| Предыдущий | Следующий |
| ERROR_DS_LOCAL_CANT_HAVE_CROSSDOMAIN_LOCAL_MEMBER | ERROR_DS_STRING_SD_CONVERSION_FAILED |
ERROR_DS_HAVE_PRIMARY_MEMBERS
Ссылки на основную группу по-прежнему зависят от SID группы
Основное членство не представлено обычным значением в атрибуте группы member. Атрибут пользователя primaryGroupID хранит RID основной группы, а при построении токена пользователь считается её членом, даже если обычное перечисление членства не показывает эту связь. Преобразование такой группы в группу рассылки удалит семантику безопасности, хотя учётные записи всё ещё зависят от её SID.
Найдите пользователей и компьютеры, у которых primaryGroupID равен RID группы, затем назначьте подходящую новую основную группу до изменения флага безопасности. Не полагайтесь только на видимый список участников группы или обратные ссылки memberOf. После изменений проверьте членство токена и доступ в новом аутентифицированном сеансе, поскольку существующие токены могут сохранять старый SID группы.
Что проверить
- Извлеките RID из objectSid группы.
- Ищите по primaryGroupID, а не только по member/memberOf.
- После смены основной группы повторно аутентифицируйте тестовые учётные записи.
Ссылки
Нужно найти другой код? Найти другой код состояния или ошибки.