禁用域中Windows操作系統(tǒng)Machine Password.doc

禁用Machine Password其它參考資料：Unable to Log On To the Domain Document ID: CTX115354 / Created On: 2007-11-27 / Updated On: 2007-11-27 Average Rating: (1 ratings) View products this document applies toSymptomsThis article addresses an issue in which Ardence clients are unable to log on to an Active Directory domain.CauseIf Ardence clients, previously able to log on to an Active Directory domain, are no longer able to log into the domain, a misconfiguration within the Local Security Policies of the clients may be the cause. To confirm this is the issue, check the System Log within Event Viewer on the Active Directory Server for the following error:Event ID 5722: The session setup from the computer Computer_Name failed to authenticate. The name of the account referenced in the security database is AccountName$. The following error occurred: Access is denied.ResolutionTo allow Ardence clients to log into an Active Directory domain, perform the following:1. Shutdown all Ardence clients booted off the shared virtual disk (vDisk).2. In the Ardence Administrator, set the Disk Access mode within the properties of the vDisk to Private Image mode.3. Boot one client off the vDisk in Private Image mode.4. Log on to the client with a local Administrator account and verify that the Local Security Policy Disable machine account password changes is enabled.Windows XP:Go to Start Control Panel Administrative Tools Local Security Policy Local Policies Security Options.Windows 2000:Go to Start Run, type regedit in the Open box, and then click OK.Locate and click the following registry subkey: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParametersIn the right window pane, click the DisablePasswordChange entry.On the Edit menu, click Modify.In the Value data box, enter a value of 1 and click OK.Exit the Registry Editor.5. Shutdown the client.6. Set the Disk Access mode for the vDisk back to Shared Image mode.7. On the Ardence Server, open a DOS window, navigate to the Ardence installation directory (C:Program FilesArdenceArdence default) and enter the following command for each client to modify its password within Active Directory:SetComputerAccount /m Client_Machine_Name /o Organizational_Unit8. Boot the clients off the vDisk in Shared Image mode.The clients should now be able to log into the Active Directory domain.More InformationFor more information on Event ID 5722, refer to Microsoft article entitled Event ID 5722 is logged on your Windows 2000 Server-based domain controller:根據(jù)我的經(jīng)驗(yàn)，對(duì)于域中的每個(gè)計(jì)算機(jī)來說，它和DC之間有一個(gè)安全通道。