禁用域中Windows操作系統(tǒng)Machine Password.doc

禁用Machine Password其它參考資料：Unable to Log On To the Domain Document ID: CTX115354 / Created On: 2007-11-27 / Updated On: 2007-11-27 Average Rating: (1 ratings) View products this document applies toSymptomsThis article addresses an issue in which Ardence clients are unable to log on to an Active Directory domain.CauseIf Ardence clients, previously able to log on to an Active Directory domain, are no longer able to log into the domain, a misconfiguration within the Local Security Policies of the clients may be the cause. To confirm this is the issue, check the System Log within Event Viewer on the Active Directory Server for the following error:Event ID 5722: The session setup from the computer Computer_Name failed to authenticate. The name of the account referenced in the security database is AccountName$. The following error occurred: Access is denied.ResolutionTo allow Ardence clients to log into an Active Directory domain, perform the following:1. Shutdown all Ardence clients booted off the shared virtual disk (vDisk).2. In the Ardence Administrator, set the Disk Access mode within the properties of the vDisk to Private Image mode.3. Boot one client off the vDisk in Private Image mode.4. Log on to the client with a local Administrator account and verify that the Local Security Policy Disable machine account password changes is enabled.Windows XP:Go to Start Control Panel Administrative Tools Local Security Policy Local Policies Security Options.Windows 2000:Go to Start Run, type regedit in the Open box, and then click OK.Locate and click the following registry subkey: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParametersIn the right window pane, click the DisablePasswordChange entry.On the Edit menu, click Modify.In the Value data box, enter a value of 1 and click OK.Exit the Registry Editor.5. Shutdown the client.6. Set the Disk Access mode for the vDisk back to Shared Image mode.7. On the Ardence Server, open a DOS window, navigate to the Ardence installation directory (C:Program FilesArdenceArdence default) and enter the following command for each client to modify its password within Active Directory:SetComputerAccount /m Client_Machine_Name /o Organizational_Unit8. Boot the clients off the vDisk in Shared Image mode.The clients should now be able to log into the Active Directory domain.More InformationFor more information on Event ID 5722, refer to Microsoft article entitled Event ID 5722 is logged on your Windows 2000 Server-based domain controller:根據(jù)我的經(jīng)驗，對于域中的每個計算機來說，它和DC之間有一個安全通道。安全通道的密碼和計算機賬號一起保存在PDC上，并且被復(fù)制到所有的BDC上。該密碼也會保存在客戶端上。如果PDC是NT4的話，在缺省情況下，系統(tǒng)每隔7天就會發(fā)送安全通道更改和計算機賬號密碼更新的通知。對于XP、2000、2003的計算機來說，缺省的計算機賬號密碼更新為30天。如果客戶端長時間不登錄域，DC可能更改過您的計算機賬號的密碼，這樣就會導(dǎo)致您計算機賬號的密碼和DC上的不一致。造成無法登錄的情況。您可以將客戶端退出域，通過重新加入域的方法來修復(fù)該問題。/zh-cn/library/cc785826.aspx域成員：禁用更改機器帳戶密碼域成員：禁用更改機器帳戶密碼描述確定域成員是否要定期更改其計算機帳戶密碼。如果啟用該設(shè)置，則域成員不會試圖更改其計算機帳戶密碼。如果禁用該設(shè)置，則域成員需按照設(shè)置“域成員：最長機器帳戶密碼壽命”中指定的要求更改其計算機帳戶密碼，默認(rèn)值為每隔 30 天。