lokale SID inwiefern bedeutend bei Domänenanmeldung

[Chrisso 10]

Wir haben zeitweise starke Probleme mit unserem Netz, was ich hier schon ein paar mal vorgetragen habe (Traffic, verlorene Pakete, Warenwirtschaftssystem im IE hängt sich weg). Wirklich voran kommen wir nicht und die Ideen gehen langsam aus, Fehler tauchen wie Phantome auf und sind nie reproduzierbar.

 

Habe jetzt von einem befreundeten Kollegen den vielleicht entscheidenden Hinweis bekommen: SID checken.

Die Rechner sind abteilungsweise vom selben Image aufgesetzt. Ich dachte eigentlich die SID wird bei entsprechend neuen Computerkonto (bzw Ummeldung) neu vergeben, musste mich aber grad von google eines besserem belehren lassen.

Ich konnte bisher nur den Hinweis finden, dass die SID Geschichte eigentlich nur eine Arbeitsgruppenumgebung betrifft, nicht aber bei Domänenanmeldung. Wer kann mich da genauer aufklären?

 

Unser PDC ist NT4.

 

Strichprobenartig hab ich jetzt tatsächlich bestätigen können, dass Rechner aus der gleichen Abteilung auch die selbe SID haben.

 

Und was hast das mit der RID auf sich?

 

Ich würde jetzt natürlich gern hingehen, überall neue SIDs vergeben und selbstgefällig meinem Chef sagen, ICH hab alle unsere Problem gelöst :p

Aber kanns auch daran liegen?

[Gulp 228]

Geklonte Rechner machen in Domänen gerne mal Probleme ...

 

Dies schreibt www.sysinternals.com:

 

.... snip

 

The SID Duplication Problem

The problem with cloning is that it is only supported by Microsoft in a very limited sense. Microsoft has stated that cloning systems is only supported if it is done before the GUI portion of Windows Setup has been reached. When the install reaches this point the computer is assigned a name and a unique computer SID. If a system is cloned after this step the cloned machines will all have identical computer SIDs. Note that just changing the computer name or adding the computer to a different domain does not change the computer SID. Changing the name or domain only changes the domain SID if the computer was previously associated with a domain.

 

To understand the problem that cloning can cause, it is first necessary to understand how individual local accounts on a computer are assigned SIDs. The SIDs of local accounts consist of the computer's SID and an appended RID (Relative Identifier). The RID starts at a fixed value, and is increased by one for each account created. This means that the second account on one computer, for example, will be given the same RID as the second account on a clone. The result is that both accounts have the same SID.

 

Duplicate SIDs aren't an issue in a Domain-based environment since domain accounts have SID's based on the Domain SID. But, according to Microsoft Knowledge Base article Q162001, "Do Not Disk Duplicate Installed Versions of Windows NT", in a Workgroup environment security is based on local account SIDs. Thus, if two computers have users with the same SID, the Workgroup will not be able to distinguish between the users. All resources, including files and Registry keys, that one user has access to, the other will as well.

 

Another instance where duplicate SIDs can cause problems is where there is removable media formated with NTFS, and local account security attributes are applied to files and directories. If such a media is moved to a different computer that has the same SID, then local accounts that otherwise would not be able to access the files might be able to if their account IDs happened to match those in the security attributes. This is not be possible if computers have different SIDs.

 

An article Mark has written, entitled "NT Rollout Options", was published in the June issue of Windows NT Magazine. It discusses the duplicate SID issue in more detail, and presents Microsoft's official stance on cloning. To see if you have a duplicate SID issue on your network, use PsGetSid to display machine SIDs.

 

..... snip

 

Hier 'ne kleine Info von Microsoft:

 

KB 162001

 

... und noch was aus der Board Suche:

 

Thema doppelte SID

 

Grüsse

 

Gulp