如何在 Sql Server 权限上刷新 AD 安全组

Question

我在 Small Business Server 2003 上使用 Sql Server 2008；客户端正在使用 WinXP。

我向我的 Active Directory 安全组添加了一个用户；为什么这个用户不能立即访问数据库？在 Sql Server 中识别用户之前似乎存在延迟。

我明确地使用 AD 安全组获得权限，这样我就不需要在 Sql Server 中添加单个用户。如此有效，我不需要做任何事情，只需将用户添加到 AD 安全组即可授予访问权限。

但出于某种原因，Sql Server 不会立即识别添加。我已经看过很多次了。我将该用户添加到该组，但该用户要到第二天才能访问数据。它似乎不会实时查询 Active Directory。你能确认是这样吗？

我需要做什么才能使 Sql Server 从 Active Directory 中“刷新”用户列表？

Answer 1

用户需要从他们的工作站注销并重新登录。这就是更改似乎在第二天生效的原因。这样做的原因是，当用户第二天登录时，他们会从域控制器获得一个新令牌，该令牌包含他们所属的域组列表。这个带有域组列表的令牌只会在用户登录到他们的计算机时更新，所以如果用户从不注销，令牌就不会更新。

如果您的域控制器位于不同的物理位置，还需要考虑多站点域复制延迟。

Answer 2

当用户登录时，他们会被分配一个安全令牌，其中包含有关其组成员身份的所有信息。

该令牌一直存在，直到用户注销——此时它会被丢弃——即使您同时更改了 AD 中的组成员身份。您所做的更改只会在用户下次登录并收到新的安全令牌时生效。

例如，您可以在为文件系统分配权限时重现相同的场景；这是 AD 行为，而不是 SQL Server 行为。