摘要
可以在本地策略和组策略中更改安全设置和用户权限分配，以帮助加强域控制器和成员计算机上的安全性。 然而，提高安全性的缺点是引入与客户端、服务和程序的不兼容。
本文介绍了当您更改 Windows Server 2003 域或早期 Windows Server 域中的特定安全设置和用户权限分配时，运行 Windows Server 或早期 Windows Windows Server 版本的客户端计算机上可能出现的不兼容性问题。
有关 Windows 7、Windows Server 2008 R2 和 Windows Server 2008 的组策略的信息，请参阅以下文章：
- 对于 Windows 7，请参阅面向 IT 专业人员的组策略管理
- 对于 Windows 7 和 Windows Server 2008 R2，请参阅组策略中的新增功能
注意：本文中的其余内容仅适用于 Windows XP、Windows Server 2003 和早期版本的 Windows。
Windows XP
若要提高对配置错误的安全设置的认识，请使用组策略对象编辑器工具更改安全设置。 使用组策略对象编辑器时，以下操作系统上的用户权限分配得到增强：
- Windows XP Professional Service Pack 2 (SP2)
- Windows Server 2003 Service Pack 1 (SP1)
增强功能是一个对话框，其中包含指向本文的链接。 将安全设置或用户权限分配更改为兼容性较低且限制性较强的设置时，将显示此对话框。 如果使用注册表或安全模板直接更改相同的安全设置或用户权限分配，则效果与更改组策略对象编辑器中的设置相同。 但是，包含本文链接的对话框未显示。
本文包含受特定安全设置或用户权限分配影响的客户端、程序和操作示例。 但是，这些示例并不适用于所有 Microsoft 操作系统、所有第三方操作系统或所有受影响的程序版本。 本文并未包含所有安全设置和用户权限分配。
建议在将所有与安全性相关的配置更改引入生产环境之前，先验证测试林中所有与安全性相关的配置更改的兼容性。 测试林必须通过以下方式镜像生产林：
客户端和服务器操作系统版本、客户端和服务器程序、Service Pack 版本、修补程序、架构更改、安全组、组成员身份、文件系统中对象的权限、共享文件夹、注册表、Active Directory 目录服务、本地和组策略设置以及对象计数类型和位置
执行的管理任务、使用的管理工具和用于执行管理任务的操作系统
执行的操作，例如：
- 计算机和用户登录身份验证
- 用户、计算机和管理员重置密码
- 浏览
- 通过在所有帐户或资源域的所有客户端操作系统中使用 ACL 编辑器在所有帐户或资源域的所有客户端操作系统中设置文件系统、共享文件夹、注册表和 Active Directory 资源的权限
- 从管理和非管理帐户打印
Windows Server 2003 SP1
Gpedit.msc 中的警告
为了帮助客户意识到他们正在编辑可能对其网络产生不利影响的用户权限或安全选项，我们向 gpedit.msc 添加了两种警告机制。 当管理员编辑可能对整个企业产生不利影响的用户权限时，他们将看到一个类似于让行标志的新图标。 他们还将收到一条警告消息，其中包含指向Microsoft知识库文章 823659 的链接。 此消息的文本如下：
修改此设置可能会影响与客户端、服务和应用程序的兼容性。 有关详细信息，请参阅 <正在修改> 的用户权限或安全选项 (Q823659) 如果是从 Gpedit.msc 中的链接定向到此知识库文章的，请确保阅读并理解提供的说明以及更改此设置可能产生的影响。 以下列出了包含警告文本的用户权限：
- 从网络访问此计算机
- 本地登录
- 跳过遍历检查
- 为计算机和用户启用受信任的委派
下表列出了具有警告和弹出消息的安全选项：
- 域成员： 对安全通道数据进行数字加密或签名 (始终)
- 域成员： 需要 Windows 2000 或更高版本的强 () 会话密钥
- 域控制器： LDAP 服务器签名要求
- Microsoft网络服务器：对通信进行数字签名 (始终)
- 网络访问： 允许匿名 sid/名称转换
- 网络访问： 不允许 SAM 帐户和共享的匿名枚举
- 网络安全： LAN 管理器身份验证级别
- 审核： 如果无法记录安全审核则立即关闭系统
- 网络访问： LDAP 客户端签名要求
详细信息
以下部分介绍了更改 Windows NT 4.0 域、Windows 2000 域和 Windows Server 2003 域中的特定设置时可能出现的不兼容问题。
用户权限
以下列表介绍了用户权限，确定了可能导致问题的配置设置，描述了为什么应该应用用户权限以及为什么可能要删除用户权限，并提供了配置用户权限时可能发生的兼容性问题的示例。
从网络访问此计算机
背景信息
要能够与基于 Windows 的远程计算机进行交互，用户权限就需要“从网络访问此计算机”用户权限。 此类网络操作的示例包括：
- 在公共域或林中的域控制器之间复制 Active Directory
- 用户和计算机对域控制器的身份验证请求
- 访问位于网络上远程计算机上的共享文件夹、打印机和其他系统服务
用户、计算机和服务帐户通过在被授予了此用户权限的安全组中显式或隐式添加或删除，获得或丧失“从网络访问此计算机”用户权限。 例如，用户帐户或计算机帐户可能由管理员显式添加到自定义安全组或内置安全组，或者操作系统可能隐式将其添加到已计算的安全组（如域用户、经过身份验证的用户或企业域控制器）。
默认情况下，当在默认域控制器组策略对象 (GPO) 中定义了计算组（例如所有人或首选经过身份验证的用户，以及对于域控制器而言，企业域控制器组）时，用户帐户和计算机帐户会被授予“从网络访问此计算机”用户权限。
风险配置
以下是有害的配置设置：
- 从此用户权限中删除企业域控制器安全组
- 删除经过身份验证的用户组或显式组，该组允许用户、计算机和服务帐户通过网络连接到计算机的用户权限
- 从此用户权限中删除所有用户和计算机
授予此用户权限的原因
- 向企业域控制器组授予“从网络访问此计算机”用户权限，满足 Active Directory 复制必须具备的身份验证要求，以便在同一林中的域控制器之间进行复制。
- 此用户权限允许用户和计算机访问共享文件、打印机和系统服务，包括 Active Directory。
- 用户必须使用此用户权限才能使用早期版本的 Microsoft Outlook Web Access (OWA) 访问邮件。
删除此用户权限的原因
- 可以将其计算机连接到网络的用户可以访问他们有权访问远程计算机上的资源。 例如，用户必须使用此用户权限才能连接到共享打印机和文件夹。 如果向 Everyone 组授予此用户权限，并且某些共享文件夹配置了共享和 NTFS 文件系统权限，以便同一组具有读取访问权限，则任何人都可以查看这些共享文件夹中的文件。 但是，对于全新安装的 Windows Server 2003 来说，这种情况不太可能发生，因为 Windows Server 2003 中的默认共享和 NTFS 权限不包括 Everyone 组。 对于从 Microsoft Windows NT 4.0 或 Windows 2000 升级的系统，此漏洞可能具有更高级别的风险，因为这些操作系统的默认共享和文件系统权限不像 Windows Server 2003 中的默认权限那样具有限制性。
- 没有正当理由从此用户权限中删除企业域控制器组。
- 通常删除 Everyone 组，以支持 Authenticated Users 组。 如果删除 Everyone 组，则必须向 Authenticated Users 组授予此用户权限。
- 升级到 Windows 2000 的 Windows NT 4.0 域不会向 Everyone 组、Authenticated Users 组或 Enterprise Domain Controller 组明确授予“从网络访问此计算机”用户权限。 因此，当您从 Windows NT 4.0 域策略中删除 Everyone 组时，在升级到 Windows 2000 后，Active Directory 复制将失败，并显示“拒绝访问”错误消息。 Windows Server 2003 中的 Winnt32.exe 通过在升级 Windows NT 4.0 主域控制器 (PDC) 时授予企业域控制器组此用户权限来避免这种配置错误。 如果组策略对象编辑器中不存在此用户权限，请向企业域控制器组授予该用户权限。
兼容性问题示例
Windows 2000 和 Windows Server 2003：以下分区的复制将失败，并出现 REPLMON 和 REPADMIN 等监视工具报告的“拒绝访问”错误或事件日志中的复制事件。
- Active Directory 架构分区
- 配置分区
- 域分区
- 全局编录分区
- 应用程序分区
所有 Microsoft 网络操作系统： 除非向用户或用户所属的安全组授予此用户权限，否则来自远程网络客户端计算机的用户帐户身份验证将失败。
所有 Microsoft 网络操作系统： 来自远程网络客户端的帐户身份验证将失败，除非向该帐户所属的帐户或安全组授予此用户权限。 此方案适用于用户帐户、计算机帐户和服务帐户。
所有 Microsoft 网络操作系统： 从此用户权限中删除所有帐户将阻止任何帐户登录域或访问网络资源。 如果删除了企业域控制器、每个人或经过身份验证的用户等计算组，则必须明确向此用户授予其帐户或该帐户所属的安全组的权限，以便通过网络访问远程计算机。 此方案适用于所有用户帐户、所有计算机帐户和所有服务帐户。
所有 Microsoft 网络操作系统：本地管理员帐户使用“空白”密码。 域环境中的管理员帐户不允许使用空密码进行网络连接。 使用此配置后，可能会收到“拒绝访问”错误消息。
允许本地登录
背景信息
