| Предыдущий | Следующий |
| ERROR_DS_LOCAL_CANT_HAVE_CROSSDOMAIN_LOCAL_MEMBER | ERROR_DS_STRING_SD_CONVERSION_FAILED |
ERROR_DS_HAVE_PRIMARY_MEMBERS
Ссылки на основную группу по-прежнему зависят от SID группы
Основное членство не представлено обычным значением в атрибуте группы member . Атрибут пользователя primaryGroupID хранит RID основной группы, а при построении токена пользователь считается её членом, даже если обычное перечисление членства не показывает эту связь. Преобразование такой группы в группу рассылки удалит семантику безопасности, хотя учётные записи всё ещё зависят от её SID.
Найдите пользователей и компьютеры, у которых primaryGroupID равен RID группы, затем назначьте подходящую новую основную группу до изменения флага безопасности. Не полагайтесь только на видимый список участников группы или обратные ссылки memberOf . После изменений проверьте членство токена и доступ в новом аутентифицированном сеансе, поскольку существующие токены могут сохранять старый SID группы.
Что проверить
- Извлеките RID из objectSid группы.
- Ищите по primaryGroupID, а не только по member/memberOf.
- После смены основной группы повторно аутентифицируйте тестовые учётные записи.
Ссылки
- Microsoft: атрибут primaryGroupID
- MS-ADTS: семантика основной группы
- Microsoft: флаг security-enabled атрибута groupType
Нужно найти другой код? Найти другой код состояния или ошибки.