AD 中的 SID - 来自 psgetsid 的 SID？

Question

想知道是否有人可以阐明一些 SID 混淆。

当前在将某些策略应用于所有基于相同映像的几台机器时遇到问题。我们的一位管理员在其中几台机器上运行 psgetsid \[PC] 并返回所有相同的 SID。但是，当我运行 get-adcomputer [PC] 时，powershell 会为相同的机器返回不同的 SID 属性。

很困惑为什么这些不同。

Answer 1

我认为您需要阅读 The Machine SID Duplication Myth：

机器 SID 和域 SID/RID 是两个不同的东西，这就是为什么当您在机器上运行本地工具时会看到两个不同的东西，而不是 Active Directory Powershell cmdlet。您应该阅读该博客文章评论中的一些注释：

Mark Russinovich：您授予对计算机域 SID 的访问权限，而不是其机器 SID。与用户一样，域中的计算机帐户也有密码，但密码由域管理。

Mark Russinovich：是的，除了机器 SID 用作域 SID 的基础之外，机器 SID 可能是一个常数。

此外，Mark 的好友 Aaron 写了一篇关于本地机器 SID 和域 SID 之间区别的很好的补充文章：

Aaron Margosis：您可以通过不带参数运行 Sysinternals PsGetSid 来查看计算机上的机器 SID。您可以通过向 PsGetSid 传递计算机名称后跟 $: psgetsid %COMPUTERNAME%$ 来查看加入域的系统上的第二个 SID