Windows Server 2016 学习笔记 21：域环境中的统一身份验证与共享授权

本节概览

本节从域用户登录讲到访问域内共享资源，重点是区分身份验证和资源授权。老师用域控制器、客户端、SID 与访问令牌做概念性说明，并演示域用户组授权、Domain Admins 与客户端本地 Administrators 组的关系，以及设置拒绝权限后共享无法访问的现象。

统一身份验证的课程解释

按老师的讲解，域用户可以在域内计算机登录，之后访问域内其他计算机资源时通常不必再次输入账户密码。课程把这种体验称为“统一身份验证”。本节以示意方式说明：域控制器验证域用户，客户端保留本次登录的身份信息和相关组关系；访问另一台计算机的共享时，服务器根据访问者身份及授权规则处理请求。

这只是课程对访问过程的概括，视频没有展开协议细节。手写姓名、密码与部分 SID 标注不清，本篇不抄录。

域管理员组与客户端本地管理员组

课程展示了域中的 Domain Admins 与客户端本地 Administrators 组之间的成员关系，并说明该关系会使相应域管理员在已加入域的客户端具有本地管理权限。老师也提到，如需取消这种管理范围，可调整相应组成员关系。

修改此类关系会影响管理能力，实际环境应先核对组织授权、变更范围和应急管理员路径，再按变更流程执行；不要只为复现实验而在生产终端上改动组成员。

使用域组管理共享权限

课程创建 Data 文件夹并共享，再建立销售部门的 sales 域组，将用户加入组，并为该组设置共享访问和修改权限。实验中可辨认的组名为 sales (91XUEIT\sales)；组成员姓名无法确认。

关系可以概括为：域用户加入 sales 组，sales 组获得 Data 共享的访问和修改权限，成员再以自己的身份访问共享。用组授权可以集中管理成员，但共享权限和文件系统权限仍需一并考虑。

客户端验证与拒绝访问

老师在 Windows 7 客户端使用域用户登录并访问服务器共享，随后在文件安全信息中查看所有者。课程画面中服务器路径可辨认为 C:\data\123.txt，访问服务器使用的网络位置为 192.168.80.24。所有者显示名无法逐字确认，不在此猜测。

随后，老师对指定用户设置拒绝权限，再从客户端验证其无法打开资源。具体用户和拒绝权限项无法确认。这个演示再次说明：域身份验证成功只代表身份被识别，实际访问还受共享与文件权限控制。

课程附带的“10 台”说明

讲义在普通域用户加入计算机的段落标注了“10 台”的数量限制。本文将其作为本课程材料记录，不把它当成适用于所有组织和当前环境的固定结论；实际加域权限可能还受目录配置、委派和策略影响，需按目标域核实。

复盘要点

• “统一身份验证”描述的是域登录后访问资源时减少重复输入凭据的体验。
• SID、组关系和访问令牌仅按课堂示意理解，本节未提供完整协议细节。
• 用 sales 组授权 Data 共享时，先整理组成员，再分别核对共享和文件系统权限。
• Domain Admins 与客户端本地 Administrators 的组关系决定重要管理边界，变更前应确认授权。
• 身份认证成功并不保证共享访问成功；拒绝权限也会影响最终访问结果。

总结

本节把域登录、身份上下文和共享授权串联起来：域控制器验证用户，资源服务器再按身份、组关系和权限决定是否允许访问。课程通过 sales 组授权 Data 共享并演示拒绝访问，帮助区分身份验证与资源授权。涉及的数量限制和组关系以课程示例为边界，真实环境需核实本域策略。

课程来源

本文依据《3-5、统一身份验证》课程讲解整理，配图为概念示意，不代表真实网络抓包或实测结果。

返回顶部