- PR -

ADにおけるコンピュータアカウントの有効期限

1
投稿者投稿内容
yanotchi
会議室デビュー日: 2004/11/30
投稿数: 4
投稿日時: 2004-11-30 20:58
Windows2003ServerにてADを構築していますが、ADに参加しているクライアント(Windows2000&XP)を長期間(数日)ネットワークから外して使用する場合、ネットワークに再接続した時には、ADに問題無く接続できるのでしょうか？
zousan
大ベテラン
会議室デビュー日: 2004/11/09
投稿数: 129
投稿日時: 2004-11-30 21:09
要はコンピュータアカウントのパスワード自動更新機能があって、長時間オフラインだとドメイン参加できなくなる現象のことですね。その場合はクライアントのドメイン再参加とかＡＤユーザとコンピュータでアカウントリセットですね。

クライアントの２週間オフラインなら実際に経験ありますが、問題ありません。確か１ヶ月でパスワード自動更新ではなかったかと。つまり１ヶ月までならオフラインＯＫ。

ちなみにＤＣが６０日以上古い状態でリストアできないのは有名ですね。
yanotchi
会議室デビュー日: 2004/11/30
投稿数: 4
投稿日時: 2004-11-30 21:17
zousanさん、ありがとうございました。
まるちねす
ぬし
会議室デビュー日: 2004/04/28
投稿数: 302
投稿日時: 2004-12-04 11:36
http://support.microsoft.com/default.aspx?scid=kb%3Bja%3B216393

引用:
要はコンピュータアカウントのパスワード自動更新機能があって、
長時間オフラインだとドメイン参加できなくなる現象のことですね。


そういう現象に遭遇したことはないのですが・・・・・・
ソース希望

メンバーがオフラインの状態でDCが一方的にコンピュータアカウントの
パスワードを変更することはありません。
パスワードが変更されるのはDCとメンバーが通信できている状態のときに、
前回のパスワード変更時より30日以上経過している場合です。

たった今65日以上オフラインのクライアントをLANに接続してみましたが
問題なくドメインと通信ができましたし、接続したタイミングでコンピュータ
アカウントの変更が行われたようです。
（クライアント　および　2003DCのイベントログを確認済）

ドメインと通信できなくなる状況としては、
・DCを60日以前の状態から複製したような場合
　Ntbackup では試したことないのでわかりませんが、
　この方法で復元が拒否されるのだとしても
　イメージバックアップからの復元等なら可能なので、
　そういった事態が起こりえます。
　　DCの状態　　　　60日以前の状態
　　メンバーの状態　現在
　ということでパスワードが食い違いDCとの交信が不可能になります。

・クライアントを60日以上まえの状態に復元した
　　DCの状態　　　　　現在
　　メンバーの状態　　60日以前の状態
　やはりパスワードが食い違いDCと交信が不可能になると思われます。

・クライアントを60日以上オフラインにしていたが、リストアは行っていない。
　　DCの状態　　　　現在・・・クライアントの直近のパスワードを保持
　　メンバーの状態　現在・・・直近のパスワードでDCと交信する。
　ただし、30日以上経過しているので、新パスワードへ変更される。

ということで
DCやメンバーをバックアップからリストアなどせずに、継続的運用
している状態でメンバーがオフラインだとしても再接続したタイミングで
パスワードの変更が行われるので、DCと通信できなくなるということは通常
ないのではないでしょうか。
60日というのは1回分過去のパスワードをキャッシュしているため
30+30で60日だと理解してますが・・・・・

識者の方、補足いただければ幸いです。
まるちねす
ぬし
会議室デビュー日: 2004/04/28
投稿数: 302
投稿日時: 2004-12-04 11:38
引用:
・DCを60日以前の状態から複製したような場合


複製じゃなく、復元です。
zousan
大ベテラン
会議室デビュー日: 2004/11/09
投稿数: 129
投稿日時: 2004-12-04 17:45
なるほど、通常ではパスワード自動延長されるとのことですね。納得です。

私の経験ではＮＴの時代から、それぞれ異なる環境ですが、片手くらい出会いました。

６０日以上前のＨＤＤイメージで戻したＤＣや、長期オフラインだったかのＢＤＣもありましたが、そうでないのもありました。216393は最後のほうのトラブル時に参照しましたが、改めて読んでみると、「何らかの理由でそうなる」とあるので、私も具体的に知りたいと思います。

ちなみにＢＤＣの例ではＯＳ再インストールは不要でした。２００３のＡＤユーザとコンピュータでは、なんとＢＤＣのコンピュータアカウント作成機能があったためです。
zousan
大ベテラン
会議室デビュー日: 2004/11/09
投稿数: 129
投稿日時: 2004-12-04 20:26
思い出したので追加。

ＢＤＣのコンピュータアカウントを再作成したドメインは２０００でした。ドメイン参加のＸＰに２００３の管理ツール（ADMINPAK.MSI)をインストールしたら、新機能が使えました。２００３を買ってない人も、無償のＲＣ版とか試用版から入手は可能ですが、厳密には違反かも。
1

スキルアップ／キャリアアップ（JOB@IT）