使用 DsAddSidHistory

DsAddSidHistory 函式會從某個網域 （來源網域） 取得安全性主體的主要帳戶安全性標識碼 （SID），並將它新增至不同樹系中另一個 （目的地） 網域中安全性主體的 sIDHistory 屬性。 當來源網域處於 Windows 2000 原生模式時，此函式也會擷取 來源主體的 sIDHistory 值，並將其新增至目的地主體的 sIDHistory。

將 SID 新增至安全性主體的 sIDHistory 是一項安全性敏感性作業，可有效授與目的地主體存取來源主體可存取之所有資源的目的地主體存取權，前提是信任存在於適用的資源網域至目的地網域。

在原生模式 Windows 2000 網域中，使用者登入會建立存取令牌，其中包含使用者主要帳戶 SID 和群組 SID，以及使用者 sIDHistory 和使用者所屬群組的 sIDHistory。 在使用者的令牌中擁有這些先前的 SID （sIDHistory 值）會授與使用者對包含前 SID 之存取控制清單 （ACL） 所保護之資源的存取權。

這項作業有助於特定 Windows 2000 部署案例。 特別是，它支持針對已存在於 Windows NT 4.0 生產環境中的使用者和群組建立新 Windows 2000 樹系中的帳戶的案例。 藉由將 Windows NT 4.0 帳戶 SID 放在 Windows 2000 帳戶 sIDHistory 中，就會保留網路資源的存取權，讓使用者登入新的 Windows 2000 帳戶。

DsAddSidHistory 也支援將 Windows NT 4.0 備份域控制器 （BDC） 資源伺服器 （或原生模式 Windows 2000 網域中的 DC 和成員伺服器） 移轉至 Windows 2000 網域作為成員伺服器。 此移轉需要在目的地 Windows 2000 網域中建立包含其 sIDHistory 之網域本地組的網域本地組，這是 BDC 上定義之本機群組的主要 SID（或來源網域網域上 Windows 2000 伺服器上 ACL 所參考的網域本地組）。 藉由建立包含 sIDHistory 和來源本地組所有成員的目的地本地組，就會對所有成員維護受參考來源本地組之 ACL 保護的已移轉伺服器資源存取權。

授權需求

DsAddSidHistory 需要來源和目的地網域中的系統管理員許可權。 具體而言，此 API 的呼叫端必須是目的地網域中網域 管理員 istrators 群組的成員。 執行此成員資格的硬式編碼檢查。 此外，SrcDomainCreds 參數中提供的帳戶必須是來源網域中 管理員 istrators 或 Domain 管理員 istrators 群組的成員。 如果在 SrcDomainCreds 中傳遞 NULL，API 的呼叫端必須是來源網域中 管理員 istrators 或 Domain 管理員 istrators 群組的成員。

網域和信任需求

DsAddSidHistory 要求目的地網域處於 Windows 2000 原生模式或更新版本，因為只有此網域類型支援 sIDHistory 屬性。 來源網域可以是 Windows NT 4.0 或 Windows 2000、混合或原生模式。 來源和目的地網域不得位於相同的樹系中。 Windows NT 4.0 網域的定義不在樹系中。 這個樹系間條件約束可確保重複的 SID，無論是顯示為主要 SID 還是 sIDHistory 值，都不會在相同的樹系中建立。

下表所列的案例中，DsAddSidHistory 需要從來源網域到目的地網域的外部信任。

不過，如果來源網域是 Windows NT 4.0，且 SrcDomainCreds 不是 NULL，來源和目的地網域之間就不需要信任。

來源域控制器需求

DsAddSidHistory 要求選取域控制器做為來源網域中作業的目標，必須是 Windows NT 4.0 網域中的 PDC 或 Windows 2000 網域中的 PDC 模擬器。 來源網域稽核是透過寫入作業所產生的，因此，Windows NT 4.0 來源網域中需要 PDC，而僅限 PDC 的限制可確保 DsAddSidHistory 稽核是在單一計算機上產生。 這可減少檢閱所有 DC 稽核記錄以監視此作業使用的需求。

