- PR -

コンピュータSIDの重複

1
投稿者投稿内容
アレック
常連さん
会議室デビュー日: 2005/09/16
投稿数: 29
投稿日時: 2008-05-14 09:46
基本的なことで大変恐縮なのですが、重複したコンピュータアカウントのＳＩＤに関してご教授頂けないでしょうか。

ＡＤに登録されている、コンピュータアカウントのＳＩＤと、ローカルのレジストリの登録されているローカルＰＣのＳＩＤの内容が、dsget コマンドや、PsGetSid ツールを使用して調べてみると、全く異なる値が表示されます。

よく言われるSIDの重複事故とは、ＡＤ内でのＳＩＤの重複を指すのでしょうか。
たとえば、ゴーストなどを使用して、SysprepのＳＩＤの再構成を実行していないイメージから、クローンＰＣを作成した場合、レジストリ内でＳＩＤの重複がおこると思うのですが、これがＡＤへのログオン時にどう影響するか、いまいちローカルＰＣとＡＤに登録されているＳＩＤの紐付けの仕組みがわかりません。

Ntdsutil の、cleanup duplicate sidなどは、ＡＤ内の重複を解消する為のコマンドだと思うのですが、ローカルＰＣのＳＩＤはそのままになるのでしょうか。

また、ローカルのＰＣでコンピュータのＳＩＤが重複されている起こりうる問題、
ＡＤ内で重複している場合におこりうる問題とは、どのようなものでしょうか。

質問ばかりで大変恐縮ですが、どうぞよろしくお願い致します。
ゆいたん
ベテラン
会議室デビュー日: 2004/08/26
投稿数: 91
投稿日時: 2008-05-14 18:48
こんばんわ

> いまいちローカルＰＣとＡＤに登録されているＳＩＤの紐付けの
> 仕組みがわかりません。

http://technet.microsoft.com/en-us/sysinternals/bb897418.aspx
The SID Duplication Problemを読む限りは関係ないと認識しています。
まるちねす
ぬし
会議室デビュー日: 2004/04/28
投稿数: 302
投稿日時: 2008-05-14 20:04
PCの SID が重複していても ADへは参加できます。
実際sysprepしてないクローニングマシンが現在ADに参加中です。
ログオンするのはドメインのアカウントとローカルのAdministratorぐらいならば
問題ありません。

SID の重複が問題になるのは、たとえば
PC A user1（ローカル管理者）
PC B user2（ローカル管理者）
のように違うユーザーIDでも SID が同じになってしまう可能性が
あるということです。すなわち user1 = user2
user1 は A のみならず、Bの管理者ユーザーと同じSIDを持ってしまいます。
このようなとき、ID・パスワードが違っていても　共有フォルダなどへ
パススルーするかどうか・・・・・・その点は、すみません。わかりません。
アレック
常連さん
会議室デビュー日: 2005/09/16
投稿数: 29
投稿日時: 2008-05-15 13:43
ゆいたんさん、まるちねすさん、

早速のご返答ありがとうございます。

確かに、ドメイン環境では、ＳＩＤの重複は問題にならないと書かれておりました。

ワークグループ環境では、Computer SID と、ＲＩＤからユーザアカウントのＳＩＤが生成されるので、クローンによりＳＩＤが重複していると、まるちねすさんのおっしゃるように、ユーザＩＤ名が異なるのに、同じアカウントとしえ扱われてしまうという問題が発生するのですね。ということは、まるちねすさんのおっしゃるように、異なるユーザ名でも、パスワードが同じだと、パススルーで、ログオン出来てしまうのではないかと私も思います。

これがドメイン環境だと、ＳＩＤは、ドメインＲＩＤマスタが割り当てるＲＩＤを使用して生成される為に、クローンによって重複の問題はおこらないということですね。

特定のクローンＰＣ（同じイメージ、複数台）でＤＣからのグループポリシーのダウンロードがうまくいかない（特に制限付ユーザの設定）、突然ドメインリソースにアクセス出来なくなる（セキュアチャンネルが切れる）、などの問題が、ＳＩＤの重複に起因しているのではと考えていたのですが、関係ないようですね。
まるちねす
ぬし
会議室デビュー日: 2004/04/28
投稿数: 302
投稿日時: 2008-05-15 16:11
SIDが同じだと、ローカルのAdministratorは　500番で　確実に他のPCと
同じSIDを持ってしまいますので

ネットワークの管理者が全PCのローカルの管理者
だっていう場合には問題はないと思いますが、
運用形態においては　ドメインユーザーが通常ログオンするユーザー
だけども、ソフトウェアのインストールなどは　ローカルの Administrator
でログオンしてそれぞれ行ってください。なんて形態もあるかもしれません。

やはり SID は異なるようにしておくのが基本です。
sysprep をし忘れてしまって、後から気づいたのが現状です。
アレック
常連さん
会議室デビュー日: 2005/09/16
投稿数: 29
投稿日時: 2008-05-22 11:21
大変お世話になっております。

ＳＩＤの重複でまた、疑問に思うことがあります。
ご指導頂ければ大変助かります。

以下の、Symantecのサイトのゴーストのクローンに関する記述の、
”ドメインに参加しているワークステーションのためのＳＩＤ”という項目で、
ワークグループ環境では、セキュリティの問題がおき、ドメインでは、”Windows NT/2000 は、同じ SID を持っている 2台のコンピュータがドメインにログオンすることを許可しません”
とかかれております。

http://service1.symantec.com/SUPPORT/INTER/ghostjapanesekb.nsf/0/426f1d5c1160108a88256afc0006a35b?OpenDocument

ドメインに既に参加している状態のＰＣのクローンを作成すると、当然ローカルＰＣのＳＩＤとドメインのＳＩＤも重複することになるということだと思うのですが、
ローカルのＰＣに、ローカルＰＣのＳＩＤと、ドメインのＰＣのＳＩＤ両方が登録されているということでしょうか。
そして、そのローカルＰＣに保存されているドメインＰＣのＳＩＤとＡＤ上のＳＩＤが紐付けられており、重複するＳＩＤでの同時アクセスを禁止していることなんでしょうか。

確かに、ドメインに参加しているＰＣで、ＳＩＤの重複してしてしまっているＰＣは、ドメインに参加は出来るのですが、しばらくして、ドメインに入れなくなり（コンピュータアカウントが見つかりませんのメッセージ）、ドメインから抜いたり、名前を変更しても改善されなかったことがありました。

ただ、ローカルＰＣ上で、ドメインＰＣとして割り当てられているＳＩＤを見る方法がわかりません。
ポリシーの設定がダウンロード出来ないなどの問題も、やはりＳＩＤの重複に起因しているのでしょうか。

質問ばかりで大変恐縮ですが、どうぞよろしくお願い致します。

1

スキルアップ／キャリアアップ（JOB@IT）