安全通道的密碼和計(jì)算機(jī)賬號(hào)一起保存在PDC上，并且被復(fù)制到所有的BDC上。該密碼也會(huì)保存在客戶端上。如果PDC是NT4的話，在缺省情況下，系統(tǒng)每隔7天就會(huì)發(fā)送安全通道更改和計(jì)算機(jī)賬號(hào)密碼更新的通知。對(duì)于XP、2000、2003的計(jì)算機(jī)來說，缺省的計(jì)算機(jī)賬號(hào)密碼更新為30天。如果客戶端長時(shí)間不登錄域，DC可能更改過您的計(jì)算機(jī)賬號(hào)的密碼，這樣就會(huì)導(dǎo)致您計(jì)算機(jī)賬號(hào)的密碼和DC上的不一致。造成無法登錄的情況。您可以將客戶端退出域，通過重新加入域的方法來修復(fù)該問題。/zh-cn/library/cc785826.aspx域成員：禁用更改機(jī)器帳戶密碼域成員：禁用更改機(jī)器帳戶密碼描述確定域成員是否要定期更改其計(jì)算機(jī)帳戶密碼。如果啟用該設(shè)置，則域成員不會(huì)試圖更改其計(jì)算機(jī)帳戶密碼。如果禁用該設(shè)置，則域成員需按照設(shè)置“域成員：最長機(jī)器帳戶密碼壽命”中指定的要求更改其計(jì)算機(jī)帳戶密碼，默認(rèn)值為每隔 30 天。默認(rèn)：已停用。 配置此安全設(shè)置可通過打開相應(yīng)的策略并按以下方式展開控制臺(tái)樹來配置該安全設(shè)置：計(jì)算機(jī)配置Windows 設(shè)置安全設(shè)置本地策略安全選項(xiàng)有關(guān)如何配置安全策略設(shè)置的特定說明，請(qǐng)參閱編輯組策略對(duì)象上的安全設(shè)置。注意 不應(yīng)該啟用此安全設(shè)置。計(jì)算機(jī)帳戶密碼用于在成員和域控制器之間以及域內(nèi)的域控制器之間建立安全通道通信。安全通道一旦建立，即可用于傳送進(jìn)行身份驗(yàn)證和作出授權(quán)決定所需的敏感信息。 如果試圖支持使用同一計(jì)算機(jī)帳戶的雙引導(dǎo)方案，則不應(yīng)使用該設(shè)置。如果希望對(duì)加入在相同域的兩個(gè)安裝進(jìn)行雙引導(dǎo)，則需要給予這兩個(gè)安裝不同的計(jì)算機(jī)名稱。詳細(xì)信息，請(qǐng)參閱： 域控制器：拒絕更改機(jī)器帳戶密碼 域成員：最長機(jī)器帳戶密碼壽命 /kb/154501/zh-cn基于 Microsoft Windows NT 的計(jì)算機(jī)和基于 Microsoft Windows 2000 的計(jì)算機(jī)上，機(jī)器帳戶密碼會(huì)定期更改為安全目的。在基于 Windows NT 的計(jì)算機(jī)上的默認(rèn)計(jì)算機(jī)帳戶密碼會(huì)自動(dòng)更改每七天。 在基于 Windows 2000 的計(jì)算機(jī)上機(jī)器帳戶密碼自動(dòng)每 30 天更改一次。本文介紹了如何，管理員可以禁用更改自動(dòng)機(jī)器帳戶密碼。 警告如果禁用了更改機(jī)器帳戶密碼，有安全風(fēng)險(xiǎn)因?yàn)榘踩ǖ烙糜谕ㄟ^身份驗(yàn)證。如果有人發(fā)現(xiàn)密碼，他或她可以潛在地執(zhí)行到域控制器的通過身份驗(yàn)證。更多信息 您可能希望禁用更改默認(rèn)自動(dòng)機(jī)器帳戶密碼的由于下列原因之一： 您想減少復(fù)制匹配項(xiàng)。更改自動(dòng)機(jī)器帳戶密碼的一個(gè)副作用與多個(gè)客戶端計(jì)算機(jī)和域控制器的域可能會(huì)導(dǎo)致頻繁的.您可能希望禁用更改默認(rèn)自動(dòng)機(jī)器帳戶密碼的由于下列原因之一： 您想減少復(fù)制匹配項(xiàng)。更改自動(dòng)機(jī)器帳戶密碼的一個(gè)副作用與多個(gè)客戶端計(jì)算機(jī)和域控制器的域可能會(huì)導(dǎo)致頻繁的基礎(chǔ)上進(jìn)行復(fù)制。您可以禁用自動(dòng)更改機(jī)器帳戶密碼可減少復(fù)制匹配項(xiàng)。 有兩個(gè)單獨(dú)的 Windows NT 或 Windows 2000 安裝在同一 computerin 雙重引導(dǎo)配置。在這種情況下共享相同的機(jī)器帳戶，Windows NT 或 Windows 2000 的兩個(gè)安裝之間唯一的方法是使用默認(rèn)計(jì)算機(jī)帳戶密碼時(shí)加入到域中創(chuàng)建。 