Cách làm mới nhóm bảo mật AD trên quyền của Sql Server

Tôi đang sử dụng Sql Server 2008 trên Máy chủ doanh nghiệp nhỏ 2003; khách hàng đang sử dụng WinXP.

Tôi đã thêm một người dùng vào Nhóm bảo mật Active Directory của tôi; Tại sao người dùng này không thể truy cập ngay vào cơ sở dữ liệu? Có vẻ như có một độ trễ trước khi người dùng được nhận ra trong Sql Server.

Tôi đang sử dụng AD Security Groups cho các quyền một cách rõ ràng để tôi không cần thêm người dùng cá nhân vào Sql Server. Vì vậy, hiệu quả là tôi không cần phải làm gì ngoài việc thêm người dùng vào Nhóm bảo mật AD để cấp quyền truy cập.

Nhưng vì một số lý do, Sql Server không nhận ra ngay sự bổ sung. Tôi đã thấy điều này một số lần. Tôi thêm người dùng vào nhóm nhưng người dùng đó không thể truy cập dữ liệu cho đến ngày hôm sau. Có vẻ như nó không truy vấn Active Directory trong thời gian thực. Bạn có thể xác nhận đó là như vậy?

Tôi cần làm gì để Sql Server "làm mới" danh sách người dùng từ Active Directory?

Người dùng cần phải đăng xuất khỏi máy trạm của họ và đăng nhập lại. Đó là lý do tại sao những thay đổi dường như có hiệu lực vào ngày hôm sau. Lý do cho điều này là khi người dùng đăng nhập vào ngày hôm sau, họ nhận được mã thông báo mới từ bộ điều khiển miền và mã thông báo này chứa danh sách các nhóm miền mà họ là thành viên. Mã thông báo này với danh sách các nhóm miền chỉ được cập nhật khi người dùng đăng nhập vào máy tính của họ, vì vậy nếu người dùng không bao giờ đăng xuất thì mã thông báo sẽ không được cập nhật.

Ngoài ra còn có sự chậm trễ sao chép tên miền nhiều trang web cần được tính đến nếu bộ điều khiển miền của bạn ở các vị trí thực tế khác nhau.

Khi người dùng đăng nhập, họ được chỉ định mã thông báo bảo mật bao gồm tất cả thông tin về tư cách thành viên nhóm của họ.

Mã thông báo này vẫn tồn tại cho đến khi người dùng đăng xuất - tại thời điểm đó nó bị loại bỏ - ngay cả khi bạn thay đổi thành viên nhóm trong AD trong thời gian trung bình. Những thay đổi bạn thực hiện sẽ chỉ có hiệu lực vào lần tiếp theo người dùng đăng nhập và nhận mã thông báo bảo mật mới.

Ví dụ, bạn có thể tái tạo kịch bản tương tự khi gán quyền trên hệ thống tệp; đó là hành vi AD, không phải hành vi SQL Server.

Vì vậy, bạn nhận được kết quả ngay lập tức sẽ nhận được thông tin đăng nhập mới mỗi lần bằng cách chạy cmd / script như:

runas /netonly /user:domain\username "sqlcmd -S serverName -d dbname -q \"insert into testpermissions values (65)\""

sử dụng cmd.exe (không phải powershell, tôi không thể trích dẫn chính xác).

Bằng cách đó, bạn sẽ nhận được mã thông báo mới mọi lúc (nhưng phải nhập pwd của bạn). Bạn có thể có thể làm một cái gì đó với một văn bản mật khẩu đã lưu, nếu mọi thứ quá nặng nề.

Dù sao, làm việc cho tôi và tôi hy vọng nó sẽ giúp người khác.