尝试使用 CTRL+ALT+DELETE 键盘快捷方式) (在基于 Windows 的计算机的控制台上登录的用户以及尝试启动服务的帐户必须在托管计算机上具有本地登录权限。 本地登录操作的示例包括登录到成员计算机控制台的管理员或整个企业中的域控制器，以及登录到成员计算机以使用非特权帐户访问其桌面的域用户。 使用远程桌面连接或终端服务的用户必须在运行 Windows 2000 或 Windows XP 的目标计算机上具有“允许在本地登录”用户权限，因为这些登录模式被视为托管计算机的本地登录模式。 登录到启用了终端服务器的服务器但没有此用户权限的用户仍然可以在 Windows Server 2003 域中启动远程交互会话，前提是他们具有“允许通过终端服务登录”用户权限。
风险配置
以下是有害的配置设置：
- 从默认域控制器策略中删除管理安全组，包括帐户操作员、备份操作员、打印操作员或服务器操作员以及内置管理员组。
- 从默认域控制器的策略中删除域中成员计算机和域控制器上的组件和程序使用的服务帐户。
- 删除登录到域中成员计算机的控制台的用户或安全组。
- 删除成员计算机或工作组计算机的本地安全帐户管理器 (SAM) 数据库中定义的服务帐户。
- 删除通过域控制器上运行的终端服务进行身份验证的非内置管理帐户。
- 通过 Everyone 组将域中的所有用户帐户显式或隐式添加到“拒绝本地登录”登录权限。 此配置将阻止用户登录到域中的任何成员计算机或任何域控制器。
授予此用户权限的原因
- 用户必须具有“允许在本地登录”用户权限，才能访问工作组计算机、成员计算机或域控制器的控制台或桌面。
- 用户必须具有此用户权限才能通过在基于 Windows 2000 的成员计算机或域控制器上运行的终端服务会话登录。
删除此用户权限的原因
- 如果未能限制对合法用户帐户的主机访问，则可能会导致未经授权的用户下载并执行恶意代码来更改其用户权限。
- 删除“允许在本地登录”用户权限可防止在计算机主机（如域控制器或应用程序服务器）上未经授权登录。
- 删除此登录权限可防止非域帐户在域中成员计算机的控制台上登录。
兼容性问题示例
- Windows 2000 终端服务器： 要使用户登录到 Windows 2000 终端服务器，需要“允许在本地登录”用户权限。
- Windows NT 4.0、Windows 2000、Windows XP 或 Windows Server 2003：必须向用户授予此用户权限，才能在运行 Windows NT 4.0、Windows 2000、Windows XP 或 Windows Server 2003 的计算机的主机上登录。
- Windows NT 4.0 及更高版本：在运行 Windows NT 4.0 及更高版本的计算机上，如果添加了“允许在本地登录”用户权限，但隐式或显式授予“拒绝本地登录”权限，则这些帐户将无法登录到域控制器的控制台。
跳过遍历检查
背景信息
通过“绕过遍历检查”用户权限，用户可以浏览 NTFS 文件系统或注册表中的文件夹，而无需检查遍历文件夹的特殊访问权限。 “绕过遍历检查”用户权限不允许用户列出文件夹的内容。 它允许用户仅遍历其文件夹。
风险配置
以下是有害的配置设置：
- 删除登录到基于 Windows 2000 的终端服务计算机或基于 Windows Server 2003 的终端服务计算机的非管理帐户，这些计算机没有访问文件系统中文件和文件夹的权限。
- 默认情况下，从具有此用户权限的安全主体列表中删除 Everyone 组。 Windows 操作系统以及许多程序的设计预期是，任何可以合法访问计算机的人都将拥有“绕过遍历检查”用户权限。 因此，默认情况下从具有此用户权限的安全主体列表中删除 Everyone 组可能会导致操作系统不稳定或程序失败。 最好将此设置保留为默认值。
授予此用户权限的原因
“绕过遍历检查”用户权限的默认设置为允许任何人绕过遍历检查。 对于经验丰富的 Windows 系统管理员来说，这是正常行为，他们相应地配置文件系统访问控制列表 (SACL) 。 默认配置可能导致事故的唯一情形是，配置权限的管理员不了解该行为，并预计无法访问父文件夹的用户将无法访问任何子文件夹的内容。
删除此用户权限的原因
为了尝试阻止访问文件系统中的文件或文件夹，非常关心安全性的组织可能会试图从具有“绕过遍历检查”用户权限的组列表中删除 Everyone 组，甚至是 Users 组。
兼容性问题示例
Windows 2000、Windows Server 2003： 如果在运行 Windows 2000 或 Windows Server 2003 的计算机上删除或错误配置了“绕过遍历检查”用户权限，则 SYVOL 文件夹中的组策略设置将不会在域中的域控制器之间复制。
Windows 2000、Windows XP Professional、Windows Server 2003：运行 Windows 2000、Windows XP Professional 或 Windows Server 2003 的计算机将记录事件 1000 和 1202，并且在从 SYSVOL 树中删除所需的文件系统权限时（如果删除或配置不当绕过遍历检查用户权限）时，将无法应用计算机策略和用户策略。
Windows 2000、Windows Server 2003：在运行 Windows 2000 或 Windows Server 2003 的计算机上，当您查看卷上的属性时，Windows 资源管理器中的“配额”选项卡将消失。
Windows 2000： 登录到 Windows 2000 终端服务器的非管理员可能会收到以下错误消息：
注意
Userinit.exe 应用程序错误。 应用程序未能正确初始化0xc0000142单击“确定”以终止应用程序。
Windows NT 4.0、Windows 2000、Windows XP、Windows Server 2003：计算机运行 Windows NT 4.0、Windows 2000、Windows XP 或 Windows Server 2003 的用户可能无法访问共享文件夹或共享文件夹上的文件，如果未授予绕过遍历检查权限，他们可能会收到“拒绝访问”错误消息用户权限。
Windows NT 4.0：在基于 Windows NT 4.0 的计算机上，删除“绕过遍历检查”用户权限将导致文件副本删除文件流。 如果删除此用户权限，则在将文件从 Windows 客户端或从 Macintosh 客户端复制到运行 Services for Macintosh 的 Windows NT 4.0 域控制器时，目标文件流将丢失，并且该文件将显示为纯文本文件。
Microsoft Windows 95、Microsoft Windows 98：在运行 Windows 95 或 Windows 98 的客户端计算机上，如果未向 Authenticated Users 组授予绕过遍历检查用户权限，则 net use * /home 命令将失败，并显示“拒绝访问”错误消息。
Outlook Web Access：如果非管理员未被授予绕过遍历检查用户权限，非管理员将无法登录到 Microsoft Outlook Web Access，并且将收到“拒绝访问”错误消息。
安全设置
以下列表标识了安全设置，嵌套列表提供了有关安全设置的说明，标识了可能导致问题的配置设置，描述了为什么应应用该安全设置，然后描述了为什么您可能希望删除该安全设置的原因。 然后，嵌套列表为安全设置提供符号名称和安全设置的注册表路径。 最后，提供了配置安全设置时可能发生的兼容性问题的示例。
审核： 如果无法记录安全审核则立即关闭系统
背景信息
- “审核： 如果无法记录安全审核则立即关闭系统”设置确定如果无法记录安全事件，系统是否关闭。 TCSEC) 计划的“受信任计算机安全评估标准” (C2 评估和信息技术安全评估通用标准都需要此设置，这样才能在审核系统无法记录可审核事件时阻止这些事件。 如果审核系统失败，系统将关闭，并显示“停止”错误消息。
- 如果计算机无法将事件记录到安全日志中，则在安全事件发生后可能无法查看关键证据或重要的故障排除信息。
风险配置
下面是有害的配置设置： 如果无法记录安全审核设置，则立即关闭系统，并且安全事件日志的大小受不覆盖事件 (手动清除日志) 选项、根据需要覆盖事件选项或 事件查看器 中的覆盖早于天数的事件选项的限制。 有关运行原始发行版 Windows 2000、Windows 2000 Service Pack 1 (SP1) 、Windows 2000 SP2 或 Windows 2000 SP3 的计算机的特定风险的信息，请参阅“兼容性问题示例”部分。
启用此设置的原因
如果计算机无法将事件记录到安全日志中，则在安全事件发生后可能无法查看关键证据或重要的故障排除信息。
禁用此设置的原因
- 如果由于任何原因无法记录安全审核，则启用审核： 如果无法记录安全审核立即关闭系统设置将停止系统。 通常，当安全审核日志已满且其指定的保留方法是“不覆盖事件” (手动清除日志) 选项或“覆盖早于 天数 的事件”选项时，无法记录事件。
- 启用“审核： 如果无法记录安全审核则立即关闭系统”设置的管理负担可能非常高，如果还为安全日志启用了“不覆盖事件 (手动清除日志) ”选项时。 此设置规定了操作员操作的个人责任。 例如，管理员可以使用内置管理员帐户或其他共享帐户重置已启用审核的组织单位 (OU) 中所有用户、计算机和组的权限，然后拒绝他们重置此类权限。 但是，启用此设置确实会降低系统的稳定性，因为登录事件和写入安全日志的其他安全事件可能会使服务器不堪重负，从而迫使服务器关闭。 此外，由于关机不是正常的，可能会对操作系统、程序或数据造成不可修复的损坏。 虽然 NTFS 可以保证在系统意外关闭期间保持文件系统的完整性，但它不能保证在系统重新启动时，每个程序的每个数据文件仍处于可用形式。
符号名称：
CrashOnAuditFail
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)兼容性问题示例
Windows 2000：由于存在 bug，运行原始发行版 Windows 2000、Windows 2000 SP1、Windows 2000 SP2 或 Windows Server SP3 的计算机可能会在达到安全事件日志的“最大日志大小”选项中指定的大小之前停止记录事件。 此漏洞已在 Windows 2000 Service Pack 4 (SP4) 中修复。 在考虑启用此设置之前，请确保您的 Windows 2000 域控制器已安装 Windows 2000 Service Pack 4。
