Чи дозволить Active Directory додати два однойменних комп’ютера?

13

Я сподіваюся, що хтось може підтвердити мої спостереження, тому що я ставлю під сумнів свою пам’ять ...

Назва заголовку говорить все це. Під час швидкої роботи над розгортанням ряду подібних систем виявилося, що нам вдалося створити системи з тим самим іменем, і Active Directory дозволив нам додати їх до домену.

Проблема полягала в тому, що одна з машин більше не «бачила» домен, кажучи, що більше не може бачити його.

Я видалив машину з домену, а потім повторно додав її з варіацією до імені; я щось неправильно пам’ятаю, чи можна додати дві машини до AD та ефективно скинути іншу машину з домену? Я помиляюся, думаючи, що це не те, що AD в першу чергу не повинен допускати? Я думав, що це попередить, як це робить AD, коли ви намагаєтеся додати ім’я користувача, яке вже існує в структурі AD.

active-directory hostname

— Барт Сільверстрім
джерело

Я хотів би додати, що можна додати кілька комп’ютерів з тим самим іменем у межах одного лісу (різні домени). Microsoft рекомендує вам цього не робити.

14

Ні, імена комп'ютерів повинні бути унікальними. Коли ви додали другий комп'ютер з тим самим іменем, Windows змінив sid у базі даних AD, що відповідає цьому імені, завдяки чому перша машина не змогла спілкуватися з доменом.

Щоб зберегти першу машину в домені, вам потрібно буде видалити другу машину з домену, а потім перечитати першу машину назад до домену. Потім додайте другу машину до домену під другим іменем.

Щоб зберегти другу машину в домені, візьміть першу машину з домену, перейменуйте її та додайте її назад до домену під новим іменем.

— мрденний
джерело

побили мене 8 секунд :)

— MDMarra

Імена повинні бути унікальними, щоб воно працювало належним чином, я знаю, що ... ну, ви це підтвердили. Але мені було цікаво, чому це дозволило мені це зробити. Я насправді вперше задумався, чи сталося насправді те, що я вважав, що сталося, оскільки поведінка відрізняється, скажімо, додавши іншого користувача з таким самим іменем (помилка!)

— Bart Silverstrim

1

Що ж, загальноприйнята практика попередньо створювати комп’ютерні облікові записи в ОУ, перш ніж вони фактично приєднаються до AD. Для того, щоб ці комп’ютери перейшли до належного ОУ після їх приєднання, їм потрібно мати можливість приєднатися до AD замість облікового запису, який вже існує.

— MDMarra

@MarkM: Дякую за голову ... Я не натрапив на це! Ми зазвичай створюємо машини, з'єднуючись і переміщуючи отримані об'єкти. Отже, ви можете створювати назви машин, а приєднання до машини автоматично створює та прив'язує імена до SIDS?

— Барт Сільверстрім

Це в основному правильно. Таким чином не потрібно турбуватися про правильне застосування GPO, і вам не потрібно пам'ятати про переміщення речей.

— MDMarra

3

Назва машини однакова, але SID змінюється, коли ви додаєте новий комп'ютер з тим же ім'ям, що і старий. SID - це те, до чого пов'язане все в AD, не те саме. Це ефективно "вибиває" стару машину з AD, оскільки відповідний SID більше не існує.

— MDMarra
джерело

Мабуть, мої пальці пролетіли трохи швидше, ніж твої.

— mrdenny

0

Ви правильно систематизуєте машини, щоб отримати інший SID? Я думаю, що ваша проблема не стільки ім'я хоста, скільки може бути пов'язана з SID. Так чи інакше, ви не повинні мати одну і ту ж машину в AD кілька разів, але я вважаю, що AD насправді дозволяє це зробити.

Я думаю, що суть вашої проблеми може бути пов'язана з SID.

Так, вони додані до іншого ідентифікатора (використовується NewSID).

— Барт Сільверстрім

Бічна примітка ... так, я це знав, я не хотів їх додавати кілька разів! Це була випадковість у назвах, коли ми намагалися швидко додати партії систем ...

— Bart Silverstrim

0

Пара думок-

NewSID насправді зовсім не сприятливий спосіб зробити це. Ви повинні використовувати Sysprep на будь-якому пристрої Windows 2000 або новішої версії.

AD накладе перевірку унікальності імені комп'ютера щодо атрибута sAMAccountName, який матиме ім'я комп'ютера (з подальшим знаком $).

Оскільки AD є розподіленою системою, цілком можливо, що два комп'ютери могли бути створені з тим самим іменем на двох контролерах домену між циклами реплікації. Якщо припустити, що вони створені в одному контейнері, AD перетворить його в конфліктний об'єкт.

— Брайан Десмонд
джерело