Windows 應該只與特定的 Active Directory 伺服器通訊

Question

是否可以在 Windows 用戶端或伺服器上設定它們僅與相同的特定 Active Directory 伺服器通訊？也許是透過註冊表黑客？

親切的問候

Answer 1

問題不在於您連接到不同的 AD 伺服器。也就是說，當您建立新物件時，AD 必須聯絡 RID Master 並向該伺服器要求新的 SID。過程完成後，AD 建立對象，啟動 GC 更新並通知基礎設施主機更新。

這一切都需要一兩秒鐘才能完成（取決於您的網域中擁有多少 AD DC）。建立後，您可以使用它來設定 ACL。但基本上，你必須等待。

Answer 2

上面來自kaerst的問題是一個重要的問題。可能有更合適的方法來執行此操作，例如根據您的 AD 架構使用 AD 網站和子網路進行 DC 選擇。

如果你正在尋找一個黑客，從我的頭腦中，以下可能會起作用。 Active Directory 網域中的工作站或成員伺服器使用 DNS 來識別其 DC。您可以像這樣查詢 DC：

類型 nslookup

輸入以下內容：

_ldap._tcp.網域這裡

例如，如果您的網域是 Awesome.com，您將 nslookup 尋找 _ldap._tcp.awesome.com。這應該會傳回一個或多個 SRV 記錄，這些記錄本質上是您的網域控制器的名稱。

將所有網域控制器名稱新增至您的主機檔案中，並對所有這些網域控制器名稱的 IP 位址進行硬編碼，以指向您想要的 DC 伺服器。

Answer 3

我已經用另一種方​​式解決了這個問題。謝謝大家！ （見我的回答：https://stackoverflow.com/questions/2948504/set-ntfs-permissions-with-directorysecurity-after-created-active-dirctory-groups/2950403#2950403）

Answer 4

如果您可以將系統和您希望其使用的 DC 放在同一 IP 子網路上，那麼可以，您可以透過僅為它們定義特定的 Active Directory 網站來實現這一點。