Windows 2000、Windows Server 2003：运行 Windows 2000 或 Windows Server 2003 的计算机可能会停止响应，然后可能会在出现以下情况下自发重启： 如果启用了“无法记录安全审核”设置，则安全日志已满，并且无法覆盖现有的事件日志条目。 重启计算机时，会出现以下停止错误消息：
注意
STOP： C0000244 {Audit Failed}
尝试生成安全审核失败。若要恢复，管理员必须登录，将安全日志存档 (可选) ，清除安全日志，然后将此选项重置 (可选和根据需要) 。
用于 MS-DOS、Windows 95、Windows 98、Windows NT 4.0、Windows 2000、Windows XP、Windows Server 2003 的 Microsoft 网络客户端： 尝试登录域的非管理员将收到以下错误消息：
注意
你的帐户配置为禁止你使用此计算机。 请尝试使用另一台计算机。
Windows 2000： 在基于 Windows 2000 的计算机上，非管理员将无法登录到远程访问服务器，他们将收到类似于以下内容的错误消息：
注意
未知用户或错误密码
Windows 2000：在 Windows 2000 域控制器上，站点间消息服务 (Ismserv.exe) 将停止且无法重新启动。 DCDIAG 会将错误报告为“测试服务 ISMserv 失败”，事件 ID 1083 将在事件日志中注册。
Windows 2000：在 Windows 2000 域控制器上，Active Directory 复制将失败，如果安全事件日志已满，将显示“拒绝访问”消息。
Microsoft Exchange 2000：运行 Exchange 2000 的服务器将无法装载信息存储数据库，事件 2102 将在事件日志中注册。
Outlook、Outlook Web Access：非管理员将无法通过 Microsoft Outlook 或 Microsoft Outlook Web Access 访问其邮件，他们将收到 503 错误。
域控制器： LDAP 服务器签名要求
背景信息
“域控制器： LDAP 服务器签名要求”安全设置确定轻型目录访问协议 (LDAP) 服务器是否需要 LDAP 客户端协商数据签名。 此策略设置的可能值如下所示：
- 无：与服务器绑定不需要数据签名。 如果客户端请求数据签名，则服务器支持。
- 需要签名：除非正在使用传输层安全性/安全套接字层 (TLS/SSL) ，否则必须协商 LDAP 数据签名选项。
- 未定义：此设置未启用或禁用。
风险配置
以下是有害的配置设置：
- 在客户端不支持 LDAP 签名或客户端未启用客户端 LDAP 签名的环境中启用“需要登录”
- 在客户端不支持 LDAP 签名或未启用客户端 LDAP 签名的环境中应用 Windows 2000 或 Windows Server 2003 Hisecdc.inf 安全模板
- 在客户端不支持 LDAP 签名或未启用客户端 LDAP 签名的环境中应用 Windows 2000 或 Windows Server 2003 Hisecws.inf 安全模板
启用此设置的原因
未经签名的网络通信容易受到中间人攻击，入侵者会捕获客户端和服务器之间的数据包，修改数据包，然后将它们转发到服务器。 当此行为发生在 LDAP 服务器上时，攻击者可能会导致服务器根据来自 LDAP 客户端的错误查询做出决策。 您可以通过实施强大的物理安全措施来帮助保护网络基础设施，从而降低企业网络中的这种风险。 Internet 协议安全性 (IPSec) 身份验证标头模式有助于防止中间人攻击。 身份验证标头模式对 IP 流量执行相互身份验证和数据包完整性。
禁用此设置的原因
- 如果进行了 NTLM 身份验证协商并且 Windows 2000 域控制器上未安装正确的 Service Pack，则不支持 LDAP 签名的客户端将无法对域控制器和全局编录执行 LDAP 查询。
- 客户端和服务器之间的 LDAP 流量的网络跟踪将被加密。 这使得检查 LDAP 对话变得困难。
- 基于 Windows 2000 的服务器必须安装 Windows 2000 Service Pack 3 (SP3) ，或者在使用支持 LDAP 签名的程序进行管理时安装，这些程序从运行 Windows 2000 SP4、Windows XP 或 Windows Server 2003 的客户端计算机运行。
符号名称：
LDAPServerIntegrity
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)兼容性问题示例
简单绑定将失败，你将收到以下错误消息：
注意
Ldap_simple_bind_s () 失败：需要强身份验证。
Windows 2000 Service Pack 4、Windows XP、Windows Server 2003：在运行 Windows 2000 SP4、Windows XP 或 Windows Server 2003 的客户端上，在协商 NTLM 身份验证时，某些 Active Directory 管理工具将无法针对运行早于 SP3 的 Windows 2000 版本的域控制器正常运行。
Windows 2000 Service Pack 4、Windows XP Windows Server 2003：在运行 Windows 2000 SP4、Windows XP 或 Windows Server 2003 的客户端上，某些面向运行早于 SP3 的 Windows 2000 版本的域控制器的 Active Directory 管理工具如果使用 IP 地址 (例如 “dsa.msc /server=x.x.x.x”
x.x.x.x 是一个 IP 地址) 。Windows 2000 Service Pack 4、Windows XP、Windows Server 2003：在运行 Windows 2000 SP4、Windows XP 或 Windows Server 2003 的客户端上，某些面向运行早于 SP3 的 Windows 2000 版本的域控制器的 Active Directory 管理工具将无法正常运行。
域成员： 需要强 (Windows 2000 或更高版本) 会话密钥
背景信息
- 域成员： 需要强 (Windows 2000 或更高版本) 会话密钥设置确定是否可以使用无法使用强大的 128 位会话密钥加密安全通道流量的域控制器建立安全通道。 启用此设置可以防止与无法使用强密钥加密安全通道数据的任何域控制器建立安全通道。 禁用此设置允许使用 64 位会话密钥。
- 在成员工作站或服务器上启用此设置之前，成员所属域中的所有域控制器都必须能够使用 128 位强密钥加密安全通道数据。 这意味着，所有这些此类域控制器都必须运行 Windows 2000 或更高版本。
风险配置
启用域成员： 需要强 (Windows 2000 或更高版本) 会话密钥设置是一种有害的配置设置。
启用此设置的原因
- 用于在成员计算机和域控制器之间建立安全通道通信的会话密钥在 Windows 2000 中比在早期版本的 Microsoft 操作系统中要强得多。
- 如果可能，最好利用这些更强的会话密钥来帮助保护安全通道通信免遭窃听和会话劫持网络攻击。 窃听是一种恶意攻击形式，其中网络数据在传输过程中被读取或更改。 可以修改数据以隐藏或更改发件人，或重定向数据。
重要说明：使用安全通道时，运行 Windows Server 2008 R2 或 Windows 7 的计算机仅支持强密钥。 此限制阻止任何基于 Windows NT 4.0 的域和任何基于 Windows Server 2008 R2 的域之间建立信任。 此外，此限制还会阻止运行 Windows 7 或 Windows Server 2008 R2 的计算机的基于 Windows NT 4.0 的域成员身份，反之亦然。
禁用此设置的原因
域包含运行 Windows 2000、Windows XP 或 Windows Server 2003 以外的操作系统的成员计算机。
符号名称：
StrongKey
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)兼容性问题示例
Windows NT 4.0：在基于 Windows NT 4.0 的计算机上，使用 NLTEST 重置 Windows NT 4.0 和 Windows 2000 域之间的安全信任关系通道失败。 将显示“拒绝访问”错误消息：
主域和受信任的域之间的信任关系失败。Windows 7 和 Server 2008 R2：对于 Windows 7 和更高版本以及 Windows Server 2008 R2 和更高版本，不再使用此设置，并且始终使用强键。 因此，与 Windows NT 4.0 域的信任将不再有效。
域成员： 对安全通道数据进行数字加密或签名 (始终)
背景信息
- 启用域成员： 对安全通道数据进行数字加密或签名 (始终) 防止与无法对所有安全通道数据进行签名或加密的任何域控制器建立安全通道。 为了帮助保护身份验证流量免受中间人攻击、重放攻击和其他类型的网络攻击，基于 Windows 的计算机通过 Net Logon 服务创建一个称为安全通道的通信通道，用于对计算机帐户进行身份验证。 当一个域中的用户连接到远程域中的网络资源时，也会使用安全通道。 这种多域身份验证或直通身份验证允许已加入域的基于 Windows 的计算机访问其域和任何受信任域中的用户帐户数据库。
- 若要启用域成员： 对安全通道数据进行数字加密或签名 (成员计算机上的“始终) ”设置，则成员所属域中的所有域控制器都必须能够对所有安全通道数据进行签名或加密。 这意味着，所有此类域控制器都必须运行 Windows NT 4.0 Service Pack 6a (SP6a) 或更高版本。
- 启用域成员： 对安全通道数据进行数字加密或签名 (始终) 设置会自动启用域成员： 如果可能， (以数字方式加密或签名安全通道数据) 设置。
风险配置
启用域成员： 在并非所有域控制器都能够对安全通道数据进行签名或加密的域中，对安全通道数据进行数字加密或签名 (始终) 设置是一种有害的配置设置。
