问题[sid](server)

我们安装了一个新的 Exchange 2016 服务器并将所有邮箱从 Exchange 2010 服务器迁移到它。然后我们将所有邮箱和公用文件夹从 MSEX2016 迁移到 Office 365，我们降级并关闭了 MSEX2010。本地 AD 通过我们的一台本地服务器上的 Azure AD 连接器与 Azure AD 同步。

这工作了几个星期没有问题。所有客户端都能够访问 O365 上的公用文件夹及其邮箱。

昨天我们降级了 MSEX2016，它在几天前已经关闭进行测试。上面没有激活 PF，但无法以常规方式删除数据库，因为它始终显示服务器仍处于迁移模式。手动设置属性（如 MigrationComplete...）并没有帮助，我们最终使用 force 选项删除了它们，将服务器降级并关闭了它。

之后，在客户端上出现消息，Exchange 管理员执行了需要重新启动 Outlook 客户端的更改。不确定为什么会出现此消息，因为所有客户端都已连接到 O365，并且不应该与旧的 MSEX2016 建立任何连接。

昨天，我还更改了 Azure AD 连接器，它只同步一些需要的 OU。

今天出现的问题是没有人能够再访问PF了。然后我发现，分配组的文件夹权限上的 SID 显示为未知。

用户 SID 看起来不错，问题仅出在组上。我首先认为这可能与 Azure AD 连接器的 OU 限制有关，我重新激活了之前的完全同步，但它没有帮助。

我也无法通过 WebGUI 更改任何权限，最终会出现以下消息。

`系统在计算 Lambda 表达式时引发异常：[ Boolean(@0[ApplyToSubFolders]) ] 调用目标已引发异常。错误

系统在计算 Lambda 表达式时抛出异常：[ Boolean(@0[ApplyToSubFolders]) ] 调用目标已抛出异常。`

我能够在根 PF 中创建一个新的“测试”文件夹，但我无法通过 WebGUI 在那里设置任何权限。

可以通过 Outlook 客户端更改权限。如果我删除其中一个组权限并重新添加它，则会显示 SID 并且一切正常。对我来说意味着所有组通常在 O365 上都是已知的（它们也显示在 Exchange Admin WebGUI 中），但是在现有权限上它们没有分配给它。

为什么无法通过 WebGUI 设置 PF 权限？

为什么它失去了从现有公用文件夹组权限到 SID 的分配以及如何在不手动删除和重新添加所有权限的情况下修复它？

编辑 1（2021 年 10 月 18 日星期一）：

与此同时，组权限完全消失了。

编辑 2（星期四 2021-10-21）：

自周一以来，有一张微软的罚单开放，但他们无法解释为什么权限消失了，他们的软件工程师正在努力弄清楚发生了什么。他们还在调查为什么无法通过 WebGUI 设置权限。他们提出的解决方案是使用 Outlook 或 PowerShell 手动设置所有文件夹的所有权限，因为我们有大约 2700 个文件夹，所以我并不满意。他们不愿意（“构建自定义脚本通常超出我们的支持范围”）提供一个脚本来重新应用迁移期间创建的 XML 文件的权限，并且他们没有出现任何其他解决方案来获得权限回来了。

同时，我能够使用自己创建的脚本和社区的支持重新应用公用文件夹权限。

编辑 3（星期六，2021-10-30）

MS 说，WebGUI 权限设置的问题是众所周知的：“报告的问题是由已知问题引起的（我们的产品工程团队正在从后端解决）”他们建议使用 Outlook 客户端或 PowerShell更改公用文件夹的权限。

他们进一步说我不能证明权限没有被管理员活动删除，因为我们的审计日志没有启用（根据 MS 默认），我无法显示有关它的记录。我再次向他们发送了我的屏幕截图，其中显示了组权限上缺少 SID 的奇怪情况，以指出这是 MS 基础架构中的问题。我是唯一拥有管理员权限的人，我确信我没有删除公共文件夹的权限。

