Jak odświeżyć grupę zabezpieczeń AD na uprawnieniach serwera Sql

Używam Sql Server 2008 na Small Business Server 2003; klient używa WinXP.

Dodałem użytkownika do mojej grupy zabezpieczeń Active Directory; Dlaczego ten użytkownik nie może natychmiast uzyskać dostępu do bazy danych? Wygląda na to, że istnieje opóźnienie, zanim użytkownik zostanie rozpoznany w Sql Server.

Korzystam z grup zabezpieczeń AD w celu uzyskania wyraźnych uprawnień, dzięki czemu nie muszę dodawać poszczególnych użytkowników na serwerze Sql Server. Tak skutecznie nie muszę nic robić, tylko dodać użytkownika do AD Security Group w celu przyznania dostępu.

Ale z jakiegoś powodu Sql Server nie rozpoznaje natychmiast tego dodatku. Widziałem to wiele razy. Dodaję użytkownika do grupy, ale ten użytkownik nie może uzyskać dostępu do danych do następnego dnia. Wygląda na to, że nie odpytuje Active Directory w czasie rzeczywistym. Czy możesz to potwierdzić?

Co muszę zrobić, aby Sql Server „odświeżył” listę użytkowników z Active Directory?

Użytkownik musi się wylogować ze stacji roboczej i zalogować się ponownie. Właśnie dlatego zmiany wydają się obowiązywać następnego dnia. Powodem tego jest to, że gdy użytkownik loguje się następnego dnia, otrzymuje nowy token od kontrolera domeny, a ten token zawiera listę grup domen, których jest członkiem. Ten token z listą grup domen jest aktualizowany tylko wtedy, gdy użytkownik loguje się na swoim komputerze, więc jeśli użytkownik nigdy się nie wyloguje, token nie jest nigdy aktualizowany.

Istnieją również opóźnienia replikacji domen dla wielu witryn, które należy wziąć pod uwagę, jeśli kontrolery domeny znajdują się w różnych fizycznych lokalizacjach.

Gdy użytkownik loguje się, otrzymuje token bezpieczeństwa, który zawiera wszystkie informacje o członkostwie w grupie.

Ten token utrzymuje się, dopóki użytkownik się nie wyloguje - w tym momencie jest odrzucany - nawet jeśli w międzyczasie wprowadzisz zmiany w członkostwie grupy w AD. Wprowadzone zmiany zaczną obowiązywać dopiero po następnym zalogowaniu się użytkownika i otrzymaniu nowego tokena zabezpieczającego.

Możesz na przykład odtworzyć ten sam scenariusz, przypisując uprawnienia do systemu plików; jest to zachowanie AD, a nie zachowanie SQL Server.

Otrzymasz natychmiastowe wyniki za każdym razem, aby uzyskać nowe poświadczenia, uruchamiając skrypt cmd / taki jak:

runas /netonly /user:domain\username "sqlcmd -S serverName -d dbname -q \"insert into testpermissions values (65)\""

używając cmd.exe (nie PowerShell, nie mogłem uzyskać poprawnego cytowania).

W ten sposób otrzymasz nowy token za każdym razem (ale musisz wpisać swój pwd). Prawdopodobnie możesz zrobić coś z zapisanym tekstem hasła, jeśli sprawy byłyby zbyt uciążliwe.

W każdym razie, działa dla mnie i mam nadzieję, że pomoże komuś innemu.