启用此设置的原因
未经签名的网络流量容易受到中间人攻击，入侵者会捕获服务器和客户端之间的数据包，然后在将它们转发到客户端之前对其进行修改。 当此行为发生在轻型目录访问协议 (LDAP) 服务器上时，入侵者可能会导致客户端根据 LDAP 目录中的虚假记录做出决策。 您可以通过实施强大的物理安全措施来帮助保护网络基础设施，从而降低对企业网络进行此类攻击的风险。 此外，实现 Internet 协议安全性 (IPSec) 身份验证标头模式有助于防止中间人攻击。 此模式对 IP 流量执行相互身份验证和数据包完整性。
禁用此设置的原因
- 本地或外部域中的计算机确实支持加密的安全通道。
- 并非域中的所有域控制器都具有相应的 Service Pack 修订级别来支持加密的安全通道。
符号名称：
StrongKey
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)兼容性问题示例
Windows NT 4.0：基于 Windows 2000 的成员计算机将无法加入 Windows NT 4.0 域，并将收到以下错误消息：
注意
该帐户无权从此站登录。
有关更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
281648 错误消息：该帐户无权从此站登录
Windows NT 4.0：Windows NT 4.0 域将无法与 Windows 2000 域建立下层信任，并将收到以下错误消息：
注意
该帐户无权从此站登录。
现有的下层信任也可能无法对来自受信任域的用户进行身份验证。 某些用户在登录域时可能遇到问题，他们可能会收到一条错误消息，指出客户端找不到域。
Windows XP：已加入 Windows NT 4.0 域的 Windows XP 客户端将无法对登录尝试进行身份验证，并且可能会收到以下错误消息，或者可能会在事件日志中注册以下事件：
注意
Windows 无法连接到域，原因可能是域控制器关闭或不可用，或者找不到你的计算机帐户
Microsoft 网络：Microsoft 网络客户端将收到以下错误消息之一：
注意
登录失败： 未知用户名或错误密码。
注意
指定的登录会话没有用户会话密钥。
Microsoft网络客户端：始终 () 通信进行数字签名
背景信息
服务器消息块 (SMB) 是许多 Microsoft 操作系统支持的资源共享协议。 它是网络基本输入/输出系统 (NetBIOS) 和许多其他协议的基础。 SMB 签名会对用户和托管数据的服务器进行身份验证。 如果任何一方未能通过身份验证过程，则不会进行数据传输。
在 SMB 协议协商期间开始启用 SMB 签名。 SMB 签名策略决定计算机是否始终对客户端通信进行数字签名。
Windows 2000 SMB 身份验证协议支持相互身份验证。 相互身份验证关闭了“中间人”攻击。 Windows 2000 SMB 身份验证协议还支持消息身份验证。 消息身份验证有助于防止主动消息攻击。 为了提供这种身份验证，SMB 签名会在每个 SMB 中放入一个数字签名。 客户端和服务器各自验证数字签名。
若要使用 SMB 签名，必须在 SMB 客户端和 SMB 服务器上启用 SMB 签名或要求进行 SMB 签名。 如果在服务器上启用了 SMB 签名，则同时启用了 SMB 签名的客户端将在所有后续会话期间使用数据包签名协议。 如果服务器上需要 SMB 签名，则客户端无法建立会话，除非启用或要求客户端进行 SMB 签名。
在高安全性网络中启用数字签名有助于防止模拟客户端和服务器。 这种模拟称为会话劫持。 有权访问与客户端或服务器相同的网络的攻击者使用会话劫持工具来中断、结束或窃取正在进行的会话。 攻击者可以拦截和修改未经签名的 SMB 数据包，修改流量，然后将其转发，以便服务器执行不需要的操作。 或者，攻击者可以在合法身份验证后伪装成服务器或客户端，然后获得对数据的未经授权的访问权限。
在运行 Windows 2000 Server、Windows 2000 Professional、Windows XP Professional 或 Windows Server 2003 的计算机上用于文件共享和打印共享的 Windows Server 协议支持相互验证。 相互认证关闭会话劫持攻击并支持消息身份验证。 因此，它可以防止中间人攻击。 SMB 签名通过在每个 SMB 中放置数字签名来提供此身份验证。 然后，客户端和服务器将验证签名。
便笺
作为备选对策，可以使用 IPSec 启用数字签名来帮助保护所有网络流量。 有一些基于硬件的 IPSec 加密和签名加速器，可用于最大程度地减少服务器 CPU 对性能的影响。 没有可用于 SMB 签名的此类加速器。
有关详细信息，请参阅 Microsoft MSDN 网站上的“ 数字签名服务器通信 ”一章。
通过组策略对象编辑器配置 SMB 签名，因为如果存在覆盖域策略，则对本地注册表值的更改无效。
在 Windows 95、Windows 98 和 Windows 98 第二版中，目录服务客户端在使用 NTLM 身份验证对 Windows Server 2003 服务器进行身份验证时使用 SMB 签名。 但是，当这些客户端使用 NTLMv2 身份验证对这些服务器进行身份验证时，并不使用 SMB 签名。 此外，Windows 2000 服务器不响应来自这些客户端的 SMB 签名请求。 有关详细信息，请参阅第 10 项：“网络安全：LAN 管理器身份验证级别”。
风险配置
下面是有害的配置设置： 同时离开 Microsoft 网络客户端： 对通信进行数字签名 (始终) 设置和 Microsoft 网络客户端： 对通信进行数字签名 (服务器是否同意) 设置设置为“未定义”或禁用。 这些设置允许重定向程序将纯文本密码发送到身份验证期间不支持密码加密的非 Microsoft SMB 服务器。
启用此设置的原因
启用Microsoft网络客户端：对通信进行数字签名 (始终) 要求客户端在联系不需要 SMB 签名的服务器时对 SMB 流量进行签名。 这使得客户端不易受到会话劫持攻击。
禁用此设置的原因
- 启用Microsoft网络客户端：对通信进行数字签名 (始终) 防止客户端与不支持 SMB 签名的目标服务器通信。
- 将计算机配置为忽略所有未经签名的 SMB 通信可阻止早期的程序和操作系统连接。
符号名称：
RequireSMBSignRdr
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature兼容性问题示例
Windows NT 4.0：你将无法使用 NLTEST 或 NETDOM 重置 Windows Server 2003 域和 Windows NT 4.0 域之间的信任安全通道，并且你将收到“拒绝访问”错误消息。
Windows XP：将文件从 Windows XP 客户端复制到基于 Windows 2000 的服务器和基于 Windows Server 2003 的服务器可能需要更多时间。
启用了此设置后，你将无法从客户端映射网络驱动器，并将收到以下错误消息：
注意
该帐户无权从此站登录。
重启要求
重新启动计算机或重新启动工作站服务。 为此，请在命令提示符处键入以下命令。 键入每个命令之后按 Enter 键。
net stop 工作站
net start workstation
Microsoft网络服务器：对通信进行数字签名 (始终)
背景信息
Server Messenger Block (SMB) 是许多 Microsoft 操作系统支持的资源共享协议。 它是网络基本输入/输出系统 (NetBIOS) 和许多其他协议的基础。 SMB 签名会对用户和托管数据的服务器进行身份验证。 如果任何一方未能通过身份验证过程，则不会进行数据传输。
在 SMB 协议协商期间开始启用 SMB 签名。 SMB 签名策略决定计算机是否始终对客户端通信进行数字签名。
Windows 2000 SMB 身份验证协议支持相互身份验证。 相互身份验证关闭了“中间人”攻击。 Windows 2000 SMB 身份验证协议还支持消息身份验证。 消息身份验证有助于防止主动消息攻击。 为了提供这种身份验证，SMB 签名会在每个 SMB 中放入一个数字签名。 客户端和服务器各自验证数字签名。
若要使用 SMB 签名，必须在 SMB 客户端和 SMB 服务器上启用 SMB 签名或要求进行 SMB 签名。 如果在服务器上启用了 SMB 签名，则同时启用了 SMB 签名的客户端将在所有后续会话期间使用数据包签名协议。 如果服务器上需要 SMB 签名，则客户端无法建立会话，除非启用或要求客户端进行 SMB 签名。
在高安全性网络中启用数字签名有助于防止模拟客户端和服务器。 这种模拟称为会话劫持。 有权访问与客户端或服务器相同的网络的攻击者使用会话劫持工具来中断、结束或窃取正在进行的会话。 攻击者可能会截获并修改未签名的子网带宽管理器 (SBM) 数据包，修改流量，然后转发它，以便服务器可能执行不需要的操作。 或者，攻击者可以在合法身份验证后伪装成服务器或客户端，然后获得对数据的未经授权的访问权限。
在运行 Windows 2000 Server、Windows 2000 Professional、Windows XP Professional 或 Windows Server 2003 的计算机上用于文件共享和打印共享的 Windows Server 协议支持相互验证。 相互认证关闭会话劫持攻击并支持消息身份验证。 因此，它可以防止中间人攻击。 SMB 签名通过在每个 SMB 中放置数字签名来提供此身份验证。 然后，客户端和服务器将验证签名。
作为备选对策，可以使用 IPSec 启用数字签名来帮助保护所有网络流量。 有一些基于硬件的 IPSec 加密和签名加速器，可用于最大程度地减少服务器 CPU 对性能的影响。 没有可用于 SMB 签名的此类加速器。
在 Windows 95、Windows 98 和 Windows 98 第二版中，目录服务客户端在使用 NTLM 身份验证对 Windows Server 2003 服务器进行身份验证时使用 SMB 签名。 但是，当这些客户端使用 NTLMv2 身份验证对这些服务器进行身份验证时，并不使用 SMB 签名。 此外，Windows 2000 服务器不响应来自这些客户端的 SMB 签名请求。 有关详细信息，请参阅第 10 项：“网络安全：LAN 管理器身份验证级别”。
