浮雲雅築: AD Domain

顯示具有 AD Domain 標籤的文章。顯示所有文章

2024年11月20日星期三

[研究] Active Directory 網域 (AD Domain) 服務安裝 (Windows Server 2025)

[研究] Active Directory 網域 (AD Domain) 服務安裝 (Windows Server 2025)

2024-11-20

如果要建立第二台DC，請看這篇。

[研究] Active Directory (AD) 網域加入第二台DC (Domain Controller) (Win2019、2022)
https://shaurong.blogspot.com/2022/09/active-directory-ad-dc-domain.html

(完)

相關

[研究] Active Directory 網域 (AD Domain) 服務安裝 (Windows Server 2025)
https://shaurong.blogspot.com/2024/11/active-directory-ad-domain-windows.html

[研究] Active Directory 網域 (AD Domain) 服務安裝 (Windows Server 2022)
https://shaurong.blogspot.com/2022/09/active-directory-ad-windows-server-2022.html

[研究]Windows Server 2019 + AD + DC + GCB 升級 Windows Server 2022
https://shaurong.blogspot.com/2022/09/windows-server-2019-ad-dc-gcb-windows.html

[研究] 降級網域控制站和網域 (Win2019)
https://shaurong.blogspot.com/2020/07/blog-post.html

[研究] AD (Active Directory)網域控制站 (Domain Controller, DC) 安裝 SQL Server 2017成功(Windows 2016)
https://shaurong.blogspot.com/2018/12/ad-domain-controller-dc-sql-server.html

[研究] Active Directory (AD) 網域服務安裝 (Windows Server 2019)
https://shaurong.blogspot.com/2018/12/active-directory-windows-server-2019.html

[研究] Active Directory (AD) 網域服務安裝 (Windows Server 2016)
https://shaurong.blogspot.com/2016/12/active-directory-ad-windows-server-2016.html

[研究] Active Directory (AD) 網域服務安裝 (Windows Server 2012 R2)
https://shaurong.blogspot.com/2015/05/active-directory-windows-server-2012-r2.html

[研究] Active Directory (AD) 網域服務安裝 (Windows Server 2008 R2)
https://shaurong.blogspot.com/2015/11/active-directory-ad-windows-server-2008.html

GCB 相關

政府組態基準(Government Configuration Baseline，簡稱GCB)
https://www.nccst.nat.gov.tw/GCB

[研究] 套用 GCB 後資料庫連不上
https://shaurong.blogspot.com/2021/09/gcb.html

[研究][GCB] WindowsServer2016AccountSettings原則對 SQL Server 2019服務之影響測試
https://shaurong.blogspot.com/2020/09/gcb-windowsserver2016accountsettings.html

[研究][GCB] GCB套用後，SQL Server 2019匯入功能不能用
https://shaurong.blogspot.com/2020/09/gcb-gcbsql-server-2019.html

[研究][GCB]重新命名系統管理員帳戶(Administrator)為其他 (Windows 2019)
https://shaurong.blogspot.com/2020/07/gcbadministrator-windows-2019.html

[研究] 先套用GCB後安裝SQL Server 2019測試
https://shaurong.blogspot.com/2020/07/gcbsql-server-2019.html

[研究][GCB] Windows 2019 AD 主機套用 GCB、啟用、停用
https://shaurong.blogspot.com/2020/07/gcb-windows-2019-ad-gcb.html

[研究] 已安裝SQL Server 2019後套用GCB測試
https://shaurong.blogspot.com/2020/07/sql-server-2019gcb_3.html

[研究][GCB]遠端桌面連線出現「系統管理員已限制您可以使用的登入類型 (網路或互動式)。」
https://shaurong.blogspot.com/2020/07/gcb.html

[研究][GCB]LGPO.exe試用 (Windows 2019)
https://shaurong.blogspot.com/2020/07/gcblgpoexe.html

[研究][GCB]LocalGPO.msi試用 (Windows 2019)
https://shaurong.blogspot.com/2020/06/gcblocalgpomsi.html

[研究][GCB] Microsoft Security Compliance Manager 4.0 安裝試用
https://shaurong.blogspot.com/2020/06/gcb-microsoft-security-compliance.html

2024年2月3日星期六

[研究][GCB]退出 GCB AD Domain，用 LGPO.exe 套用 GCB GPO 注意事項

[研究][GCB]退出 GCB AD Domain，用 LGPO.exe 套用 GCB GPO 注意事項

2023-02-03

因為某些緣故，Windows Server 2019/2022 主機要退出 GCB AD Domain (變回 WORKGROUP)，用 LGPO.exe 套用 GCB GPO。

