У нас есть два отдельных домена Active Directory, которые имеют доверительные отношения. Когда я получаю доступ к сетевому ресурсу на другой машине, мне предлагается ввести имя пользователя и пароль, хотя я вошел в систему как пользователь, имеющий разрешения на этот ресурс. Также в диалоговом окне внизу есть следующее сообщение:
«Система обнаружила возможную попытку нарушения безопасности»
Это вызывает серьезные проблемы с одной из служб, которые мы запускаем. Ожидается ли такое поведение? Я не ожидаю, что мне придется повторно вводить свои учетные данные, поскольку они должны передаваться, и это вызывает проблемы с программным доступом к сетевому ресурсу. Есть ли у кого-нибудь предложения по диагностике проблемы?
решение1
Когда пользователю в одном лесу требуется доступ к ресурсу в удаленном доверенном домене, в фоновом режиме происходит следующее:
- Клиент связывается с KDC в своем собственном домене.
- KDC предоставляет клиенту так называемый реферальный билет для удаленного домена.
- Клиент отправляет реферальный билет в KDC в доверяющем лесу.
- Доверяющий KDC распознает действительность и подлинность реферального билета
- Пользователю предоставляется билет на услугу в удаленном домене.
Этот процесс известен какОбработка направлений.
Без дальнейшего тестирования нижеследующего, но на основе следующей статьи базы знаний:Вы получаете сообщение об ошибке «Система обнаружила возможную попытку нарушения безопасности» при попытке включить параметры безопасности для пользователя из другого домена в локальную папку домена.Я подозреваю, что удаленный сервер пытается самостоятельно проверить подлинность доверенного пользователя.
Если сервер в доверяющем домене не может связаться ни с одним контроллером домена в доверенном домене по протоколу TCP/88, процесс проверки наверняка завершится неудачей, и вы получите соответствующее предупреждение.
Проверьте межсетевые экраны периметра между двумя доменами и посмотрите, не теряется ли трафик, идущий к порту 88.
решение2
Это случилось с моим клиентом после того, как он принял их от другого техника. Отследил проблему до проблем с DNS-серверами, не разрешающими локальный доступ (на сетевой карте указан только сервер 8.8.8.8), поэтому взглянул на настройки DHCP на маршрутизаторе. Нашел проблему там, поэтому перенес DHCP на их единственный сервер, где он должен был быть, и настроил настройку DNS в DHCP на использование DNS-сервера контроллера домена в качестве основного. Запустил ipconfig /renewи вышел из системы, чтобы снова подключиться к серверу должным образом. Проблема решена.