风险配置
下面是有害的配置设置： 启用Microsoft网络服务器：对通信进行数字签名 (始终) 于服务器和域控制器上的设置，这些设置由本地或外部域中不兼容的基于 Windows 的计算机和基于第三方操作系统的客户端计算机访问。
启用此设置的原因
- 直接通过注册表或组策略设置启用此设置的所有客户端计算机都支持 SMB 签名。 换言之，启用了此设置的所有客户端计算机都运行安装了 DS 客户端的 Windows 95、Windows 98、Windows Windows NT 4.0、Windows 2000、Windows XP Professional 或 Windows Server 2003。
- 如果Microsoft网络服务器： 对通信进行数字签名 (始终) 被禁用，则完全禁用 SMB 签名。 完全禁用所有 SMB 签名会使计算机更容易受到会话劫持攻击。
禁用此设置的原因
- 启用此设置可能会导致客户端计算机上的文件复制和网络性能变慢。
- 启用此设置将阻止无法协商 SMB 签名的客户端与服务器和域控制器通信。 这将导致域加入、用户和计算机身份验证或程序访问网络等操作失败。
符号名称：
RequireSMBSignServer
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)兼容性问题示例
Windows 95： 未安装目录服务 (DS) 客户端的 Windows 95 客户端将无法通过登录身份验证，并收到以下错误消息：
注意
您提供的域密码不正确，或对您的登录服务器的访问已被拒绝。
Windows NT 4.0：运行早于 Service Pack 3 (SP3) 的 Windows NT 4.0 版本的客户端计算机将无法进行登录身份验证，并将收到以下错误消息：
注意
系统无法登录。 请确保用户名和域正确，然后再次键入密码。
某些非 Microsoft SMB 服务器仅支持身份验证期间的未加密密码交换。 (这些交换也称为“纯文本”交换。) 对于 Windows NT 4.0 SP3 和更高版本，除非添加特定的注册表项，否则 SMB 重定向程序不会在身份验证期间向 SMB 服务器发送未加密的密码。
若要为 Windows NT 4.0 SP 3 及更新版本的系统上的 SMB 客户端启用未加密密码，请修改注册表，如下所示： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters值名称： EnablePlainTextPassword
数据类型：REG_DWORD
数据：1
Windows Server 2003：默认情况下，运行 Windows Server 2003 的域控制器上的安全设置配置为帮助防止域控制器通信被恶意用户拦截或篡改。 若要让用户成功地与运行 Windows Server 2003 的域控制器通信，客户端计算机必须同时使用 SMB 签名和加密或安全通道流量签名。 默认情况下，运行 Windows NT 4.0 且安装了 Service Pack 2 (SP2) 或更早版本的客户端和运行 Windows 95 的客户端未启用 SMB 数据包签名。 因此，这些客户端可能无法对基于 Windows Server 2003 的域控制器进行身份验证。
Windows 2000 和 Windows Server 2003 策略设置： 根据你的具体安装需求和配置，我们建议你在 Microsoft 管理控制台组策略编辑器管理单元层次结构中必要范围的最低实体处设置以下策略设置：
- 计算机配置\Windows 安全中心设置\安全选项
- 发送未加密的密码以连接到第三方 SMB 服务器 (此设置适用于 Windows 2000)
- Microsoft网络客户端：将未加密的密码发送到第三方 SMB 服务器 (此设置适用于 Windows Server 2003)
注意 在某些第三方 CIFS 服务器（例如较旧的 Samba 版本）中，不能使用加密密码。
以下客户端与 Microsoft 网络服务器不兼容： 对通信进行数字签名 (始终) 设置：
- Apple Computer， Inc.，Mac OS X 客户端
- Microsoft MS-DOS 网络客户端 (例如，Microsoft LAN Manager)
- Microsoft Windows for Workgroups 客户端
- 未安装 DS 客户端的 Microsoft Windows 95 客户端
- 未安装 SP3 或更高版本的基于 Microsoft Windows NT 4.0 的计算机
- Novell Netware 6 CIFS 客户端
- SAMBA 不支持 SMB 签名的 SMB 客户端
重启要求
重新启动计算机或重新启动服务器服务。 为此，请在命令提示符处键入以下命令。 键入每个命令之后按 Enter 键。
net stop server
net start server
网络访问： 允许匿名 SID/名称转换
背景信息
网络访问：允许匿名 SID/名称转换安全设置确定匿名用户是否可以请求其他用户的安全标识号 (SID) 属性。
风险配置
启用网络访问： 允许匿名 SID/名称转换设置是有害的配置设置。
启用此设置的原因
如果禁用网络访问：允许匿名 SID/名称转换设置，早期的操作系统或应用程序可能无法与 Windows Server 2003 域通信。 例如，以下操作系统、服务或应用程序可能无法正常工作：
- 基于 Windows NT 4.0 的远程访问服务服务器
- Microsoft在基于 Windows NT 3.x 的计算机或基于 Windows NT 4.0 的计算机上运行的SQL Server
- 在位于 Windows NT 3.x 域或 Windows NT 4.0 域中的基于 Windows 2000 的计算机上运行的远程访问服务
- 在位于 Windows NT 3.x 域或 Windows NT 4.0 域中的基于 Windows 2000 的计算机上运行的SQL Server
- Windows NT 4.0 资源域中的用户想要向包含 Windows Server 2003 域控制器的帐户域中的用户帐户授予文件、共享文件夹和注册表对象的访问权限
禁用此设置的原因
如果启用此设置，恶意用户可能会使用已知的管理员 SID 获取内置管理员帐户的实际名称，即使该帐户已被重命名。 然后，该用户可以使用该帐户名发起密码猜测攻击。
符号名称：不适用
注册表路径：无。 路径在 UI 代码中指定。
兼容性问题示例
Windows NT 4.0：如果资源（包括共享文件夹、共享文件和注册表对象）使用驻留在包含 Windows Server 2003 域控制器的帐户域中的安全主体进行保护，则 Windows NT 4.0 资源域中的计算机将在 ACL 编辑器中显示“帐户未知”错误消息。
网络访问： 不允许 SAM 帐户的匿名枚举
背景信息
网络访问：不允许 SAM 帐户的匿名枚举设置确定为与计算机的匿名连接授予哪些额外权限。 Windows 允许匿名用户执行某些活动，例如枚举工作站和服务器安全帐户管理器 (SAM) 帐户和网络共享的名称。 例如，管理员可以使用它向不维护相互信任的受信任域中的用户授予访问权限。 创建会话后，匿名用户可能具有基于“网络访问：让 Everyone 权限应用于匿名用户”设置或对象的 DACL) (任意访问控制列表中的设置授予 Everyone 组的相同访问权限。
通常，早期版本的客户端 (低层客户端在 SMB 会话设置期间) 请求匿名连接。 在这些情况下，网络跟踪显示 SMB 进程 ID (PID) 是客户端重定向程序，例如 Windows 2000 中的 0xFEFF 或 Windows NT 中的 0xCAFE。 RPC 也可能尝试建立匿名连接。
重要说明：此设置不会影响域控制器。 在域控制器上，此行为受“Windows 2000 之前的兼容访问”中存在的“NT AUTHORITY\ANONYMOUS LOGON”控制。
在 Windows 2000 中，名为“匿名连接的附加限制”的类似设置管理 RestrictAnonymous 注册表值。 此值的位置如下所示
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
风险配置
从兼容性角度来看，启用网络访问： 不允许匿名枚举 SAM 帐户设置是一种有害的配置设置。 从安全角度来看，禁用它是有害的配置设置。
启用此设置的原因
未经授权的用户可能会匿名列出帐户名，然后使用该信息尝试猜测密码或执行社交工程攻击。 社会工程是行话，意思是诱骗人们泄露他们的密码或某种形式的安全信息。
禁用此设置的原因
如果启用此设置，则无法与 Windows NT 4.0 域建立信任。 此设置还会导致尝试使用服务器上的资源的下层客户端 (（如 Windows NT 3.51 客户端和 Windows 95 客户端) ）出现问题。
符号名称：
RestrictAnonymousSAM
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)兼容性问题示例
- SMS 网络发现将无法获取操作系统信息，并且会在 OperatingSystemNameandVersion 属性中写入“未知”。
- Windows 95、Windows 98：Windows 95 客户端和 Windows 98 客户端将无法更改其密码。
- Windows NT 4.0：基于 Windows NT 4.0 的成员计算机将无法通过身份验证。
- Windows 95、Windows 98：基于 Windows 95 和 Windows 98 的计算机将无法通过 Microsoft 域控制器的身份验证。
- Windows 95、Windows 98：基于 Windows 95 和 Windows 98 的计算机上的用户将无法更改其用户帐户的密码。
网络访问： 不允许 SAM 帐户和共享的匿名枚举
