AskOverflow.Dev

AskOverflow.Dev Logo AskOverflow.Dev Logo

AskOverflow.Dev Navigation

  • 主页
  • 系统&网络
  • Ubuntu
  • Unix
  • DBA
  • Computer
  • Coding
  • LangChain

Mobile menu

Close
  • 主页
  • 系统&网络
    • 最新
    • 热门
    • 标签
  • Ubuntu
    • 最新
    • 热门
    • 标签
  • Unix
    • 最新
    • 标签
  • DBA
    • 最新
    • 标签
  • Computer
    • 最新
    • 标签
  • Coding
    • 最新
    • 标签
主页 / user-81170

ixe013's questions

Martin Hope
ixe013
Asked: 2014-06-03 10:00:22 +0800 CST

从 Active Directory 检索当前的 Kerberos KVNO

  • 12

我在连接到 Windows KDC 的 Linux 主机时遇到了 Kerberos 问题。我怀疑版本错误的 Kerberos 密钥是罪魁祸首。

一种方法是删除 SPN 并重新创建它,但这是在生产环境中,如果您愿意,我必须以“只读”方式进行调试。

如何从 Active Directory 中的主体检索当前的 Kerberos KVNO?

linux
  • 7 个回答
  • 35409 Views
Martin Hope
ixe013
Asked: 2012-12-14 18:31:21 +0800 CST

是否有 Kerberos 测试工具?

  • 4

我经常使用它openssl s_client来测试和调试 SSL 连接(到 LDAPS 或 HTTPS 服务)。它允许我将问题隔离到 SSL,而不会受到任何阻碍。

我想对 Kerberos 做一些类似的事情。我想使用一个小测试,它会显示:

  1. 初始机器登录(计算机帐户)
  2. 来自请求服务的用户的初始 AS 请求
  3. 获取票证的用户的 kerberos 交换
  4. (可选)发送到服务的请求

如果我在 KDC 上运行 Wireshark,我可以执行步骤 1、2 和 3,但这通常不是一个选项。如果我监控客户端上的流量,我可以设法捕获步骤 2、3 和 4。

是否有工具可以让我捕获从计算机帐户开始的每个 Kerberos 登录步骤,而无需在 KDC 上运行 Wireshark?

windows-server-2008
  • 2 个回答
  • 10299 Views
Martin Hope
ixe013
Asked: 2012-11-29 14:05:09 +0800 CST

锁定时间属性的复制在 AD-LDS 上并不紧急

  • 6

我在同一个子网上有两个 LDS 服务器。他们复制得很好。如果我更改一个属性,它会在 15 秒后被复制。

LDS 配置为遵守密码策略。当用户多次尝试输入错误密码时,他的帐户将被锁定并lockoutTime相应地设置该用户的属性。

但lockoutTime并不被复制为紧急。事实上,它不会被复制,除非目录中的某处发生了另一次更改。将复制 lockoutTime 属性。

这是一个(编辑过的 Wireshark)跟踪。它显示正常的复制流量

No.   Time     Protocol Length Info
  133 16:23:02 DRSUAPI  562    DsGetNCChanges request
  134 16:23:02 DRSUAPI  3042   DsGetNCChanges response
  152 16:23:17 DRSUAPI  562    DsGetNCChanges request
  157 16:23:17 DRSUAPI  242    DsGetNCChanges response
  230 16:24:57 DRSUAPI  562    DsGetNCChanges request
  231 16:24:57 DRSUAPI  2930   DsGetNCChanges response
  246 16:25:12 DRSUAPI  562    DsGetNCChanges request

在那之后,我锁定用户(使用FOR循环和ldifde)。什么都没有发生,直到我放弃并更改description用户的属性,然后大约 15 秒后我看到复制完成。

 1984 16:31:05 DRSUAPI  562    DsGetNCChanges request
 1985 16:31:05 DRSUAPI  2930   DsGetNCChanges response

锁定时间和描述被复制。如此处所述,如果我设置lockoutTime=0,定期复制会在 15 秒后发生!

