums dalībniekam un domēna kontrollerī, lai sazinātos. Netdom ļauj atiestatīt dalībnieka drošības kanālu. Dalībnieku drošības kanālu varat atiestatīt, izmantojot šādu komandu:
netdom atiestatiet 'datora_nosaukums' /domēns:'domēna_nosaukums, kur 'datora_nosaukums' = lokālā datora nosaukums un 'domēnanosaukums' = domēns, kurā tiek glabāts datora/datora konts.Pieņemsim, ka jums ir domēna dalībnieks ar nosaukumu DOMAINMEMBER domēnā MYDOMAIN. Dalībnieku drošības kanālu varat atiestatīt, izmantojot šādu komandu:
netdom atiestatiet domainmember /domain:mydomainVarat izpildīt šo komandu dalībnieka DOMAINMEMBER vai jebkurā citā domēna dalībnieka vai domēna kontrollerī, ja esat pieteicies ar kontu, kuram ir administratora piekļuve DOMAINMEMBER.
Nltest.exe
Nltest.exe var izmantot, lai pārbaudītu uzticamības relāciju starp datoru, kurā darbojas operētājsistēma Windows 2000 vai Windows XP, kas ir domēna dalībnieks, un domēna kontrolleri, kurā atrodas datora konts.
C:\Ntreskit\Nltest.exe lietojums: nltest [/OPTIONS] /SC_QUERY:DomainName — vaicājuma drošības kanāls domēnam servername /SERVER:Server:ServerName /SC_VERIFY:DomainName — pārbauda drošības kanālu norādītajā domēnā lokālai vai attālai darbstacijai, serverim vai domēna kontrollerim. Karodziņi: 30 HAS_IP HAS_TIMESERV trusted DC Name \\server.windows2000.com Trusted DC Connection Status Status = 0 0x0 NERR_SuccessKomanda ir sekmīgi pabeigta
Active Directory lietotāji un datori (DSA)
Izmantojot Windows 2000 vai Windows XP, datora kontu varat arī atiestatīt no grafiskā lietotāja interfeisa (GUI). Dialoglodziņā Active Directory lietotāji un datori MMC (DSA) ar peles labo pogu varat noklikšķināt uz datora objekta sadaļā Datori vai atbilstošajā konteinerā un pēc tam noklikšķināt uz Atiestatīt kontu. Datora konts tiek atiestatīts. Nav atļauts atiestatīt domēnu kontrolleru paroli, izmantojot šo metodi. Atiestatot datora kontu, tiek pārtraukts datora savienojums ar domēnu, un tam ir atkārtoti pievienoties domēnam. Piezīme. Tas neļaus izveidotam datoram izveidot savienojumu ar domēnu, un to drīkst izmantot tikai datoram, kas ir tikko pārbūvēts.
Microsoft Visual Basic skripts
Varat izmantot skriptu, lai atiestatītu datora kontu. Jums ir jāizveido savienojums ar datora kontu, izmantojot IADsUser interfeisu. Pēc tam varat izmantot metodi SetPassword, lai iestatītu paroli uz sākotnējo vērtību. Datora sākotnējā parole vienmēr ir "datora_nosaukums$".Tālāk sniegtie skriptu paraugi var nedarboties visās vidēs un ir jātestē pirms ieviešanas. Pirmais piemērs ir paredzēts Windows NT 4.0 datoru kontiem, bet otrais piemērs ir paredzēts Windows 2000 vai Windows XP datoru kontiem.
1. paraugs
Dim objComputerSet objComputer = GetObject("WinNT://WINDOWS2000/computername$")objComputer.SetPassword "computername$"Wscript.Quit
2. paraugs
Dim objComputerSet objComputer = GetObject("LDAP://CN=computername,DC=WINDOWS2000,DC=COM")objComputer.SetPassword "computername$"Wscript.Quit
Lai iegūtu papildinformāciju par to, kā noteikt, vai notikuma datums un laiks 5722 atbilst dekodētajā datumam un laikam, noklikšķiniet uz šiem raksta numuriem, lai skatītu Microsoft zināšanu bāzes rakstus:
175024 Domēna dalībnieku drošā kanāla atiestatīšana
810977 Notikuma ID 5722 tiek reģistrēts jūsu Windows 2000 servera domēna kontrollerī