背景信息
- 网络访问： 不允许 SAM 帐户和共享的匿名枚举设置 (也称为 RestrictAnonymous) 确定是否允许安全帐户管理器 (SAM) 帐户和共享的匿名枚举。 Windows 允许匿名用户执行某些活动，例如枚举域帐户 (用户、计算机和组) 和网络共享的名称。 例如，当管理员想要向不保持互惠信任的受信任域中的用户授予访问权限时，这很方便。 如果您不希望允许 SAM 帐户和共享的匿名枚举，请启用此设置。
- 在 Windows 2000 中，名为“匿名连接的附加限制”的类似设置管理 RestrictAnonymous 注册表值。 此值的位置如下所示：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
风险配置
启用网络访问：不允许 SAM 帐户和共享的匿名枚举设置是有害的配置设置。
启用此设置的原因
- 启用网络访问： “不允许匿名枚举 SAM 帐户和共享”设置可防止使用匿名帐户的用户和计算机枚举 SAM 帐户和共享。
禁用此设置的原因
- 如果启用此设置，未经授权的用户可能会匿名列出帐户名，然后使用该信息尝试猜测密码或执行社交工程攻击。 社会工程是行话，意思是诱骗人们泄露他们的密码或某种形式的安全信息。
- 如果启用此设置，将无法与 Windows NT 4.0 域建立信任。 此设置还会导致尝试使用服务器上的资源的下层客户端（如 Windows NT 3.51 和 Windows 95 客户端）出现问题。
- 无法向资源域的用户授予访问权限，因为信任域中的管理员将无法枚举其他域中的帐户列表。 匿名访问文件和打印服务器的用户将无法列出这些服务器上的共享网络资源。 用户必须先进行身份验证，然后才能查看共享文件夹和打印机的列表。
符号名称：
RestrictAnonymous
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous兼容性问题示例
Windows NT 4.0：在用户域中的域控制器上启用 RestrictAnonymous 后，用户将无法从 Windows NT 4.0 工作站更改其密码。
Windows NT 4.0：在用户管理器中将用户或全局组从受信任的 Windows 2000 域添加到 Windows NT 4.0 本地组将失败，并且将显示以下错误消息：
注意
当前没有可用于服务登录请求的登录服务器。
Windows NT 4.0：基于 Windows NT 4.0 的计算机在安装过程中或使用域加入用户界面将无法加入域。
Windows NT 4.0：使用 Windows NT 4.0 资源域建立下层信任将失败。 在受信任域上启用 RestrictAnonymous 时，将显示以下错误消息：
注意
找不到此域的域控制器。
Windows NT 4.0：登录到基于 Windows NT 4.0 的终端服务器计算机的用户将映射到默认主目录，而不是在域用户管理器中定义的主目录。
Windows NT 4.0：Windows NT 4.0 备份域控制器 (BDC) 将无法从同一域中的 Windows 2000 或 Windows Server 2003 域控制器启动 Net Logon 服务、获取备份浏览器列表或同步 SAM 数据库。
Windows 2000： 如果在客户端计算机的本地安全策略中启用了“没有显式匿名权限就无法访问”设置，则 Windows NT 4.0 域中基于 Windows 2000 的成员计算机将无法查看外部域中的打印机。
Windows 2000：Windows 2000 域用户将无法从 Active Directory 添加网络打印机;但是，他们从树视图中选择打印机后即可添加打印机。
Windows 2000：在基于 Windows 2000 的计算机上，ACL 编辑器将无法从受信任的 Windows NT 4.0 域添加用户或全局组。
ADMT 版本 2：使用 Active Directory 迁移工具 (ADMT) 版本 2 在林之间迁移的用户帐户的密码迁移将失败。
有关更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
322981 如何使用 ADMTv2 解决林间密码迁移问题Outlook 客户端：全局地址列表将对 Microsoft Exchange Outlook 客户端显示为空。
短信：Microsoft Systems Management Server (SMS) Network Discovery 将无法获取操作系统信息。 因此，它将在 DDR) 发现数据记录的 SMS DDR 属性的 OperatingSystemNameandVersion 属性 (写入“未知”。
短信：使用 SMS 管理员用户向导浏览用户和组时，不会列出任何用户或组。 此外，高级客户端无法与管理点通信。 管理点上需要匿名访问。
短信：当您在 SMS 2.0 和远程客户端安装中使用网络发现功能，并启用拓扑、客户端和客户端操作系统网络发现选项时，计算机可能会被发现，但可能未安装。
网络安全： LAN 管理器身份验证级别
背景信息
LAN 管理器 (LM) 身份验证是一种协议，用于对 Windows 客户端的网络操作进行身份验证，包括域加入、访问网络资源以及用户或计算机身份验证。 LM 身份验证级别确定在客户端和服务器计算机之间协商哪种质询/响应身份验证协议。 具体而言，LM 身份验证级别确定客户端将尝试协商或服务器将接受的身份验证协议。 为 LmCompatibilityLevel 设置的值确定网络登录将使用哪种质询/响应身份验证协议。 此值会影响客户端使用的身份验证协议级别、协商的会话安全级别以及服务器接受的身份验证级别。
可能的设置包括以下内容。
值 设置 说明 0 发送 LM & NTLM 响应 客户端使用 LM 和 NTLM 身份验证，并且不使用 NTLMv2 会话安全性。 域控制器接受 LM、NTLM 和 NTLMv2 身份验证。 1 将 LM 发送 & NTLM - 如果协商，则使用 NTLMv2 会话安全性 客户端使用 LM 和 NTLM 身份验证，如果服务器支持，则使用 NTLMv2 会话安全性。 域控制器接受 LM、NTLM 和 NTLMv2 身份验证。 2 仅发送 NTLM 响应 客户端仅使用 NTLM 身份验证，如果服务器支持，则使用 NTLMv2 会话安全性。 域控制器接受 LM、NTLM 和 NTLMv2 身份验证。 3 仅发送 NTLMv2 响应 客户端仅使用 NTLMv2 身份验证，如果服务器支持，则使用 NTLMv2 会话安全性。 域控制器接受 LM、NTLM 和 NTLMv2 身份验证。 4 仅发送 NTLMv2 响应/拒绝 LM 客户端仅使用 NTLMv2 身份验证，如果服务器支持，则使用 NTLMv2 会话安全性。 域控制器拒绝 LM，并且仅接受 NTLM 和 NTLMv2 身份验证。 5 仅发送 NTLMv2 响应/拒绝 LM & NTLM 客户端仅使用 NTLMv2 身份验证，如果服务器支持，则使用 NTLMv2 会话安全性。 域控制器拒绝 LM 和 NTLM，并且仅接受 NTLMv2 身份验证。 注意 在 Windows 95、Windows 98 和 Windows 98 第二版中，目录服务客户端在使用 NTLM 身份验证对 Windows Server 2003 服务器进行身份验证时使用 SMB 签名。 但是，当这些客户端使用 NTLMv2 身份验证对这些服务器进行身份验证时，并不使用 SMB 签名。 此外，Windows 2000 服务器不响应来自这些客户端的 SMB 签名请求。
检查 LM 身份验证级别：必须更改服务器上的策略以允许 NTLM，或者必须将客户端计算机配置为支持 NTLMv2。
如果要连接到的目标计算机上的策略设置为 (5) Send NTLMv2 response only\refuse LM & NTLM，则必须降低该计算机上的设置，或将安全性设置为从中连接的源计算机上的相同设置。
找到可以更改 LAN 管理器身份验证级别以将客户端和服务器设置为同一级别的正确位置。 找到设置 LAN 管理器身份验证级别的策略后，如果要与运行早期版本的 Windows 的计算机建立连接，请将该值降低到至少 (1) 发送 LM & NTLM - 如果协商，请使用 NTLM 版本 2 会话安全性。 不兼容设置的一个影响是，如果服务器要求 NTLMv2 (值为 5) ，但客户端配置为仅使用 LM 和 NTLMv1 (值为 0) ，则尝试身份验证的用户会遇到使用错误密码并增加错误密码计数的登录失败。 如果配置了帐户锁定，用户最终可能会被锁定。
例如，可能需要查看域控制器，或者可能需要检查域控制器的策略。
查看域控制器
注意 您可能必须在所有域控制器上重复以下过程。
- 单击 “开始”，指向 “程序”，然后单击“ 管理工具”。
- 在 “本地安全设置”下，展开 “本地策略”。
- 单击 “安全选项”。
- 双击网络 安全：LAN 管理器身份验证级别，然后单击列表中的值。
如果有效设置和本地设置相同，则此级别的策略已更改。 如果设置不同，则必须检查域控制器的策略，以确定是否在那里定义了网络安全：LAN 管理器身份验证级别设置。 如果此处未定义，请检查域控制器的策略。
检查域控制器的策略
- 单击 “开始”，指向 “程序”，然后单击“ 管理工具”。
- 在 域控制器安全 策略中，展开 “安全设置”，然后展开 “本地策略”。
- 单击 “安全选项”。
- 双击网络安全：LAN 管理器身份验证级别，然后单击列表中的值。
注意
- 您可能还必须检查在站点级别、域级别或组织单位 (OU) 级别链接的策略，以确定必须在何处配置 LAN 管理器身份验证级别。
- 如果将组策略设置实现为默认域策略，则该策略将应用于域中的所有计算机。
- 如果将组策略设置实现为默认域控制器的策略，则该策略仅应用于域控制器 OU 中的服务器。
- 最好在策略应用程序层次结构中必要范围的最低实体中设置 LAN 管理器身份验证级别。