编辑 4（2021 年 11 月 14 日，星期日）

MS 的回答：“关于通过管理中心 UI 分配权限的问题，我的同事建议这个问题已经在外部发布，因为这个问题现在已经知道了一段时间。如前所述，我们的产品工程团队目前正在努力正在开发一个永久修复程序，但是，目前没有具体的 ETA，因此我们无法完全确定何时可以得到解决。有关更多信息，您还可以参考EAC 中的公用文件夹权限和设置不传播文章（它还包括我们建议的 PowerShell 脚本，这是我们同事提供的针对此问题的官方解决方法）。”

“根据您迄今为止与我们共享的信息（包括来自 EAC 的屏幕截图，其中显示了缺少的 SID），我的同事怀疑受影响的公用文件夹已正常迁移到 Exchange Online，但是，授予权限的邮件安全组到用户之后没有同步（或同步过程存在问题）。因此，这些权限组被认为是孤立的/陈旧的，并已被我们的一致性代理删除，该代理每 7 天在后端运行一次。 " “话虽如此，这种行为是设计使然，但遗憾的是，我们无法完全确认为什么权限首先被检测为陈旧。有关此问题的更多信息，来自 Exchange 开发团队的帖子，其中解释了代理的工作原理。”

我有一个最近升级到 20H2 的 Windows 10 VM。在升级之前，我已经克隆并系统准备它以创建一个测试系统，并首先在那里模仿升级过程。在测试系统上成功升级后，我在生产系统上执行了相同的程序。

虽然整体操作系统升级成功，但生产 VM 上的本地管理员和来宾帐户发生了一些事情。似乎每个帐户都有两个具有完全相同 SID 的副本。运行（在 PowerShell 中）Get-LocalUser显示两个管理员和两个来宾帐户。然而，跑步net user只显示一个。在计算机管理中查看本地用户显示绝对没有用户帐户。奇怪的是，这在测试系统上并没有发生。

我尝试ntdsutil从 Windows Server 运行以清理有问题的 Win10 VM 上的重复 SID。该实用程序说它检测到了这个问题并成功地清理了，但没有任何真正的变化，因为仍然存在重复的 SID。

有什么建议可以解决重复本地管理员/访客帐户的问题吗？

Windows 安装程序在安装时将唯一的计算机 SID 分配给 Windows 系统。机器 SID 不会通过网络公开，因此它通常无关紧要，但本地用户的安全标识符基于机器 SID，这可能会在共享用户配置文件和用户创建的文件时产生问题NTFS 卷。即使文件和文件夹的 ACL 仅具有预定义的非机器特定 SID（例如内置管理员组），它们的所有者也是创建本地用户，由机器 SID 和用户 RID 标识。例如，如果您想从全新的 Windows 安装媒体脚本构建您的开发系统，就好像它是一个 Linux 容器一样，就会出现这种情况。在这种情况下，您希望您构建的每个 Windows 系统都共享相同的机器 SID。

但是，SysInternals 的NewSID 实用程序早在 2009 年就已弃用并退役，并且在现代Windows 版本上无法 正常工作。有没有办法使用常规的 Windows 部署工具实现相同的结果？Mark Russinovich 在他反对 NewSID 的帖子中暗示可能是这种情况，但如果是这种情况，则没有记录此功能。当然，这不足为奇：微软的未记录功能历史悠久，可以追溯到 MS-DOS 时代。

作为一家为我们的客户提供 IT 系统、服务器和一切的 IT 公司。当涉及到 Active Directory 和用户离开公司时，我试图找到最佳实践。我们在不同类型的企业中拥有不同类型的客户，无论大小。所以，我们有相当多的服务器和许多 Active Directory 需要维护。有人告诉我，我们绝不能删除 AD 中的用户对象，如果重用用户名，这是一个很大的安全问题。有人告诉我的原因是，新用户可能会获得与以前使用过的用户名相同的用户名，这可能会给他带来他不应该拥有的访问权限。就像直接在共享文件夹上而不是通过安全组授予的访问权限一样。

