Client für zwei Domains konfigurieren

[grizzly999 11]

Also, ein Computer kann nur EINE SID haben, entweder aus der einen Domäne oder aus der anderen. Die bekommt er beim Domänenbeitritt. Die Sache von oben. mit in zwei Doms ohne Reboot und so .... :suspect: :suspect:

 

Mein Tipp: Finger weg, auch von solchen Tolls wie NetSwtichers u.a. bei Rechnern, die in Domänen sind (habe ich auch schon wenig erfolgreich getestet)

 

Ist aber nur mein Tipp ;)

grizzly999

[BABA 11]

@Gulp

Wir haben ne Schulungsumgebung.

Drei völlig unabhängige Domänen zu verschiedenen Testzwecken.

Das Laptop ist in allen drei Domänen Mitglied und meldet sich auch nacheinander in den drei Domänen an.

 

Gruß

Baba

 

PS: keine Fehlermeldung

[blub 115]

Hi Baba,

Das Notebook ist sicher nur jeweils in einer Domäne Mitglied. Natürlich kannst du das Notebook beliebig oft aus einer Domäne raus und in eine andere Domäne aufnehmen, sofern du die notwendigen Domänenrechte (z.b. domain admins) hast.

cu

blub

[lefg 276]

Als nächstes habe ich die Vertrauensstellung zwischen lubeca.wak.de und domain.local deaktiviert. Danach war eine Anmeldung an Lubeca nicht mehr möglich.

 

Dann habe ich R202-Admin von domain.local wieder nach lubeca.wak.de genommen. In beiden Domänen ist das Computerkont nun deaktiviert.

 

Eine Anmeldung ist an Lubeca wieder möglich, an domain nicht mehr.

[madbull 10]

Jetz muss ich des wohl doch mal selber ausprobieren weil eigentlich was ich bis jetz der meinung von blub grizzly das ein rechner nur jeweil in einer domäne sein kann.

 

und deine posts bringen mich schon schon mal aus der ruhe :D

 

 

^^öhm

 

was willst du uns damit sagen lefg

[BABA 11]

Hi blub,

 

ist mir schon logisch.

 

Gefragt wurde ja ob man sich mit einem Laptop in zwei Domänen anmelden kann.

 

Gruß

Baba

[madbull 10]

Also meinst du doch das man dafür jedes mal das laptop aus einer domäne abmeldet und in die andere donäme aufnimmer, bevor man sich als benutzer anmeldet.

 

ich habe dedacht das du meinst das dein laptop gleichzeitig mitglied aller drei domänen ist ohne das du den aus der einen domäne raus und in die andere reinzutun.

[lefg 276]

Also, ein Computer kann nur EINE SID haben, entweder aus der einen Domäne oder aus der anderen. Die bekommt er beim Domänenbeitritt.

@Grizzly999

 

Ich hatte schon mal beobachtet, die SID eines Rechners ändert sich durch einen Domänenbeitritt nicht.

 

Im Rahmen meiner Versuche mit dem Ändern der Domänenzugehörigkeit (in diesem Thread) habe ich die Rechner-SID jeweils mit psgetsid ausgelesen und keine Änderung beobachten können.

 

Gruß

 

Edgar

[Gulp 226]

@Grizzly999

 

Ich hatte schon mal beobachtet, die SID eines Rechners ändert sich durch einen Domänenbeitritt nicht.

 

Im Rahmen meiner Versuche mit dem Ändern der Domänenzugehörigkeit (in diesem Thread) habe ich die Rechner-SID jeweils mit psgetsid ausgelesen und keine Änderung beobachten können.

 

Gruß

 

Edgar

 

Stimmt die Rechner SID bleibt gleich, ist ja auch eine lokale SID, die im ADS keine Rolle spielt. Wohl aber in der Kommunikation von Client zu Client (auch das solls in Domänen ja geben) ...

 

Hier ein Auszug aus http://www.sysinternals.com/Utilities/NewSid.html (den Edgar abe sicher schon kennt ;) ):

 

The SID Duplication Problem

 

The problem with cloning is that it is only supported by Microsoft in a very limited sense. Microsoft has stated that cloning systems is only supported if it is done before the GUI portion of Windows Setup has been reached. When the install reaches this point the computer is assigned a name and a unique computer SID. If a system is cloned after this step the cloned machines will all have identical computer SIDs. Note that just changing the computer name or adding the computer to a different domain does not change the computer SID. Changing the name or domain only changes the domain SID if the computer was previously associated with a domain.

 

To understand the problem that cloning can cause, it is first necessary to understand how individual local accounts on a computer are assigned SIDs. The SIDs of local accounts consist of the computer's SID and an appended RID (Relative Identifier). The RID starts at a fixed value, and is increased by one for each account created. This means that the second account on one computer, for example, will be given the same RID as the second account on a clone. The result is that both accounts have the same SID.

 

Duplicate SIDs aren't an issue in a Domain-based environment since domain accounts have SID's based on the Domain SID. But, according to Microsoft Knowledge Base article Q162001, "Do Not Disk Duplicate Installed Versions of Windows NT", in a Workgroup environment security is based on local account SIDs. Thus, if two computers have users with the same SID, the Workgroup will not be able to distinguish between the users. All resources, including files and Registry keys, that one user has access to, the other will as well.

 

Another instance where duplicate SIDs can cause problems is where there is removable media formated with NTFS, and local account security attributes are applied to files and directories. If such a media is moved to a different computer that has the same SID, then local accounts that otherwise would not be able to access the files might be able to if their account IDs happened to match those in the security attributes. This is not be possible if computers have different SIDs.

 

Wenn ich mich recht entsinne wird die SID des Computerkontos in einer Domäne aber mit Hilfe der lokalen Computer SID generiert, wobei zwar nicht die komplette lokale SID herhalten muss, schliesslich muss ja auch zumindest ein Teil der Domänen-SID im Computerkonto hinterlegt sein, damit man den Rechner als Teil der Domäne identifizieren kann.

 

Ich muss gleich mal gucken ob es zwischen der SID eines Computerkontos in einer Domäne und der lokalen Computer-SID Gemeinsamkeiten gibt.

 

Grüsse

 

Gulp

[grizzly999 11]

Ich habe jetzt den Auszug nicht ganz gelesen, aber es ist nicht DIESE SID, die psgetsid ausgibt, die relevant ist. Der Computer hat eine SID in der Domäne (das versteckte Benutzerkonto) für die Identifizierung des Secure Channel. Die spuckt psgetsid nicht aus, aber die eindeutig in der Domäne (und auf dem Rechner), und das Kennwort dazu auch.

 

 

grizzly999