Windows Server 2003 新增默认设置为仅使用 NTLMv2。 默认情况下，基于 Windows Server 2003 和 Windows 2000 Server SP3 的域控制器已启用“Microsoft网络服务器：始终) (对通信进行数字签名”策略。 此设置要求 SMB 服务器执行 SMB 数据包签名。 之所以对 Windows Server 2003 进行更改，是因为任何组织中的域控制器、文件服务器、网络基础结构服务器和 Web 服务器都需要不同的设置来最大限度提高其安全性。
如果要在网络中实现 NTLMv2 身份验证，则必须确保域中的所有计算机都设置为使用此身份验证级别。 如果将 Active Directory 客户端扩展应用到 Windows 95、Windows 98 和 Windows NT 4.0，则客户端扩展将使用 NTLMv2 中提供的改进身份验证功能。 由于运行以下任何操作系统的客户端计算机不受 Windows 2000 组策略对象的影响，因此您可能需要手动配置这些客户端：
- Microsoft Windows NT 4.0
- Microsoft Windows Millennium Edition
- Microsoft Windows 98
- Microsoft Windows 95
注意：如果启用 网络安全：不在下一次密码更改策略时存储 LAN 管理器哈希值 或设置 NoLMHash 注册表项，则未安装目录服务客户端的基于 Windows 95 和基于 Windows 98 的客户端无法在更改密码后登录到域。
许多第三方 CIFS 服务器（如 Novell Netware 6）不知道 NTLMv2，并且仅使用 NTLM。 因此，级别大于 2 时不允许连接。 还有一些不使用扩展会话安全性的第三方 SMB 客户端。 在这些情况下，不会考虑资源服务器的 LmCompatiblityLevel。 然后，服务器打包此旧请求并将其发送到用户域控制器。 然后，域控制器上的设置决定使用哪些哈希值来验证请求，以及这些哈希值是否满足域控制器的安全要求。
299656 如何防止 Windows 在 Active Directory 和本地 SAM 数据库中存储密码的 LAN 管理器哈希
2701704 审核事件将身份验证包显示为 NTLMv1 而不是 NTLMv2 有关 LM 身份验证级别的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
239869 如何启用 NTLM 2 身份验证
风险配置
以下是有害的配置设置：
以明文格式发送密码并拒绝 NTLMv2 协商的非限制性设置
阻止不兼容的客户端或域控制器协商常见身份验证协议的限制性设置
要求在运行早于 Service Pack 4 (SP4 的 Windows NT 4.0 版本的成员计算机和域控制器上进行 NTLMv2 身份验证)
要求在 Windows 95 客户端或未安装 Windows 目录服务客户端的 Windows 98 客户端上进行 NTLMv2 身份验证。
如果在基于 Windows Server 2003 或 Windows 2000 Service Pack 3 的计算机上单击以选中 Microsoft 管理控制台组策略编辑器管理单元中的“需要 NTLMv2 会话安全检查框，并将 LAN 管理器身份验证级别降低到 0，则这两个设置会发生冲突，并且可能会在 Secpol.msc 文件或 GPEdit.msc 文件中收到以下错误消息：
注意
Windows 无法打开本地策略数据库。 尝试打开数据库时出现未知错误。
有关安全配置和分析工具的更多信息，请参见 Windows 2000 或 Windows Server 2003 帮助文件。
修改此设置的原因
- 你希望增加组织中的客户端和域控制器支持的最低通用身份验证协议。
- 如果安全身份验证是业务要求，则需要禁止 LM 和 NTLM 协议协商。
禁用此设置的原因
客户端或服务器身份验证要求（或两者兼而有之）已增加到无法通过通用协议进行身份验证的程度。
符号名称：
LmCompatibilityLevel
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel兼容性问题示例
Windows Server 2003：默认情况下，启用 Windows Server 2003 NTLMv2 发送 NTLM 响应设置。 因此，当你尝试连接到基于 Windows NT 4.0 的群集或基于 LanManager V2.1 的服务器（如 OS/2 Lanserver）时，Windows Server 2003 在初始安装后会收到“拒绝访问”错误消息。 如果尝试从早期版本的客户端连接到基于 Windows Server 2003 的服务器，也会出现此问题。
您安装 Windows 2000 安全汇总包 1 (SRP1) 。SRP1 强制 NTLM 版本 2 (NTLMv2) 。 此汇总包是在 Windows 2000 Service Pack 2 (SP2) 发布后发布的。
Windows 7 和 Windows Server 2008 R2：许多第三方 CIFS 服务器（如 Novell Netware 6 或基于 Linux 的 Samba 服务器）不知道 NTLMv2，仅使用 NTLM。 因此，大于“2”的级别不允许连接。 现在在此版本的操作系统中，LmCompatibilityLevel 的默认值已更改为“3”。 因此，升级 Windows 时，这些第三方文件可能会停止工作。
即使 Microsoft Outlook 客户端已登录到域，也可能提示其输入凭据。 当用户提供其凭据时，他们会收到以下错误消息： Windows 7 和 Windows Server 2008 R2
注意
提供的登录凭据不正确。 请确保用户名和域正确，然后再次键入密码。
启动 Outlook 时，即使“登录网络安全”设置为“传递”或“密码身份验证”，系统也可能会提示你输入凭据。 键入正确的凭据后，可能会收到以下错误消息：
注意
提供的登录凭据不正确。
网络监视器跟踪可能会显示全局编录 (RPC 发出了远程过程调用) 状态为 0x5。 状态为 0x5表示“拒绝访问”。
Windows 2000：网络监视器捕获可能会在 SMB) 会话 (NetBIOS over TCP/IP (NetBT) 服务器消息块中显示以下错误：
注意
SMB R 搜索目录 Dos 错误， (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) 无效的用户标识符
Windows 2000：如果具有 NTLMv2 级别 2 或更高版本的 Windows 2000 域受 Windows NT 4.0 域的信任，则资源域中基于 Windows 2000 的成员计算机可能会遇到身份验证错误。
Windows 2000 和 Windows XP：默认情况下，Windows 2000 和 Windows XP 将 LAN 管理器身份验证级别本地安全策略选项设置为 0。 设置为 0 表示“发送 LM 和 NTLM 响应”。
注意：基于 Windows NT 4.0 的群集必须使用 LM 进行管理。
Windows 2000：如果两个节点都属于 Windows NT 4.0 Service Pack 6a (SP6a) 域，则 Windows 2000 聚类分析 不会对加入节点进行身份验证。
IIS 锁定工具 (HiSecWeb) 将 LMCompatibilityLevel 值设置为 5，RestrictAnonymous 值设置为 2。
Macintosh 服务
用户身份验证模块 (UAM) ：Microsoft UAM (用户身份验证模块) 提供了一种加密用于登录 Windows AFP (AppleTalk Filing Protocol) 服务器的密码的方法。 UAM) (Apple 用户身份验证模块仅提供最低限度的加密或不提供任何加密。 因此，您的密码很容易在 LAN 或 Internet 上被拦截。 虽然不需要 UAM，但它确实会向运行 Services For Macintosh 的 Windows 2000 服务器提供加密身份验证。 此版本包括对 NTLMv2 128 位加密身份验证的支持以及与 MacOS X 10.1 兼容的版本。
默认情况下，Windows Server 2003 Services for Macintosh 服务器仅允许 Microsoft 身份验证。
Windows Server 2008、Windows Server 2003、Windows XP 和 Windows 2000： 如果将 LMCompatibilityLevel 值配置为 0 或 1，然后将 NoLMHash 值配置为 1，则应用程序和组件可能会被拒绝通过 NTLM 进行访问。 出现此问题的原因是计算机配置为启用 LM，但不使用 LM 存储的密码。
如果将 NoLMHash 值配置为 1，则必须将 LMCompatibilityLevel 值配置为 2 或更高。
网络安全： LDAP 客户端签名要求
背景信息
网络安全： LDAP 客户端签名要求设置确定代表发出轻型目录访问协议 (LDAP) BIND 请求的客户端请求的数据签名级别，如下所示：
- 无：使用调用方指定的选项发出 LDAP BIND 请求。
- 协商签名：如果安全套接字层/传输层安全 (SSL/TLS) 尚未启动，则除了调用方指定的选项外，还将使用设置 LDAP 数据签名选项启动 LDAP BIND 请求。 如果 SSL/TLS 已启动，则使用调用方指定的选项启动 LDAP BIND 请求。
- 需要签名：这与协商签名相同。 但是，如果 LDAP 服务器的中间 saslBindInProgress 响应未指示需要 LDAP 流量签名，则会告知调用方 LDAP BIND 命令请求失败。
风险配置
启用网络安全：“LDAP 客户端签名要求”设置是一种有害的配置设置。 如果将服务器设置为需要 LDAP 签名，则还必须在客户端上配置 LDAP 签名。 未将客户端配置为使用 LDAP 签名将阻止与服务器通信。 这将导致用户身份验证、组策略设置、登录脚本和其他功能失败。
修改此设置的原因