默認(rèn)：已停用。 配置此安全設(shè)置可通過打開相應(yīng)的策略并按以下方式展開控制臺樹來配置該安全設(shè)置：計算機配置Windows 設(shè)置安全設(shè)置本地策略安全選項有關(guān)如何配置安全策略設(shè)置的特定說明，請參閱編輯組策略對象上的安全設(shè)置。注意 不應(yīng)該啟用此安全設(shè)置。計算機帳戶密碼用于在成員和域控制器之間以及域內(nèi)的域控制器之間建立安全通道通信。安全通道一旦建立，即可用于傳送進行身份驗證和作出授權(quán)決定所需的敏感信息。 如果試圖支持使用同一計算機帳戶的雙引導(dǎo)方案，則不應(yīng)使用該設(shè)置。如果希望對加入在相同域的兩個安裝進行雙引導(dǎo)，則需要給予這兩個安裝不同的計算機名稱。詳細(xì)信息，請參閱： 域控制器：拒絕更改機器帳戶密碼 域成員：最長機器帳戶密碼壽命 /kb/154501/zh-cn基于 Microsoft Windows NT 的計算機和基于 Microsoft Windows 2000 的計算機上，機器帳戶密碼會定期更改為安全目的。在基于 Windows NT 的計算機上的默認(rèn)計算機帳戶密碼會自動更改每七天。 在基于 Windows 2000 的計算機上機器帳戶密碼自動每 30 天更改一次。本文介紹了如何，管理員可以禁用更改自動機器帳戶密碼。 警告如果禁用了更改機器帳戶密碼，有安全風(fēng)險因為安全通道用于通過身份驗證。如果有人發(fā)現(xiàn)密碼，他或她可以潛在地執(zhí)行到域控制器的通過身份驗證。更多信息 您可能希望禁用更改默認(rèn)自動機器帳戶密碼的由于下列原因之一： 您想減少復(fù)制匹配項。更改自動機器帳戶密碼的一個副作用與多個客戶端計算機和域控制器的域可能會導(dǎo)致頻繁的.您可能希望禁用更改默認(rèn)自動機器帳戶密碼的由于下列原因之一： 您想減少復(fù)制匹配項。更改自動機器帳戶密碼的一個副作用與多個客戶端計算機和域控制器的域可能會導(dǎo)致頻繁的基礎(chǔ)上進行復(fù)制。您可以禁用自動更改機器帳戶密碼可減少復(fù)制匹配項。 有兩個單獨的 Windows NT 或 Windows 2000 安裝在同一 computerin 雙重引導(dǎo)配置。在這種情況下共享相同的機器帳戶，Windows NT 或 Windows 2000 的兩個安裝之間唯一的方法是使用默認(rèn)計算機帳戶密碼時加入到域中創(chuàng)建。 如果您經(jīng)常執(zhí)行全新安裝的 Windows NT 或 Windows 2000，您必須具有管理員可以在域創(chuàng)建計算機帳戶在域上。是否有問題可以為默認(rèn)值將計算機帳戶的密碼。 在 Windows NT 版本 3.51 及更高版本，然后在 Windows 2000 中，您可以通過將 DisablePasswordChange 注冊表項設(shè)置為 1 的值來禁用該更改機器帳戶密碼在工作站上。 這樣做，請按照下列步驟。重要此分區(qū)、 方法，或任務(wù)包含告訴您如何修改注冊表的步驟。但是，如果注冊表修改不當(dāng)可能會出現(xiàn)嚴(yán)重問題。因此，請確保您仔細(xì)按照這些步驟。附加的保護注冊表之前先備份您對其進行修改。然后，您可以在出現(xiàn)問題時還原注冊表。有關(guān)如何備份和還原注冊表的詳細(xì)信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章： 322756 (/kb/322756/ ) 如何備份和還原在 Windows 注冊表1. 啟動注冊表編輯器。 這樣做單擊 開始、 單擊 運行、 打開 框中鍵入 regedit，然后單擊 確定。 2. 找到并單擊以下注冊表子項： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParameters3. 在右窗格中單擊 $ DisablePasswordChange 項。 4. 在 編輯 菜單上單擊 修改。 5. 在 數(shù)值數(shù)據(jù) 框中鍵入值 1，然后單擊 確定。 6. 退出注冊表編輯器。在 Windows NT 4.0 版和 Windows 2000，您可以通過 RefusePasswordChange 注冊表項設(shè)置為值為 1，而不是所有的工作站上，在域中的所有域控制器上禁用計算機帳戶密碼更改。這樣做，請按照下列步驟。注意 Windows NT 4.0 的域控制器上您必須在域中的所有備份域控制器 (bdc) 上的 1 的值更改 RefusePasswordChange 注冊表項之前主域控制器 (PDC) 上進行更改。未能遵循此順序?qū)?dǎo)致事件 ID 5722 被記錄在 PDC 的事件日志中。重要此分區(qū)、 方法，或任務(wù)包含告訴您如何修改注冊表的步驟。但是，如果注冊表修改不當(dāng)可能會出現(xiàn)嚴(yán)重問題。因此，請確保您仔細(xì)按照這些步驟。附加的保護注冊表之前先備份您對其進行修改。然后，您可以在出現(xiàn)問題時還原注冊表。有關(guān)如何備份和還原注冊表的詳細(xì)信息，請單擊下面的文章編號，以查看 Microsoft 知識庫中相應(yīng)的文章： 322756 (/kb/322756/ ) 如何備份和還原在 Windows 注冊表1. 啟動注冊表編輯器。 這樣做單擊 開始、 單擊 運行、 打開 框中鍵入 regedit，然后單擊 確定。 2. 找到并單擊以下注冊表子項： HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetlogonParameters3. 在 編輯 菜單上指向 新建，然后單擊 DWORD 值。 4. 鍵入 RefusePasswordChange 作為注冊表的項名稱，然后按 ENTER 鍵。 5. 在 編輯 菜單上單擊 修改。 6. 在 數(shù)值數(shù)據(jù) 框中鍵入值 1，然后單擊 確定。 7. 退出注冊表編輯器。注意RefusePasswordChange 注冊表項會導(dǎo)致拒絕密碼更改請求只能從工作站或成員服務(wù)器運行 Windows NT 版本 4.0 或更高版本的域控制器。 如果后第一次在工作站或成員服務(wù)器試圖更改其計算機帳戶密碼設(shè)置為值 1 的 RefusePasswordChange 注冊表項 （通過返回不同的狀態(tài)代碼） 禁止將來試圖更改密碼。一臺基于 Windows NT 4.0 的計算機將嘗試在七的天后更改其計算機帳戶密碼和一臺基于 Windows 2000 的計算機將在 30 天后重試。如果將 RefusePasswordChange 注冊表項設(shè)置為值 1，將停止復(fù)制通信但不是在客戶端的通信。如果將 DisablePasswordChange 注冊表項設(shè)置為值 1