Windows系统针对不同工作模式提供了三种类型的用户账户，分别是本地用 户账户、域用户账户和内置用户账户。　　1)本地用户账户　　本地用户账户对应对等网的工作组模式，建立在非域控制器的Windows Server 2008 独立服务器、成员服务器以及Windows XP客户端上。本地账户只能在本地计算机上登录，无法访问域中其他计算机资源。　　本地计算机上都有一个管理账户数据的数据库，称为安全账户管理器(Security Accounts Managers，SAM)。SAM 数据库文件路径为系统盘下/ Windows/system32/config/SAM。在SAM中，每个账户被赋予唯一的安全识别号(Security Identifier,SID)，win7系统用户要访问本地计算机，都需要经过该机SAM中的SID验证。本地的验证过程，都由创建本地账户的本地计算机完成，没有集中的网络管理。　　2)域用户账户　　域账户对应于域模式网络，域账户和密码存储在域控制器上的Active Directory数据库中，域数据库的路径为域控制器中的系统盘下/Windows/NTDS/NTDS. DIT。因此，域账户和密码被域控制器集中管理。用户可以利用域账户和密码登录域，访问域内资源。域账户建立在Windows域控制器上，域用户账户一旦建立，会自动地被复制到同域中的其他域控制器上。复制完成后，域中的所有域控制器都能在用户登录时提供身份验证功能，账户选项设置如下。　　(1)用户下次登录时须更改密码。强制用户在下次登录网络时更改自己的密码。要确保该用户是知道密码的唯一人选时启用此选项。　　(2)用户不能更改密码。防止用户更改自己的密码。要对用户账户(如Guest账户或临时账户)保持控制时启用此选项。　　(3)密码永不过期。防止用户的密码过期。建议服务账户启用此选项并使用强密码。　　(4)用可还原的加密来储存密码。允许用户从Apple计算机登录到Windows网络。如果用户没有从Apple计算机登录，则不要启用此选项。　　(5)账户已禁用。防止用户使用选定的账户进行登录。管理员可用已禁用的账户作为 公用用户账户的模板。　　(6)交互式登录必须使用智能卡。要求用户拥有智能卡才能以交互方式登录到网络。 用户还必须具有连接到计算机的智能卡读卡器以及智能卡的有效个人标识号(PIN)。启 用此选项时，会自动将用户账户的密码设置为随机而复杂的值，并设置&密码永不过期&账户选项。　　(7)账户可以委派其他账户。允许在此账户下运行的服务代表网络上的其他用户账户执行操作。如果某项服务在可以委派其他账户的用户账户(也称服务账户)下运行，则可以模拟客户端访问正在运行该服务的计算机上的资源或其他计算机上的资源。在设置为Windows Server 2008功能级的林中，此选项位于&委派&选项卡。根据Windows Server 2008 setspn命令的设置，它只能用于已分配了服务主体名称(SPN)的账户(打开命令窗口，然后键人setspii)。这是一个安全敏感的功能，请慎重分配该功能。此选项仅在运行Windows Server 2008的域控制器上使用，其中将域功能设置为Windows 2000混合模式或Windows 2000本机。在运行Windows Server 2008并且域功能级别设置为Windows Server2008林功能级别的域控制器上，使用win7旗舰版用户属性对话框中的&委派&选项卡来配置委派设置。&委派&选项卡仅在已分配了 SPN的账户中显示。　　(8)敏感账户，不能被委派。如果无法将账户(如Guest或临时账户)分配给其他账户进行委派，可以使用此选项。　　(9)此账户需要使用DES加密类型。提供对数据加密标准(DES)的支持。DES支持多个加密级别，包括Microsoft点对点加密(MPPE)标准(40位)、MPPE标准(56位)、MPPE 强密码(128 位)、Internet 协议安全(IPsec) DES(40 位)、IPsec 56 位 DES 和 IPsec 三重 DES (3DES)&　　(10)不要求Kerberos预身份验证。提供对Kerberos协议备用实现的支持。但在启用此选项时请保持慎重，因为Kerberos预身份验证提供了其他安全性，并要求客户端和服务器之间的时间同步。　　3)内置账户　　Windows Server 2008中还有一种账户叫内置账户，它与服务器的工作模式无关。当Windows Server 2008安装完毕后，系统会在服务器上自动创建一些内置账户，分别如下。　　(1)Administrator(系统管理员)拥有最高的权限，管理着Windows Server 2003系统和域。系统管理员的默认名称是Administrator,可以更改名称，但不能删除该账户。该账 户无法被禁止，永远不会到期，不受登录时间和只能使用指定计算机登录的限制。　　(2)Guest(来宾)：是为临时访问计算机的用户提供的，该账户自动生成，且不能被删除，可以更改名称。Guest只有很小的权限，默认情况下，该账户被禁止使用。例如，当希望局域网中的用户都可以登录到自己的计算机，但又不愿意为每一个用户建立一个账户时，就可以启用Guest。　　(3)IUSR_J+算机名：用来匿名访问Internet信息服务器的内置，安装IIS后系统自动生成。
最新教程周点击榜
微信扫一扫经检测你所在的网络可能存在爬虫，因资源限制，我们只能拒绝你的请求。
如果你是推酷的用户，可以以继续访问使用。
如有疑问，可将IP信息发送到
请求解封。服务主体名称
SPN（服务主体名称）是标识一个服务实例的唯一名称，与运行该服务实例的登录帐户关联。
基于127个网页-
Service Principal Name
Service Principal Name（服务主体名称）
基于10个网页-
Service Principal Names
是 Kerberos 服务主体名称。
is the Kerberos service principal name.
