Windows 2003 User and Group

Windows用户和组账户系列一

一.Windows账户类型分类：

1.本地用户账户：使用本地用户和组进行创建，存储在SAM数据库中。SAM文件目录：C:\Windows\System32\Config\SAM

用户使用本地账户登录时，系统会去查询SAM数据库来进行验证。

称为本地身份验证类型。

2.域用户账户：使用AD和计算机创建，存储在活动目录数据库。

活动目录数据库：C:\Windows\NTDS\Ntds.dit

用户登录时，选择登录到域，会去联系域控制器来查询活动目录数据库Ntds.dit来进行验证。 称为网络身份验证类型。

 

二.Windows SID简介

  SID称为安全标识符(Security Identifiers)，是标识用户、组和计算机账户的唯一号码。第一次创建账户时，系统会默认生成一个SID。操作系统底层是通过SID来标识用户并完成身份验证。

 

SID产生具有一定的规则：通常情况下由计算机名、当前时间、当前用户态线程的CPU耗费时间的总和三个参数决定以保证它的唯一性。(因此容易理解，当删除了一个用户后，创建相同名字的用户，其实本质上的SID不一样，因此两个用户也不相同）

具体需要了解SID，请参考：http://jerryhui.blog.51cto.com/109787/239829

 

三.Windows用户组(例举Administrators和Users)

默认情况下，Windows管理员组具有完全权限，但是对于某些注册表项，管理员也不具有相应权限，需要通过夺取所有者权限。如

HKLM\SAM\SAM项。

默认情况下，Winxp的Users组用户，无法更改系统时间，无法共享文件夹，无法添加本地打印机，但可以关机。

默认情况下，Win2003的Users组用户，无法更改系统时间，无法共享文件夹，无法添加本地打印机，且无法关机（因为服务器一般运行过程很少关机，一般用户无权关机）

 

四.Windows账户相关信息

Windows密码默认过期时间为42天。(当未设置密码永不过期）
当设置用户不能更改密码之后，如果用户要更改密码，会出现拒绝访问的提示。
当设置账户被停用，开机用户登录的时候会提示您的账户已被停用。

Windows本地账户的信息，除了存储在SAM数据库中，还有一部分信息存储在注册表中。在HKEY_LOCAL_Machine\SAM\SAM中，使用管理员也无法查看，需要修改权限。操作方式为：右键点击SAM，选择权限，然后赋予相应的权限给管理员。

 

五.用户账户的创建方式

1.本地用户账户

1）本地用户和组：lusrmgr.msc

2）Net user命令：(eg:net user jerry 123 /add ，添加用户jerry,密码为123）修改密码：net user jerry 456,密码改为456. 删除用户：net user jerry /del

3）脚本

 

2.域用户账户

1）AD用户和计算机:dsa.msc

2)User add

3)脚本

 

 

 

 

本文出自 “Jerry的网络课堂” 博客，转载请与作者联系！