如果您經(jīng)常執(zhí)行全新安裝的 Windows NT 或 Windows 2000，您必須具有管理員可以在域創(chuàng)建計(jì)算機(jī)帳戶在域上。是否有問題可以為默認(rèn)值將計(jì)算機(jī)帳戶的密碼。 在 Windows NT 版本 3.51 及更高版本，然后在 Windows 2000 中，您可以通過將 DisablePasswordChange 注冊(cè)表項(xiàng)設(shè)置為 1 的值來禁用該更改機(jī)器帳戶密碼在工作站上。 這樣做，請(qǐng)按照下列步驟。重要此分區(qū)、 方法，或任務(wù)包含告訴您如何修改注冊(cè)表的步驟。但是，如果注冊(cè)表修改不當(dāng)可能會(huì)出現(xiàn)嚴(yán)重問題。因此，請(qǐng)確保您仔細(xì)按照這些步驟。附加的保護(hù)注冊(cè)表之前先備份您對(duì)其進(jìn)行修改。然后，您可以在出現(xiàn)問題時(shí)還原注冊(cè)表。有關(guān)如何備份和還原注冊(cè)表的詳細(xì)信息，請(qǐng)單擊下面的文章編號(hào)，以查看 Microsoft 知識(shí)庫中相應(yīng)的文章： 322756 (/kb/322756/ ) 如何備份和還原在 Windows 注冊(cè)表1. 啟動(dòng)注冊(cè)表編輯器。 這樣做單擊 開始、 單擊 運(yùn)行、 打開 框中鍵入 regedit，然后單擊 確定。 2. 找到并單擊以下注冊(cè)表子項(xiàng)： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParameters3. 在右窗格中單擊 $ DisablePasswordChange 項(xiàng)。 4. 在 編輯 菜單上單擊 修改。 5. 在 數(shù)值數(shù)據(jù) 框中鍵入值 1，然后單擊 確定。 6. 退出注冊(cè)表編輯器。在 Windows NT 4.0 版和 Windows 2000，您可以通過 RefusePasswordChange 注冊(cè)表項(xiàng)設(shè)置為值為 1，而不是所有的工作站上，在域中的所有域控制器上禁用計(jì)算機(jī)帳戶密碼更改。這樣做，請(qǐng)按照下列步驟。注意 Windows NT 4.0 的域控制器上您必須在域中的所有備份域控制器 (bdc) 上的 1 的值更改 RefusePasswordChange 注冊(cè)表項(xiàng)之前主域控制器 (PDC) 上進(jìn)行更改。未能遵循此順序?qū)?dǎo)致事件 ID 5722 被記錄在 PDC 的事件日志中。重要此分區(qū)、 方法，或任務(wù)包含告訴您如何修改注冊(cè)表的步驟。但是，如果注冊(cè)表修改不當(dāng)可能會(huì)出現(xiàn)嚴(yán)重問題。因此，請(qǐng)確保您仔細(xì)按照這些步驟。附加的保護(hù)注冊(cè)表之前先備份您對(duì)其進(jìn)行修改。然后，您可以在出現(xiàn)問題時(shí)還原注冊(cè)表。有關(guān)如何備份和還原注冊(cè)表的詳細(xì)信息，請(qǐng)單擊下面的文章編號(hào)，以查看 Microsoft 知識(shí)庫中相應(yīng)的文章： 322756 (/kb/322756/ ) 如何備份和還原在 Windows 注冊(cè)表1. 啟動(dòng)注冊(cè)表編輯器。 這樣做單擊 開始、 單擊 運(yùn)行、 打開 框中鍵入 regedit，然后單擊 確定。 2. 找到并單擊以下注冊(cè)表子項(xiàng)： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParameters3. 在 編輯 菜單上指向 新建，然后單擊 DWORD 值。 4. 鍵入 RefusePasswordChange 作為注冊(cè)表的項(xiàng)名稱，然后按 ENTER 鍵。 5. 在 編輯 菜單上單擊 修改。 6. 在 數(shù)值數(shù)據(jù) 框中鍵入值 1，然后單擊 確定。 7. 退出注冊(cè)表編輯器。注意RefusePasswordChange 注冊(cè)表項(xiàng)會(huì)導(dǎo)致拒絕密碼更改請(qǐng)求只能從工作站或成員服務(wù)器運(yùn)行 Windows NT 版本 4.0 或更高版本的域控制器。 如果后第一次在工作站或成員服務(wù)器試圖更改其計(jì)算機(jī)帳戶密碼設(shè)置為值 1 的 RefusePasswordChange 注冊(cè)表項(xiàng) （通過返回不同的狀態(tài)代碼） 禁止將來試圖更改密碼。一臺(tái)基于 Windows NT 4.0 的計(jì)算機(jī)將嘗試在七的天后更改其計(jì)算機(jī)帳戶密碼和一臺(tái)基于 Windows 2000 的計(jì)算機(jī)將在 30 天后重試。如果將 RefusePasswordChange 注冊(cè)表項(xiàng)設(shè)置為值 1，將停止復(fù)制通信但不是在客戶端的通信。如果將 DisablePasswordChange 注冊(cè)表項(xiàng)設(shè)置為值 1