我启用了复制诊断。因为没有复制,所以实例的日志中没有显示任何内容。当复制确实触发时,我看到一堆事件 1239 的最新属性,两个 1240 事件。一个用于属性lockoutTime,一个用于 description(我用来触发复制)。

我启用了站点之间的更改通知,重新启动了这两项服务,但没有任何区别。可能是因为两台服务器在同一个子网上。

Active Directory 技术规范明确将lockoutTime列为需要复制的紧急属性之一。

是什么阻止了lockoutTime属性的紧急复制?

windows-server-2008
  • 1 个回答
  • 1589 Views
Martin Hope
ixe013
Asked: 2012-09-29 17:43:01 +0800 CST

ADSIEdit 冻结了拥有数十万成员的组的获取属性

  • 1

在 AD-LDS(Server 2008 R2 64 位)上进行性能测试时,我们在单个 OU 中创建了百万用户。我们还创建了一个单独的组对象,并使这些百万用户成为该组的成员。

当我们尝试列出数百万用户时,ADSIEdit 超时并显示一条错误消息,指出它无法显示那么多用户。美好的。

但是,如果我们打开该组的属性,ADSIEdit 会冻结,耗尽所有可用内存和 CPU垃圾(不到一小时内出现近 60M 页面错误)。

AD-LDS(在另一台计算机上运行)几乎没有达到 1% 的 CPU 标记,为其他 ldap 请求提供服务,就好像什么都没有一样。

我们可以在这个问题上投入更多的记忆,但总有一天需要管理更多的用户,我们将回到原点。

有没有办法在 ADSIEdit 中设置限制,以便在检索非常大的多值对象时不会挂起计算机?

windows
  • 1 个回答
  • 218 Views
Martin Hope
ixe013
Asked: 2012-09-11 11:45:08 +0800 CST

AD LDS 组中可以有多少用户?

  • 2

Microsoft为 Active Directory 组中的用户发布了建议的最大限制。它基本上说:

从 Windows Server 2003 开始​​,将离散更改复制到链接的多值属性的能力作为一种称为链接值复制 (LVR) 的技术引入。

和

这允许在 Windows 2000 的林功能级别上,组成员的数量超过以前针对 Windows 2000 或 Windows Server 2003 的建议限制 5,000。

鉴于下面的复制元数据,谁能告诉我一个 AD-LDS 组可以容纳的最大用户数是多少?

Getting 'CN=Member,CN=Schema,CN=Configuration,CN={67B333FE-ADB4-430D-AAEE-D4CCE4B98A2E}' metadata...
23 entries.
 AttID     Ver   Loc.USN                      Originating DSA            Org.USN         Org.Time/Date
 =====     ===   =======                      ===============        =======         =============
     0       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
     3       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20001       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20002       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 2001e       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20020       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20021       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20032       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 200a9       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 200c2       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 200da       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 200e2       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 200e7       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 20119       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 2014e       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 201cc       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 90001       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 90094       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 90095       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 900aa       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 90177       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 9027f       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
 9030e       1        95    8ba30efb-9aa4-4e55-8f7c-268e3dcc536b          95    2012-07-17 14:25:49
users
  • 1 个回答
  • 2473 Views

Sidebar

Stats

  • 问题 205573
  • 回答 270741
  • 最佳答案 135370
  • 用户 68524
  • 热门
  • 回答
  • Marko Smith

    新安装后 postgres 的默认超级用户用户名/密码是什么?

    • 5 个回答
  • Marko Smith

    SFTP 使用什么端口?

    • 6 个回答
  • Marko Smith

    命令行列出 Windows Active Directory 组中的用户?

    • 9 个回答
  • Marko Smith

    什么是 Pem 文件,它与其他 OpenSSL 生成的密钥文件格式有何不同?

    • 3 个回答
  • Marko Smith

    如何确定bash变量是否为空?

    • 15 个回答
  • Martin Hope
    Tom Feiner 如何按大小对 du -h 输出进行排序 2009-02-26 05:42:42 +0800 CST
  • Martin Hope
    Noah Goodrich 什么是 Pem 文件,它与其他 OpenSSL 生成的密钥文件格式有何不同? 2009-05-19 18:24:42 +0800 CST
  • Martin Hope
    Brent 如何确定bash变量是否为空? 2009-05-13 09:54:48 +0800 CST
  • Martin Hope
    cletus 您如何找到在 Windows 中打开文件的进程? 2009-05-01 16:47:16 +0800 CST

热门标签

linux nginx windows networking ubuntu domain-name-system amazon-web-services active-directory apache-2.4 ssh

Explore

  • 主页
  • 问题
    • 最新
    • 热门
  • 标签
  • 帮助

Footer

AskOverflow.Dev

关于我们

  • 关于我们
  • 联系我们

Legal Stuff

  • Privacy Policy

Language

  • Pt
  • Server
  • Unix

© 2023 AskOverflow.DEV All Rights Reserve