在 Windows 网络上使用匹配的本地帐户进行“静默”身份验证究竟是如何工作的？

Question

想象一个 Windows 工作组网络，其中两台计算机各有一个具有相同用户名/密码组合的本地帐户。如果我登录到一台计算机，并尝试连接到另一台计算机上的非公共共享资源，则不会提示我输入凭据 - 事实上，远程计算机具有与本地帐户具有相同凭据的本地帐户我正在使用的计算机意味着我已通过“静默”身份验证。

1. 我已经正确理解了，对吧？
2. 如果是这样，为什么我在任何地方都找不到它的记录？我已经做了大量的谷歌搜索。该功能有名称吗？任何人都可以指点我一些官方文件吗？

提前致谢。

Answer 1

这称为直通 NTLM 身份验证，并在 NTLM TechNet 文章 中进行了记录。Pass-through authentication请参阅底部标题部分。

NetLogon 服务实现直通身份验证。它执行以下功能：

• 选择要将身份验证请求传递到的域。

• 选择域内的服务器。

• 将身份验证请求传递到选定的服务器。

选择域很简单。域名传递给 LsaLogonUser。域名处理如下：

• 如果域名与 SAM 数据库的名称匹配，则身份验证将在该计算机上进行。在属于域成员的 Windows 工作站上，SAM 数据库的名称被视为计算机的名称。在 Active Directory 域控制器上，帐户数据库的名称就是域的名称。在不是域成员的计算机上，所有登录都在本地处理请求。

• 如果指定的域名受该域信任，则身份验证请求将传递到受信任的域。在 Active Directory 域控制器上，可以轻松获得受信任域的列表。在 Windows 域的成员上，请求始终传递到工作站的主域，让主域确定指定的域是否受信任。

• 如果指定的域名不受域信任，则将在所连接的计算机上处​​理身份验证请求，就好像指定的域名就是该域名一样。NetLogon 不区分不存在的域、不受信任的域和键入错误的域名。