下列登錄值必須建立為REG_DWORD值，並在 Windows NT 4.0 和 Windows 2000 來源 DC 的來源域控制器上設定為 1。

HKEY_LOCAL_MACHINE
   System
      CurrentControlSet
         Control
            Lsa
               TcpipClientSupport

設定此值可透過 TCP 傳輸啟用 RPC 呼叫。 這是必要的，因為根據預設，SAMRPC 介面只能在命名管道上遠端處理。 使用命名管道會導致認證管理系統適合以互動方式登入的使用者進行網路通話，但對於使用使用者提供的認證進行網路呼叫的系統程序來說，並不具彈性。 RPC over TCP 更適合用於該用途。 設定此值並不會降低系統安全性。 如果建立或變更此值，則必須重新啟動來源域控制器，此設定才會生效。

必須在來源網域中建立新的本地組 「<SrcDomainName>$$$$」，以供稽核之用。

稽核

系統會稽核 DsAddSidHistory 作業，以確保來源和目的地網域系統管理員都能夠偵測到此函式何時執行。 來源和目的地網域中必須進行稽核。 DsAddSidHistory 會驗證每個網域中的稽核模式是否開啟，且成功/失敗事件的帳戶管理稽核已開啟。 在目的地網域中，會為每個成功或失敗的 DsAddSidHistory 作業產生唯一的「新增 Sid 歷程記錄」稽核 事件。

Windows NT 4.0 系統上無法使用唯一的「新增 Sid 歷程記錄」稽核事件。 若要產生明確反映 DsAddSidHistory 對來源網域使用稽核事件，它會對名稱為稽核記錄中唯一標識符的特殊群組執行作業。 本地組 「<SrcDomainName>$$$$」，其名稱是由附加三個貨幣符號 （$） 的來源網域 NetBIOS 名稱所組成（$） （ASCII 代碼 = 0x24 和 Unicode = U+0024），必須在來源域控制器上建立，才能呼叫 DsAddSidHistory。 此作業目標的每個來源使用者和全域群組都會新增至 ，然後從此群組的成員資格中移除。 這會在來源網域中產生 [新增成員] 和 [刪除成員] 稽核事件，其可藉由搜尋參考組名的事件來加以監視。

數據傳輸安全性

DsAddSidHistory 會強制執行下列安全性措施：

• 從 Windows 2000 工作站呼叫，呼叫端的認證可用來驗證和保護目的地域控制器的 RPC 呼叫。 如果 SrcDomainCreds 不是 NULL，則工作站和目的地 DC 都必須支援 128 位加密，以保護認證。 如果 128 位加密無法使用，且 提供 SrcDomainCreds ，則必須在目的地 DC 上進行呼叫。
• 目的地域控制器會使用 SrcDomainCreds 或呼叫端的認證與來源域控制器通訊，以相互驗證和完整性保護來源帳戶 SID 的讀取（使用 SAM 查閱）和 sIDHistory （使用 LDAP 讀取）。

威脅模型

下表列出與 DsAddSidHistory 呼叫相關聯的潛在威脅，並解決與特定威脅相關的安全性措施。

操作條件約束

本節描述使用 DsAddSidHistory 函式的操作條件約束。

SrcPrincipal 的 SID 不得已存在於目的地樹系中，可以是主要帳戶 SID 或帳戶的 sIDHistory。 例外狀況是 DsAddSidHistory 嘗試將 SID 新增至包含相同 SID 的 sIDHistory 時不會產生錯誤。 此行為可讓 DsAddSidHistory 以相同的輸入多次執行，進而產生成功和一致的結束狀態，以方便工具開發人員使用。

SrcPrincipal 和 DstPrincipal 必須是下列其中一種類型：

• User

• 已啟用安全性的群組，包括：

  本地組全域群組 網域本地組 （僅限 Windows 2000 原生模式） 通用群組 （僅限 Windows 2000 原生模式）

SrcPrincipal 和 DstPrincipal 的物件類型必須相符。

• 如果 SrcPrincipal 是使用者， DstPrincipal 必須是使用者。
• 如果 SrcPrincipal 是本機或網域本地組， 則 DstPrincipal 必須是網域本地組。
• 如果 SrcPrincipal 是全域或通用群組， 則 DstPrincipal 必須是全域或通用群組。

