客户端可以在 AD 中关闭多长时间？

Question

我们正在建立一个暑假后使用的培训环境。管理层希望我们在假期前建立客户。由于客户将被运走，他们将离线直到培训开始。这意味着客户将在大约 15 周内与 AD 脱节。此外，由于没有人会在这里，服务器将关闭大约六到八周。墓碑生存期设置为 180 天。

这 15 周的时间是否会给客户带来任何问题？我们是否应该尝试说服管理层将客户端安装推迟到假期之后？

Answer 1

会好的。

这是来自 Microsoft 的 Sean Ivey 的一些简介；一个很聪明的人：

好的，只要我们谈论的是域成员，而不是域控制器，那么出于所有实际目的，它们可以无限期地关闭而没有问题。当您最终重新打开它们时，netlogon scavenger 将运行，联系域控制器，并重置计算机帐户的密码。

要记住的重要一点是，计算机帐户密码重置是由客户端驱动的，而不是域控制器。因此，只要客户端不尝试更改其密码，就不会更改密码。

有机会时请查看此链接。我已经取出了相关部分：

http://blogs.technet.com/b/askds/archive/2009/02/15/test2.aspx “这样的机器帐户密码在 Active Directory 中不会过期。它们不受域的密码策略的约束。这很重要要记住，机器帐户密码的更改是由 CLIENT（计算机）驱动的，而不是由 AD 驱动的。只要没有人禁用或删除计算机帐户，也没有尝试将具有相同名称的计算机添加到域中，（或一些其他破坏性操作），计算机将继续工作，无论它的机器帐户密码被启动和更改多久。

因此，如果计算机关闭三个月，则不会过期。当计算机启动时，它会注意到其密码已超过 30 天，并会启动更改密码的操作。客户端计算机上的 Netlogon 服务负责执行此操作。这仅适用于机器长时间关闭的情况。

在我们本地设置新密码之前，我们确保我们有一个有效的安全通道到 DC。如果客户端永远无法连接到 DC（在尝试之前从来没有任何东西 - 刷新安全通道的时间），那么我们将不会在本地更改密码。

起作用的相关 Netlogon 参数，我们可以考虑在此处更改：

ScavengeInterval（默认 15 分钟）、MaximumPasswordAge（默认 30 天） DisablePasswordChange（默认关闭）。”

我希望这有帮助！