第一部分是目标服务器的主体名称。
The first part is the principal name of the target server.
发送服务器仅将用户标识（X.509 证书、主体名、或基于初始登录所使用的凭据的专用名称 (DN)）发送到目标服务器。
The sending server only sends the user identity (X.509 certificate, principal name, or distinguished name (DN) based on the credentials used for the initial login) to the target server.
$firstVoiceSent
- 来自原声例句
请问您想要如何调整此模块？
感谢您的反馈，我们会尽快进行适当修改！
请问您想要如何调整此模块？
感谢您的反馈，我们会尽快进行适当修改！查看:5286|回复：16
优秀技术经理
在线云服务-您身边的IT专家团 ...
如何删除重复的服务主体名称《SPN》
事件类型: 错误
事件来源: KDC
事件种类: 无
事件 ID: 11
事件: 8:34:12
计算机: scndgc13
名为 host/，类型为DS_SERVICE_PRINCIPAL_NAME 的帐户。
有关更多信息，请参阅在
[url=]/fwlink/events.asp[/url] 的帮助和支持中心。
以上是报错信息，如图《真实图》
(45.17 KB)
经过查询资料，该问题可能由重复的service principal name&&引起的，那么SPN是什么呢？
服务主体名称 (SPN) 是客户端唯一用来标识服务实例的名称。Kerberos 身份验证服务可以使用 SPN 对服务进行身份验证。当客户端想要连接到某个服务时，它将查找该服务的实例，并为该实例编写 SPN，然后连接到该服务并显示该服务的 SPN 以进行身份验证。
那么我们该如何解决呢？首先，我们需要使用ldifde命令在AD中查找重复的SPN，首先我们需要先安装support tools工具，以便支持上面的命令，可以在03的光盘上获取！
(29.28 KB)
安装好后，我们把下面的代码复制到cmd里，请注意，这里面需要输入你的DC名称和域名
C:\WINNT\system32&ldifde -f dupespn.ldp -s scndgc13 -t 389 -d &dc=XXX,dc=com& -psubtree -r &(&(objectClass=user)(ServicePrincipalName=host/))&-l &dn,ServicePrincipalName,objectClass,sAMAccountName&
下面加的参数可以使用，ldifde ？
来参考注释！
(42.97 KB)
在dupespn.ldp里导出了2个项目，然后通过记事本打开这个文件，如图
(112.18 KB)
看到了重复SPN的2个计算机，这个时候你可以看下哪个计算机是无效的或者不正规的，确定后打开AD的用户管理，看下computers里是不是存在这个计算机，如图
(13.59 KB)
确定后，进行删除，如果还有用，那么重新加域即可，让他重新注册SPN，然后我们注销他现有的SPN，如图
(33.75 KB)
至此，这个错误已经解决！
ldifde的用法请参考：
本帖最后由 IT之梦 于
10:33 编辑
在线云服务--您身边的IT专家团--
社区微软技术超级群-
碰到过相似的问题,同事把计算机帐户全部删除了,后来在用ADrestore恢复的时候,出现了版主所说的情况,我是在AD用户管理中直接把重复的全部删除,然后重新加域就行了.