未经签名的网络通信容易受到中间人攻击，入侵者会捕获客户端和服务器之间的数据包，修改它们，然后将它们转发到服务器。 当这发生在 LDAP 服务器上时，攻击者可能会导致服务器根据来自 LDAP 客户端的虚假查询进行响应。 您可以通过实施强大的物理安全措施来帮助保护网络基础设施，从而降低企业网络中的这种风险。 此外，还可以通过要求通过 IPSec 身份验证标头对所有网络数据包进行数字签名，从而帮助防止各种中间人攻击。
符号名称：
LDAPClientIntegrity
注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
事件日志：安全日志大小上限
背景信息
“事件日志： 最大安全日志大小”安全设置指定安全事件日志的最大大小。 此日志的最大大小为 4 GB。 若要找到此设置，请展开
Windows 设置，然后展开 “安全设置”。风险配置
以下是有害的配置设置：
- 启用“审核： 如果无法记录安全审核”设置立即关闭系统时，限制安全日志大小和安全日志保留方法。 有关更多详细信息，请参阅本文的“审核：如果无法记录安全审核则立即关闭系统”部分。
- 限制安全日志大小，以便覆盖感兴趣的安全事件。
增加此设置的原因
业务和安全要求可能要求您增加安全日志大小以处理其他安全日志详细信息或将安全日志保留更长的时间。
降低此设置的原因
事件查看器日志是内存映射文件。 事件日志的最大大小受本地计算机中的物理内存量和可用于事件日志进程的虚拟内存的限制。 增加日志大小超过事件查看器可用的虚拟内存量不会增加维护的日志条目数量。
兼容性问题示例
Windows 2000：运行早于 Service Pack 4 (SP4) 的 Windows 2000 版本的计算机可能会在达到 事件查看器 中“最大日志大小”设置中指定的大小之前停止在事件日志中记录事件，前提是“不覆盖事件 (手动清除日志) ”选项。
事件日志： 保留安全日志
背景信息
“事件日志：保留安全日志”安全设置确定安全日志的“包装”方法。 要查找此设置，请展开 “Windows 设置”，然后展开 “安全设置”。
风险配置
以下是有害的配置设置：
- 在覆盖之前无法保留所有记录的安全事件
- 配置的最大安全日志大小设置太小，导致安全事件被覆盖
- 在启用“审核时限制安全日志大小和保留方法： 如果无法记录安全审核则立即关闭系统”安全设置
启用此设置的原因
仅当选择“ 按天数覆盖事件 ”保留方法时，才启用此设置。 如果您使用轮询事件的事件相关系统，请确保天数至少是轮询频率的三倍。 执行此操作以允许失败的轮询周期。
网络访问： 将 Everyone 权限应用于匿名用户
背景信息
默认情况下，Windows Server 2003 上的“网络访问：将所有人权限应用于匿名用户”设置设为“未定义”。 默认情况下，Windows Server 2003 不包括 Everyone 组中的匿名访问令牌。
兼容性问题示例
以下值
当 Windows Server 2003 域是帐户域，而 Windows NT 4.0 域是资源域时，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous [REG_DWORD]=0x0 中断了 Windows Server 2003 和 Windows NT 4.0 之间信任的创建。 这意味着帐户域在 Windows NT 4.0 上是受信任的，而资源域在 Windows Server 2003 端是受信任的。 发生此行为的原因是在初始匿名连接后启动信任的过程已使用包含 Windows NT 4.0 上的匿名 SID 的 Everyone 令牌进行 ACL。修改此设置的原因
该值必须设置为 0x1 或通过在域控制器的 OU 上使用 GPO 设置为： 网络访问： 将 Everyone 权限应用于匿名用户 - 启用以使信任创建成为可能。
注意 在最安全状态下，大多数其他安全设置的值会上升，而不是下降到0x0。 更安全的做法是在主域控制器模拟器上而不是所有域控制器上更改注册表。 如果出于任何原因移动了主域控制器模拟器角色，则必须在新服务器上更新注册表。
设置此值后，需要重新启动。
注册表路径
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
NTLMv2 身份验证
会话安全性
会话安全性决定了客户端和服务器会话的最低安全标准。 最好在 Microsoft 管理控制台组策略编辑器管理单元中验证以下安全策略设置：
- 计算机设置\Windows 设置\安全设置\本地策略\安全选项
- 网络安全：基于 NTLM SSP 的 (（包括安全 RPC) 服务器）的最低会话安全性
- 网络安全：基于 NTLM SSP 的 (（包括安全 RPC) 客户端）的最低会话安全性
这些设置的选项如下所示：
- 要求消息完整性
- 要求消息保密性
- 需要 NTLM 版本 2 会话安全性
- 需要 128 位加密
Windows 7 之前的默认设置为“无要求”。 从 Windows 7 开始，默认值更改为需要 128 位加密以提高安全性。 在此默认情况下，不支持 128 位加密的旧设备将无法连接。
这些策略确定客户端服务器上应用程序到应用程序通信会话的最低安全标准。
请注意，尽管描述为有效设置，但在确定 NTLM 会话安全性时并未使用要求消息完整性和机密性的标志。
以往，Windows NT 支持以下两种变体的质询/响应身份验证以用于网络登录：
- LM 质询/响应
- NTLM 版本 1 质询/响应
LM 允许与客户端和服务器的已安装基础进行互操作。 NTLM 为客户端和服务器之间的连接提供了改进的安全性。
相应的注册表项如下所示：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec”
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec”风险配置
此设置控制如何处理使用 NTLM 保护的网络会话。 例如，这会影响通过 NTLM 身份验证的基于 RPC 的会话。 存在以下风险：
- 由于使用的哈希方法更简单，使用比 NTLMv2 更旧的身份验证方法会使通信更容易受到攻击。
- 使用低于 128 位的加密密钥允许攻击者使用暴力攻击中断通信。
时间同步
时间同步失败。 受影响计算机上的时间延迟了 30 分钟以上。 确保客户端计算机的时钟与域控制器的时钟同步。
SMB 签名的解决方法
我们建议你在基于 Windows Server 2003 的域中互操作的 Windows NT 4.0 客户端上安装 Service Pack 6a (SP6a) 。 基于 Windows 98 Second Edition 的客户端、基于 Windows 98 的客户端和基于 Windows 95 的客户端必须运行目录服务客户端才能执行 NTLMv2。 如果基于 Windows NT 4.0 的客户端未安装 Windows NT 4.0 SP6，或者基于 Windows 95 的客户端、基于 Windows 98 的客户端和基于 Windows 98SE 的客户端未安装目录服务客户端，请在域控制器的 OU 上的默认域控制器策略设置中禁用 SMB 登录，然后将此策略链接到托管域控制器的所有 OU。
Windows 98 第二版、Windows 98 和 Windows 95 目录服务客户端将在 NTLM 身份验证下对 Windows 2003 服务器执行 SMB 签名，但在 NTLMv2 身份验证下不执行。 此外，Windows 2000 服务器将不会响应来自这些客户端的 SMB 签名请求。
尽管我们不建议这样做，但您可以阻止在域中运行 Windows Server 2003 的所有域控制器上要求 SMB 签名。 要配置此安全设置，请按照下列步骤操作：
- 打开默认域控制器的策略。
- 打开“计算机配置\Windows 设置\安全设置\本地策略\安全选项”文件夹。
- 找到并单击 Microsoft 网络服务器： 始终) 策略设置 (对通信进行数字签名，然后单击“已禁用”。
重要：本节、方法或任务包含如何修改注册表的步骤。 但如果注册表修改不当，可能造成严重问题。 因此，请务必仔细遵循以下步骤。 为增强保护，请在修改前备份注册表。 如果出现问题，可以还原注册表。 有关如何备份和还原注册表的更多信息，请单击下面的文章编号查看 Microsoft 知识库中相应的文章：
322756 如何在 Windows 中备份和还原注册表 或者，通过修改注册表来关闭服务器上的 SMB 签名。 请按以下步骤完成此操作：
- 单击“开始”，单击“运行”，键入 regedit，然后单击“确定”。
- 找到并单击下面的子项：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters - 单击 enablesecuritysignature 条目。
- 在“编辑”菜单上，单击“修改”。
- 在 “值数据 ”框中，键入 0，然后单击 “确定”。
- 退出注册表编辑器。
- 重新启动计算机，或停止然后重启服务器服务。 为此，请在命令提示符处键入以下命令，然后在键入每个命令后按 Enter：
net stop server
net start server
注意：客户端计算机上相应的密钥位于以下注册表子项中：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters 下面列出了转换为状态代码和前面提到的逐字错误消息的错误代码编号：
注意
错误 5
ERROR_ACCESS_DENIED
Access is denied.
注意
错误 1326
ERROR_LOGON_FAILURE
登录失败: 用户名未知或密码错误。
注意
错误 1788
ERROR_TRUSTED_DOMAIN_FAILURE
主域和受信任的域之间的信任关系失败。
注意
错误 1789
ERROR_TRUSTED_RELATIONSHIP_FAILURE
此工作站和主域之间的信任关系失败。
有关更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
324802 如何在 Windows Server 2003 中配置组策略以设置系统服务的安全性
816585 如何在 Windows Server 2003 中应用预定义的安全模板