SrcPrincipal 和 DstPrincipal 不能是下列其中一種類型：（DsAddSidHistory 失敗，在這些情況下發生錯誤）

• 電腦（工作站或域控制器）

• 網域間信任

• 暫時重複帳戶（幾乎未使用的功能，LANman 的舊版）

• 具有已知 SID 的帳戶。 每個網域中的已知 SID 都相同;因此，將它們新增至 sIDHistory 會違反 Windows 2000 樹系的 SID 唯一性需求。 具有已知 SID 的帳戶包含下列本地群組：

  帳戶操作員 管理員 備份操作員來賓列印操作員複寫器伺服器操作員使用者

如果 SrcPrincipal 具有已知的相對標識符 （RID） 和網域特定前置詞，也就是 Domain 管理員 istrators、Domain Users 和 Domain Computers，則 DstPrincipal 必須擁有相同的已知 RID，才能讓 DsAddSidHistory 成功。 具有已知 RID 的帳戶包括下列使用者和全域群組：

• 管理員
• 來賓
• 網域系統管理員
• 網域來賓
• 網域使用者

設定登錄值

下列程式示範如何設定 TcpipClientSupport 登錄值。

設定 TcpipClientSupport 登錄值

1. 在來源域控制器上建立下列登錄值作為REG_DWORD值，並將其值設定為 1。

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TcpipClientSupport

2. 然後，重新啟動來源域控制器。 此登錄值會導致 SAM 接聽 TCP/IP。 如果未在來源域控制器上設定此值，DsAddSidHistory 將會失敗。

啟用使用者/群組管理事件的稽核

下列程式示範如何在 Windows 2000 或 Windows Server 2003 來源或目的地網域中啟用使用者/群組管理事件的稽核。

若要在 Windows 2000 或 Windows Server 2003 來源或目的地網域中啟用使用者/群組管理事件的稽核

1. 在 Active Directory 使用者和電腦 MMC 嵌入式管理單元中，選取目的地域控制器容器。
2. 以滑鼠右鍵按兩下 [域控制器 ]，然後選擇 [ 屬性]。
3. 按兩下 [ 組策略] 索引 標籤。
4. 選取 [ 預設域控制器原則 ]，然後按兩下 [ 編輯]。
5. 在 [計算機設定\Windows 設定\安全性 設定\本機原則\稽核策略] 底下，按兩下 [稽核帳戶管理]。
6. 在 [稽核帳戶管理] 視窗中，選取 [成功] 和 [失敗稽核]。 原則更新會在重新啟動或重新整理發生之後生效。
7. 在組策略 MMC 嵌入式管理單元中檢視有效的稽核原則，確認已啟用稽核。

下列程式示範如何在 Windows NT 4.0 網域中啟用使用者/群組管理事件的稽核。

若要在 Windows NT 4.0 網域中啟用使用者/群組管理事件的稽核

1. 在 [網域的使用者管理員] 中，單擊 [ 原則 ] 功能表，然後選取 [ 稽核]。
2. 選取 [ 稽核這些事件]。
3. 針對 [ 使用者和群組管理]，檢查 [成功] 和 [失敗]。

下列程式示範如何在 Windows NT 4.0、Windows 2000 或 Windows Server 2003 來源網域中啟用使用者/群組管理事件的稽核。

若要在 Windows NT 4.0、Windows 2000 或 Windows Server 2003 來源網域中啟用使用者/群組管理事件的稽核

1. 在 [網域的使用者管理員] 中，單擊 [ 使用者 ] 功能表，然後選取 [ 新增本地組]。
2. 輸入由來源網域 NetBIOS 名稱所組成的組名，附加三個貨幣符號 （$），例如 FABRIKAM$$$$ 。 描述欄位應該指出此群組是用來稽核 DsAddSidHistory 或複製作業的使用方式。 請確定群組中沒有任何成員。 按一下 [確定]。

如果來源和目的地稽核未啟用，DsAddSidHistory 作業會失敗，如這裡所述。

視需要設定信任

如果下列其中一項成立，則必須從來源網域建立信任至目的地網域（這必須發生在不同的樹系中）：

• 來源網域是 Windows Server 2003。
• 來源網域是 Windows NT 4.0，SrcDomainCreds 為 NULL。