這篇是因為在 GCB AD Domain, AD Domain, GCB 踢了些鐵板、遇到了些麻煩，分享的經驗。

****************************************

【退 AD 前】

Windows Server 2019/2022

1.退 AD 後，因為沒了 GCB Ad Domain，Windows 本機帳號 renamed_admin 會回復為 administrator。 (但過程沒讓你重設 administrator 密碼，你還記得密碼嗎？)

2.(可以等退 AD 後再做，但建議先做)

建議替管理員 user1, user2, ... 建立 Windows Server 2019/2022 本機帳號，並加入 administrator 群組，以防萬一。

(曾遇過某系統退 AD 後，aadministrator 登入成功，但畫面全黑，無法操作使用；user1登入則正常；若不是先建立了其他 administrators 群組的帳號就慘了)

SQL Server 2019/2022

1.建議把「維護計畫」砍了，之後再重建和測試；

因為目前用 GcbAdDomain\user1 帳號執行，退 AD 後不能跑，刪除又有權限問題要處理，麻

煩。

2.SSMS 中新增 "SQL Server驗證" 的 user2 和 user1 帳號，伺服器角色全勾，免得退 AD 後，GcbAdDomain\user1 和 GcbAdDomain\user2 等 sysadmin 等級帳號都沒了。

3.因為 sa 以前就改名和關閉了，可以考慮新名稱改回為 sa，啟用，設定密碼。

4.以退 AD 前，SQL Server 可能有下面帳號

GcbAdDomain\administrator (退AD後，可能還在，但可能無法登入)

GcbAdDomain\user1 (退AD後，可能還在，但可能無法登入)

GcbAdDomain\user2 (退AD後，可能還在，但可能無法登入)

Win2022Web\administrator

Win2022Web\user1 (本機帳號，"Windows 驗證"，本機 administrators 群組，預防萬一，建議有)

Win2022Web\user2 (本機帳號，"Windows 驗證"，本機 administrators 群組)

sa (可能已經停用改名，可考慮啟用，設定密碼，"SQL Server 驗證" 的最高等級帳號是 sa，不是稱為 administrator )

user1 ("SQL Server 驗證"，具有 sysadmin 等所有角色，預防萬一，建議有)

user2 ("SQL Server 驗證"，具有 sysadmin 等所有角色，預防萬一)

MyWebServer (網站系統帳號，"SQL Server驗證"，但只有特定 Database Owner 權限，沒有 sysadmin 等級權限)

****************************************

【退 AD】

建議用 AD Domain 的 administrator / Renamed_Admin 來退出。

( 雖然 Win2022Web 本機的 administrator 也可以退出，但狀況不同 )

****************************************

【退 AD 後】

測試一下 administrator 和 user1 可否登入。

註1：某系統退 AD 後，aadministrator 登入成功，但畫面全黑，無法操作使用；user1登入則正常；若不是先建立了其他 administrators 群組的帳號就慘了。

註2：某系統退 AD 後，有 Renamed_Admin 帳號，沒 administrator 帳號，可能是以前加入 AD Domain 前，就改名了。

****************************************

【用 LGPO.exe 套 GCB 】

需要「系統管理員」層級的「命令提示字元」環境才行。

1. 將目前的群組原則備份

mkdir D:\LGPO\BACKUP (LGPO.exe 不會自動建立目錄，要手動建立)

cd LGPO

LGPO.exe /b D:\LGPO\BACKUP (目錄必須已經存在)

註：LGPO.exe 的備份，只會對有人為設定的值備份，如果原來是 "尚未定義"，而你套用的 GCB 改了它，備份檔可能是無法還原到 "尚未定義" 的，如果是有關 "權限" 的設定因 GCB 而喪失，後果可能嚴重。

就算仍有足夠權限解決問題，也要知道如何解決，例如稍後會提到的 SQL Server 服務被停用了。

2. 清空(刪除)目前的群組原則

RD /S /Q C:\Windows\System32\GroupPolicy

3. 將需要的設定檔匯入

LGPO.exe /g D:\LGPO\GCB_Rules

4. 強制更新，立即生效

gpupdate /force

(理論上這樣就不用 reboot Windows，但實際上放一晚隔間去檢視 "事件檢視器"，套用後若沒立刻重新啟動 Windows，會開始有些異常狀況，建議不用做此步驟，直接 "立即" "重新開機"。

