计算机组织形式¶

工作组¶

功能¶

通过工作组的名称筛选某一部门的计算机

计算机用户身份验证¶

每个用户和工作组都有一个独有的SID，计算机通过SID进行权限验证

PS C:\Users\Administrator> whoami /all

用户信息
----------------

用户名                        SID
============================= =============================================
win-j4o5je2mqhn\administrator S-1-5-21-1520306368-3435413919-4282758949-500


组信息
-----------------

组名                                 类型   SID          属性
==================================== ====== ============ ==========================================
Everyone                             已知组 S-1-1-0      必需的组, 启用于默认, 启用的组
BUILTIN\Administrators               别名   S-1-5-32-544 必需的组, 启用于默认, 启用的组, 组的所有者
BUILTIN\Users                        别名   S-1-5-32-545 必需的组, 启用于默认, 启用的组
NT AUTHORITY\INTERACTIVE             已知组 S-1-5-4      必需的组, 启用于默认, 启用的组
CONSOLE LOGON                        已知组 S-1-2-1      必需的组, 启用于默认, 启用的组
NT AUTHORITY\Authenticated Users     已知组 S-1-5-11     必需的组, 启用于默认, 启用的组
NT AUTHORITY\This Organization       已知组 S-1-5-15     必需的组, 启用于默认, 启用的组
LOCAL                                已知组 S-1-2-0      必需的组, 启用于默认, 启用的组
NT AUTHORITY\NTLM Authentication     已知组 S-1-5-64-10  必需的组, 启用于默认, 启用的组
Mandatory Label\High Mandatory Level 标签   S-1-16-12288 必需的组, 启用于默认, 启用的组


特权信息
----------------------

特权名                          描述                       状态
=============================== ========================== ======
SeIncreaseQuotaPrivilege        为进程调整内存配额         已禁用
SeSecurityPrivilege             管理审核和安全日志         已禁用
SeTakeOwnershipPrivilege        取得文件或其他对象的所有权 已禁用
SeLoadDriverPrivilege           加载和卸载设备驱动程序     已禁用
SeSystemProfilePrivilege        配置文件系统性能           已禁用
SeSystemtimePrivilege           更改系统时间               已禁用
SeProfileSingleProcessPrivilege 配置文件单一进程           已禁用
SeIncreaseBasePriorityPrivilege 提高计划优先级             已禁用
SeCreatePagefilePrivilege       创建一个页面文件           已禁用
SeBackupPrivilege               备份文件和目录             已禁用
SeRestorePrivilege              还原文件和目录             已禁用
SeShutdownPrivilege             关闭系统                   已禁用
SeDebugPrivilege                调试程序                   已启用
SeSystemEnvironmentPrivilege    修改固件环境值             已禁用
SeChangeNotifyPrivilege         绕过遍历检查               已启用
SeRemoteShutdownPrivilege       从远程系统强制关机         已禁用
SeUndockPrivilege               从扩展坞上取下计算机       已禁用
SeManageVolumePrivilege         执行卷维护任务             已禁用
SeImpersonatePrivilege          身份验证后模拟客户端       已启用
SeCreateGlobalPrivilege         创建全局对象               已启用
SeIncreaseWorkingSetPrivilege   增加进程工作集             已禁用
SeTimeZonePrivilege             更改时区                   已禁用
SeCreateSymbolicLinkPrivilege   创建符号链接               已禁用

对于一个管理员用户SID的最后一段是500

缺陷¶

没有办法统一管理
没有办法集中身份验证

域¶

集中身份认证¶

graph BT
    subgraph 域控制器;
    AD[活动目录];
    DomainUsers["`
    **域用户**
    DomainUser1
    DomainUser2
    DomainUser3`"]
    end
    A(A)-->|secretA|AD;
    B(B)-->|secretB|AD;
    C(C)-->|secretC|AD;

DC：安装活动目录即为Domain Controller

域用户：域控制器上的用户，有权限将计算机加入域

当计算机加入域环境会与域控制器协商一个密钥，用于身份验证，仅域控制器和该计算机持有并定期更新

加入域中的计算机会将Netlogon服务加入自启动，域控制器通过计算机的SID鉴别身份

域用户登录¶

graph BT;
DC[域控制器];
subgraph 计算机A;
    Netlogon(Netlogon);
    Login[[域用户DomainUser1登录]];
end
Netlogon-->|Ticket1|DC;
DC-->|Ticket2 Ticket3|Netlogon
Login---Netlogon

当域用户DomainUser1在域内计算机登A录，会将用户名和密码以SecretA加密（TicKet1），发送到域控制器，如果认证成功，域控制器将DomainUser1的SID以及所属组的SID以SecretA加密（Ticket2），在以域控制器内部的密钥SecretDC加密（Ticket3），返回给计算机

Ticket2用于登录计算机A，Ticket3用于计算机A访问域内其他计算机

此时域用户的令牌组成：

用户SID
线程’域控制器上所属组的SID
域内计算机上所属组的SID
域内计算机上的特权

访问域内其他计算机¶

graph TB;
DC;
A;
B;
A-->|Ticket3|DC;

A-->|Ticket4|B;
DC-->|Ticket4|A;

当计算机A访问计算机B，计算机A将Ticket3发送给域控制器换取访问计算机B的Ticket4并发送给计算机B用于登录，实现只输入一次用户名和密码进行集中身份验证

DNS定位域控制器¶

一般将DNS服务器与活动目录设置在同一计算机上

用于索引域名到域控