วิธีการล้าง SID ของเด็กกำพร้าใน ACE ใน AD

9

ตามคำถามของฉันทำลิงก์ย้อนกลับชัดเจนในโฆษณาสำหรับผู้ใช้ที่ถูกลบฉันมีคำถามอื่นที่เกี่ยวข้อง แต่คำถามที่แตกต่างกัน

เนื่องจากฉันได้รับแจ้งในคำตอบว่ามี SID ของวัตถุที่ถูกลบ (กลุ่มหรือผู้ใช้ดังนั้นการกำหนดสิทธิ์ให้กับกลุ่มจะลดปัญหาให้น้อยที่สุดและไม่ได้แก้ไข) จะยังคงอยู่ภายใน ACE ที่พวกเขาได้รับมอบหมาย

Lotus Domino ซึ่งมีปัญหาที่คล้ายกันกับการอ้างอิงย้อนกลับมีกระบวนการ adminp เพื่อล้างการอ้างอิงที่ถูกโยงถึง

มีกระบวนการที่คล้ายกันในโฆษณาที่จะช่วยให้คุณล้างข้อมูล SID ที่ถูกกำพร้าซึ่งลอยอยู่รอบ ๆ โดเมนของคุณหรือไม่?

active-directory tombstones

— geoffc
แหล่งที่มา

2

ฉันไม่ทราบวิธีอัตโนมัติในการทำเช่นนี้ดังนั้นจึงเป็นความคิดเห็นแทนคำตอบ ฉันสงสัยว่านี่เป็นวิธีแก้ปัญหาของคุณเองและฉันก็สนใจที่จะตอบกลับเช่นกัน ยูทิลิตี้ของ Microsoft dsaclsสามารถใช้เพื่อจัดการ ACL โดเมนซึ่งฉันคิดว่าอาจมีประโยชน์ในสถานการณ์นี้ ... อาจเป็นไปได้กับ PowerShell-fu บางตัว

— jscott

1

แปลกนี้จะต้องเป็นปัญหาที่พบบ่อยหรืออื่น ๆ ที่ไม่มีใครจริงๆใส่ใจเกี่ยวกับเด็กกำพร้าของซิด ...

— geoffc

7

ฉันยังไม่ได้ทดสอบสิ่งนี้ดังนั้นให้อภัยโพสต์ที่ยึดเอาไว้ของฉัน (แต่ฉันไม่มีโดเมนทดสอบและไม่ได้วางแผนในการทดสอบในการผลิต) แต่บางทีคุณอาจกำลังมองหา SUBINACL ดาวน์โหลดได้ที่นี่

subinacl.exe / help / cleandeletedsidsfromจัดเตรียมสิ่งต่อไปนี้:

/ cleandeletedsidsfrom = โดเมน [= DACL | SACL | เจ้าของ | primarygroup | ทั้งหมด]

delete all ACEs containing deleted (no valid) Sids from DomainName
You can specify which part of the security descriptor will be scanned
(default=all)
If the owner is deleted, new owner will be the Administrators group.
If the primary group is deleted, new primary group will be the Users group.

ปรากฏว่าคุณสามารถใช้สิ่งนี้พร้อม/สวิตช์samobjectเพื่อใช้กับผู้ใช้หรือกลุ่ม

— Jordan W.
แหล่งที่มา

1

แล้วใช้เครื่องมืออย่าง Security Explorer แค่ไหน? มันเหมือนกับ Windows Explorer บนเตียรอยด์และสามารถค้นหาและลบ SID ของ Orphaned จากส่วนกลางเพื่อทำความสะอาดได้ www.securityexplorer.com

— Eric Peterson
แหล่งที่มา

Security Explorer, $ 445.00 สำหรับการใช้งาน 30 วัน ไม่ขอบคุณ Dell

— Gordon Bell

0

มันเป็นแง่มุมหนึ่งของเครื่องมือ แต่DatAdvantageทำสิ่งนี้และการจัดการไฟล์ / ไดเรกทอรีระบบและการล้างข้อมูลอื่น ๆ

— Mike Buckbee
แหล่งที่มา

-1

ฉันเพิ่งเจอปัญหานี้เมื่อทำงานกับลูกค้าและแทนที่จะผ่าน PowerShell ทั้งหมดและสิ่งอื่น ๆ ที่ฉันมีปัญหากับฉันฉันเขียนโปรแกรมอย่างรวดเร็วด้วย GUI เพื่อลบบัญชีผีทั้งหมด ง่ายกว่านี้มาก กรุณาตรวจสอบที่http://chstechsolutions.com/articles/2017/3/1/j8knqicyixvon3byelairoub47mvv6

ฉันคิดว่ามันง่ายกว่ามากและฟรี

— คริส
แหล่งที่มา