Início / server / Perguntas / 772129
Accepted
Ryan Ries
Asked: 2016-04-22 16:28:24 +0800 CST

Get-ADGroupMember $Group falha quando $Group contém principais de outros domínios

  • 772

Percebi que, quando uso o Powershell para obter a associação de grupo de um grupo de segurança de domínio do Active Directory, o cmdlet do Powershell Get-ADGroupMember $Groupfalha com a mensagem de erro:

PS C:\> get-adgroupmember MyGroup
get-adgroupmember : An operations error occurred
At line:1 char:1
+ get-adgroupmember MyGroup
+ ~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (MyGroup:ADGroup) [Get-ADGroupMember], ADException
    + FullyQualifiedErrorId : ActiveDirectoryServer:8224,Microsoft.ActiveDirectory.Management.Commands.GetADGroupMember

Tentei especificar o -server $DCparâmetro para que o cmdlet vise um DC específico e, em seguida, verifico os logs de segurança nesse DC enquanto reproduzo o erro e nenhuma auditoria de falha de segurança relevante é gerada. Eu descobri todas as entradas de registro de diagnóstico na services\NTDS\Diagnosticschave e isso também não produz nada de interessante nos logs dos serviços de diretório.

Se eu remover os membros do grupo que residem no outro domínio de MyGroup, o cmdlet funcionará sem problemas.

Curiosamente, noto que se eu executar o comando localmente no próprio DC, ele funciona. Mas quando executo o comando remotamente de um servidor membro, usando a mesma conta de usuário (que é um administrador de domínio), ele falha.

Alguma ideia do que há de errado?

windows powershell active-directory

2 respostas

  1. Best Answer

    Os cmdlets do Active Directory Powershell, como Get-ADGroupMembero uso do Active Directory Web Services (ADWS).

    Uma declaração como

    "funciona bem quando executo o comando localmente no servidor, mas falha quando o executo de um servidor remoto"

    geralmente é um sinal de alerta de que o problema subjacente é a delegação Kerberos.

    Muitos serviços aproveitam a delegação Kerberos e o ADWS não é exceção.

    Então, vamos ver meu tíquete de concessão de tíquete (TGT) do Kerberos:

    C:\> klist tgt

Current LogonId is 0:0x95ec6

Cached TGT:

ServiceName        : krbtgt
TargetName (SPN)   : krbtgt
ClientName         : Administrator
DomainName         : FABTOSO.COM
TargetDomainName   : FABTOSO.COM
AltTargetDomainName: FABTOSO.COM
Ticket Flags       : 0xe10000 -> renewable initial pre_authent name_canonicalize
Session Key        : KeyType 0x12 - AES-256-CTS-HMAC-SHA1-96
                   : KeyLength 32 - 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
00 00 00 00
StartTime          : 4/21/2016 18:42:34 (local)
EndTime            : 4/22/2016 4:42:34 (local)
RenewUntil         : 4/28/2016 18:42:34 (local)
TimeSkew           :  + 0:00 minute(s)
EncodedTicket      : (size: 1109)
0000  61 82 04 51 30 82 04 4d:a0 03 02 01 05 a1 0d 1b  a..Q0..M........
0010  0b 46 41 42 54 4f 53 4f:2e 43 4f 4d a2 20 30 1e  .FABTOSO.COM. 0.
0020  a0 03 02 01 02 a1 17 30:15 1b 06 6b 72 62 74 67  .......0...krbtg
0030  74 1b 0b 46 41 42 54 4f:53 4f 2e 43 4f 4d a3 82  t..FABTOSO.COM..
0040  04 13 30 82 04 0f a0 03:02 01 12 a1 03 02 01 02  ..0.............
.........

    Volte sua atenção para o campo Ticket Flags. Algo está faltando. Este bilhete não é encaminhável .

    Por que um ticket não pode ser encaminhado?

    delegação

    Eu desmarquei essa caixa de seleção, limpei meus tíquetes Kerberos com klist purge, obtenho um novo tgt realizando qualquer tipo de atividade de rede que exija obter um novo tgt se eu ainda não tiver um ( gpupdateé um bom exemplo), inspeciono o TGT novamente e Percebo que agora inclui o sinalizador encaminhável.

    Agora o cmdlet do Powershell funciona conforme o esperado de um servidor membro.

    Quando o grupo contém entidades de segurança (usuários ou grupos) de outro domínio, é retornada uma referência que deve ser perseguida. Para perseguir essa referência, o ADWS deve representar o usuário que fez a chamada original. Se a delegação Kerberos estiver desativada nessa conta de usuário, a representação/delegação não poderá ocorrer.

    • 11

  2. Esse comportamento foi alterado com atualizações de segurança recentes do Windows Server.

    O padrão seguro agora é desabilitar a Delegação TGT nas relações de confiança da floresta. Por causa disso, Get-ADGroupMember falhará em grupos com entidades de segurança estrangeiras entre florestas até que a Microsoft decida corrigir o problema. Até então, uma solução alternativa é usar:Get-ADGroup -Properties member

    • 2

relate perguntas