38、深入理解活动目录安全主体账户

深入理解活动目录安全主体账户

1. 活动目录安全主体账户概述

活动目录由各种各样的目录服务对象组成，其中安全主体账户包括以下几类：
- 用户账户
- 计算机账户
- 组

安全主体账户用于身份验证和访问控制，能帮助管理网络上的可访问资源。基于与安全主体账户关联的安全设置，可以控制用户、组或计算机是否有权访问活动目录、打印机、文件系统对象，以及域控制器（DC）、成员服务器、客户端计算机、应用程序和网络的其他元素，是保护网络安全和控制用户及计算机访问权限的重要因素。

2. 安全主体与安全标识符（SIDs）

安全主体之所以得名，是因为它们是活动目录对象，在创建时会被分配安全标识符（SIDs）。SID 用于控制对资源的访问，并由内部进程识别安全主体。由于每个 SID 都是唯一的，只要系统由管理员正确配置，在安全未被破坏的情况下，账户就不会错误地访问受限资源。

2.1 SID 的唯一性

SID 的唯一性得益于其颁发方式。在每个域中，都有一个充当相对 ID（RID）主服务器的 DC。RID 主服务器负责生成相对标识符，用于创建 SIDs。SID 是一个包含域安全标识符和相对标识符的数字，域 ID 对域中的所有对象都相同，但相对标识符是唯一的。域内的每个 DC 都会获得一组这样的数字，以便分配给在该 DC 上创建的安全主体。当池中的 80% 的数字已分配给对象时，DC 将向 RID 主服务器请求新的数字池。

2.2 SID 的稳定性

与对象关联的名称不同，SID 不会改变。对象创建时会关联一个唯一的字母数字值，该值会一直与对象关联，直到对象被删除。更改对象