我研究并阅读了很多关于这个主题的文档和其他论坛帖子，发现自己不太确定。我学到的关于 AD 的一切都是它为每个与用户名无关的对象使用唯一的 SID。因为用户名可以更改，所以 SID 不能更改或重复使用。根据我的发现，将帐户长时间存储为 AD 中的禁用状态似乎存在很大风险？

我已经研究了制作将用户名转换为哈希的脚本的可能性，该脚本存储在数据库中，我们可以让 AD 检查用户名是否可用或以前使用过。因此，我们可以在一段时间后删除用户对象。但是现在我想知道是否真的有任何理由做所有这些工作，如果重用旧用户名真的那么糟糕吗？我们的一些客户的广告有 2000 名残疾用户，有些超过 2 岁。我们创建了一个新的“OU”，我们将其与用户分离并禁用了 ou，但我们仍然想从 AD 中删除它们，没有看到将对象保留多年以避免用户名被重用的原因。

我想知道这方面是否有已知的最佳实践，常见的做法是什么？重用用户名或“永久”存储用户名是最大的风险吗？会不会有关于 Ldap 查询、citrix、exchange 或其他系统的问题？

感谢您提供任何好的建议和信息。

当我whoami /user在命令行上执行时，我得到

User Name             SID
===================== ==============================================
tq84\rene.nyffenegger S-1-5-21-1111111111-2222222222-3333333333-1224

但是，如果我执行，wmic useraccount where name='%username%' get sid 我会得到一个不同的 SID：

S-1-5-21-4444444444-5555555555-6666666666-1001

不仅 RID 不同，而且应该识别域的数字也不同。

这种行为是预期的还是我系统上的 SID 数据库出了问题？

在运行 Windows 7 的 Active Directory 域成员上，我有一个本地组。它有用户和其他组作为成员：

如何获取此本地组的每个成员的 SID？ 我知道 Sysinternals 实用程序PSGetSid但它似乎无法枚举组成员。

阅读https://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/groupmapping.html，我发​​现存在组的别名。但是这个别名是什么意思？这是否意味着它连接到另一个组并继承了这个权限？如果是这样，我怎么知道它属于哪个组？

我在互联网上查看，但找不到任何关于此的内容。互联网上有很多关于 SID、RID 的内容，但没有关于别名的内容。在 SID 上下文中是什么意思？

SID 存在于 Active Directory 域 (Windows Server) 和 Samba (PDC) 中。

我以某种方式删除/etc/hosts了我的测试系统，即 Debian Sid。现在我想安装默认的/etc/hosts. 我试图dpkg -S /etc/hosts找出哪个包包含/etc/hosts，但没有找到。我可以从哪里下载它？

首先，我什至不知道“用户 ID”在这里是否是正确的术语。

上下文是我使用 VisualSVN Server 通过 Windows 身份验证管理/管理我的 SVN 存储库的访问权限，authz-windows它创建的文件包含 45 个字符长的字符串而不是“人类可读”的用户或组名。

我需要手动编辑这个文件，那么我如何找出与特定用户或组相关联的魔法字符串呢？

我已经在该站点和周围进行了一些挖掘，但我还没有看到任何能够完全解决我的问题的东西。

我最近将 WSUS 3.0 SP2 层次结构部署到一个新的数据中心和两个远程站点。其中一个站点中大约一半的机器（几乎全部是 Win7）正在向 WSUS 报告，但没有显示更新状态。那是唯一的机器名称，但没有其他详细信息。

受影响的机器在其 WindowsUpdate 日志中有此错误：

警告：WU 客户端搜索更新失败，错误为 0x8024400d

我的研究使我相信该问题与其中一个位置的重复计算机 SIDS 有关。看起来被克隆的机器在被镜像之前没有正确的系统准备。我现在有大约三十台机器报告相同的 SID（由 psGetSID 确定）。

除了重建克隆映像之外，我现在还必须在三十台客户端计算机上解决这个问题。恐怕他们可能需要重建。

1. 我知道 MS 强烈声明 sysprep 将在未部署的机器上运行。我可以在已经部署的机器上运行 sysprep 吗？有什么后果？
2. 除了完全重建之外，还有其他解决方案可以解决此问题吗？