5. 立即重新開機

shutdown /r /f /t 00

****************************************

【SQL Server 無法用了】

如果有使用 SQL Server，立刻執行 gpedit.msc，左邊樹狀結構展開

本機電腦原則/電腦設定/Windows 設定/安全性設定/本機原則/使用者權限指派

右邊找到「以服務方式登入」把下面2個加入 (第一個必須，如果有使用「維護精靈」或 SQL Server Agent 相關工作，第2個也必須)

NT SERVICE\MSSQLSERVER

NT SERVICE\SQLSERVERAGENT

如果不確定要加入甚麼，點 Windows 桌面左下角「開始」按紐，選

「Windows 系統管理工具」/「服務」，找到 "SQL Server (MSSQLServer)"，

Click，點選 "登入" 頁籤，看 "這個帳戶" 欄位使用哪個帳號啟動 SQL Server，

一般應該是 "NT SERVICE\MSSQLSERVER"

其他可能用到的服務 (依各自機器安裝軟體和設定不同，而可能不同)

LOCAL SERVICE
SQLServer2005SQLBrowserUser$WIN2019STD
SQLServerMSASUser$WIN2019STD$MSSQLSERVER
NT SERVICE\ALL SERVICES
NT SERVICE\SSISScaleOutWorker150
NT SERVICE\SQL Server Distributed Replay Controller
NT SERVICE\SSASTELEMETRY
NT SERVICE\SSISTELEMETRY150
NT SERVICE\SQLTELEMETRY
NT SERVICE\MSSQLServerOLAPService
NT SERVICE\MsDtsServer150
NT SERVICE\SQL Server Distributed Replay Client
NT SERVICE\MSSQLFDLauncher
NT SERVICE\SQLSERVERAGENT
NT SERVICE\MSSQLSERVER
IIS APPPOOL\Classic .NET AppPool
IIS APPPOOL\.NET v4.5
IIS APPPOOL\.NET v2.0
IIS APPPOOL\.NET v4.5 Classic
IIS APPPOOL\.NET v2.0 Classic
IIS APPPOOL\TestWebSite

****************************************

【後續測試和設定】

1.測試 Web Server 是否正常運作。

2.進入 SQL Server Management Studio 19.x，用下面 2個都測試看看，

Win2022Web\user1 (本機帳號，"Windows 驗證"，本機 administrators 群組)
user1 ("SQL Server 驗證"，具有 sysadmin 等所有角色，預防萬一)

要用 Win2022Web\user1 (本機帳號，"Windows 驗證") 登入 SSMS，Windows Server 2019/2022 就必須用 user1 登入。

註1：敝人碰過有些主機用 user1 ("SQL Server 驗證") 居然無法登入 SSMS 的狀況，但有些主機可用 user1 登入 SSMS，砍掉重建後，可以正常登入。

註2：敝人碰過有些主機用 Win2022Web\user1 (本機帳號，"Windows 驗證") 無法登入 SSMS 的狀況，後來發現是 Windows Hostname 曾經異動過的關係。當時沒有任何其他能成功登入 SSMS 的帳號了，後來把 Windows Hostname 改回原來的，才成功登入 SSMS。

註2A：某些軟體，Windows hostname 一但變更，會無法用，若再改回，有些是可以成功再使用，但遇過某軟體，hostname 改回仍會部份功能或所有功能無法再使用，注意。

註3：敝人碰過 sysadmin 等級帳號登入 SSMS 後，然後某操作，居然有權限問題，所以前面建議「角色」不要只勾 sysadmin，乾脆全勾選。

3.測試看看 Web Server 是否仍可正常瀏覽。

4.重新用 SSMS 建立 "維護計畫"，執行看看能否成功。

(完)

相關

[研究][GCB]退出 GCB AD Domain，用 LGPO.exe 套用 GCB GPO 注意事項https://shaurong.blogspot.com/2024/02/gcb-gcb-ad-domain-lgpoexe-gcb-gpo.html

[研究]GCB套用前後，Windows「帳戶原則」(密碼原則、帳戶鎖定原則)對比
https://shaurong.blogspot.com/2024/02/gcbwindows.html

[研究]GCB套用前後，「本機原則」(稽核原則、使用者權限指派、安全性原則)對比
https://shaurong.blogspot.com/2024/02/gcb.html

[研究]SQL Server的sa帳號改名或關閉，「維護計畫」失敗之解決
https://shaurong.blogspot.com/2024/02/sql-serversa.html

[研究]GCB 套用與 Splunk Server、Splunk Universal Forwarder 影響
https://shaurong.blogspot.com/2024/02/gcb-splunk-serversplunk-universal.html

[研究]GCB 套用與 ArcSight 影響
https://shaurong.blogspot.com/2024/02/gcb-arcsight.html

[研究]GCB 套用與趨勢科技 Trend Micro Deep Security Agent (DSA) 影響
https://shaurong.blogspot.com/2024/02/gcb-trend-micro-deep-security-agent-dsa.html

[研究]GCB 套用與 EDR 影響
https://shaurong.blogspot.com/2024/02/gcb-edr.html

[研究]GCB 套用與神網資訊資產管理(VANS導入) 影響
https://shaurong.blogspot.com/2024/02/gcb-vans.html

[研究]GCB 套用與 Windows 遠端桌面影響
https://shaurong.blogspot.com/2024/02/gcb-windows.html

[研究][GCB]遠端桌面連線出現「系統管理員已限制您可以使用的登入類型 (網路或互動式)。」https://shaurong.blogspot.com/2020/07/gcb.html

[研究][GCB]AD (Active Directory) 您嘗試連線的遠端電腦需要網路層級的驗證(NLA)，但無法聯絡您的 Windows 網域控制站以執行 NLA。
https://shaurong.blogspot.com/2022/09/gcbad-active-directory-nla-windows-nla.html

2024年1月30日星期二

[研究]本機退出 AD Domain 所需權限測試

[研究]本機退出 AD Domain 所需權限測試

2024-01-30

環境：Windows Server 2022 (本機) + Windows Server 2022 ( AD Domain 的 DC )

此 AD Domain 並無套用政府組態基準(Government Configuration Baseline，簡稱GCB)。

********************************************************************************

User

本機 (Windows Server 2022，PC1)、AD Domain DC (Windows Server 2022，PC2)

PC1上，用本機的 administrator 來退出 AD Domain，和 PC1 上用 AD Domain 的administrator 來退出 AD Domain，有差別嗎 ?

ChatGPT

在這種情況下，當你在 PC1 上使用本地的 administrator 帳戶退出 AD 網域和使用 PC1 上的 AD 網域管理員帳戶退出 AD 網域時，確實存在一些差異：

1.使用本機 administrator 帳號退出 AD 網域：

透過本機管理員帳號退出網域，PC1 將不再作為網域成員存在，且與網域之間的信任關係將解除。
PC1 的本機管理員帳戶將成為該電腦的最高權限用戶，但會失去與網域相關的權限和配置。

2.使用 PC1 上的 AD 網域管理員帳號退出 AD 網域：

透過 AD 網域管理員帳戶退出網域，PC1 也將不再作為網域成員存在，但與網域的關係會以另一種方式解除。
PC1 將保留電腦物件和與網域相關的設定文件，這表示重新加入網域時，可以更輕鬆地恢復到先前的網域設定。

總的來說，使用PC1 上的AD 網域管理員帳戶退出網域會保留更多與網域相關的配置和權限，而使用本機管理員帳戶退出網域將導致PC1 完全與網域斷開，並且失去與網域相關的一切設定。

********************************************************************************

結論：雖然本機 administrator 無法把本機加入 AD Domain，但可以退出 AD Doamin；但似乎用 AD Domain 的 administrator 來退出 AD Domain 會比較好。

(完)

相關

[研究]退出 GCB AD Domain 成功，但實際上沒有完全成功
https://shaurong.blogspot.com/2024/01/gcb-ad-domain.html

[研究][GCB][AD]SQL Server 2019 登入失敗：無法連線至。使用者的登入失敗。(Microsoft SQL Server, 錯誤: 18456)
https://shaurong.blogspot.com/2024/01/sql-server-2019-microsoft-sql-server.html

[研究]GCB，Windows 2019、2022 Common 排除評估
https://shaurong.blogspot.com/2024/01/gcbwindows-20192022-common.html

[研究]本機加入 AD Domain 所需權限測試
https://shaurong.blogspot.com/2024/01/ad-domain.html

[研究]本機退出 AD Domain 所需權限測試
https://shaurong.blogspot.com/2024/01/ad-domain_30.html