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 hzy_1 于
22:05 发表
碰到过相似的问题,同事把计算机帐户全部删除了,后来在用ADrestore恢复的时候,出现了版主所说的情况,我是在AD用户管理中直接把重复的全部删除,然后重新加域就行了. ... 你的意思我明白，但是，从报错信息来看，是有其他计算机和报错的计算机重复，所以需要找出不合法的重复的计算机，在方便性来说，直接删除报错计算机，然后再更改个计算机名在加入域，保留另外一个重复的计算机未尝不可，但从做IT工作的角度出发，还是需要研究一下问题所在的！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
中级工程师
安装好后，我们把下面的代码复制到cmd里，请注意，这里面需要输入你的DC名称和域名
C:\WINNT\system32&ldifde -f dupespn.ldp -s scndgc13 -t 389 -d &dc=XXX,dc=com& -psubtree -r &(&(objectClass=user)(ServicePrincipalName=host/))&-l &dn,ServicePrincipalName,objectClass,sAMAccountName&
请问下。。这里面的 scndgc13&&和host/&&是要更改为什么的呢？
本帖最后由 alivehappy 于
10:24 编辑
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 alivehappy 于
10:15 发表
安装好后，我们把下面的代码复制到cmd里，请注意，这里面需要输入你的DC名称和域名
C:\WINNT\system32&ldifde -f dupespn.ldp -s scndgc13 -t 389 -d &dc=XXX,dc=com& -psubtree -r &(&(objectClass=user)(ServicePrincipa ... 第一个是需要连接的DC的计算机名
第二个是FQDN名，也就是报错信息里显示的计算机FQDN名！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
中级工程师
有多个 名为cifs/GQ-CGB-DUKM.，类型为 DS_SERVICE_PRINCIPAL_NAME 的帐户。
报错信息是这个。
然后我输入这个：
ldifde -f dupespn.ldp -s PYDC2. -t 389 -d &dc=gq,dc=zlzk,dc=com& -p subtree -r &(&(objectClass=user)(ServicePrincipalName=cifs/GQ-CGB-DUKM.))&-l &dn,ServicePrincipalName,objectClass,sAMAccountName&
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 alivehappy 于
10:58 发表
有多个 名为cifs/GQ-CGB-DUKM.，类型为 DS_SERVICE_PRINCIPAL_NAME 的帐户。
报错信息是这个。
然后我输入这个：
ldifde -f dupespn.ldp -s PYDC2. -t 389 -d &dc=gq,dc=zlzk,dc=com& -p subtree ... 应该还有一个报错是以host开头的，你把cifs改成host试试！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
中级工程师
额。。。有另外一个KDC报错是HOST开头的。。我换成报错里的计算机FQDN名后还是这个错误。。。不过这次的KDC报错很多是cifs开头的。。。。
奇怪的是我在DC的计算机表里头完全找不到这些机子。。。
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 alivehappy 于
11:25 发表
额。。。有另外一个KDC报错是HOST开头的。。我换成报错里的计算机FQDN名后还是这个错误。。。不过这次的KDC报错很多是cifs开头的。。。。
奇怪的是我在DC的计算机表里头完全找不到这些机子。。。 ... 仔细对照一个那个命令，看是不是有错误？我博客里也有你参考下！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
中级工程师
好的。我今天再试试^.^
中级工程师
- -奇怪。。。还是参数错误。。怎么会无效呢。。囧啊。。而且他说有多个计算机名重复。。可是我直接在DC里搜只有一个啊。。。
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 alivehappy 于
14:23 发表
- -奇怪。。。还是参数错误。。怎么会无效呢。。囧啊。。而且他说有多个计算机名重复。。可是我直接在DC里搜只有一个啊。。。 咱们论坛的复制粘贴会有一些乱码， 直接在DC里是搜不出来的！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 alivehappy 于
14:23 发表
- -奇怪。。。还是参数错误。。怎么会无效呢。。囧啊。。而且他说有多个计算机名重复。。可是我直接在DC里搜只有一个啊。。。 处理的整个过程截图看看！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
初级工程师
引用:原帖由 IT之梦 于
10:28 发表
如何删除重复的服务主体名称《SPN》
事件类型: 错误
事件来源: KDC
事件种类: 无
事件 ID: 11
事件: 8:34:12
计算机: scndgc13
名为 host/，类型为DS_SERVICE ... 楼主，是不是这个错误也可以通过这个思路来解决呢？？如图：
(43.93 KB)
优秀技术经理
在线云服务-您身边的IT专家团 ...
引用:原帖由 subraner1 于
14:22 发表
楼主，是不是这个错误也可以通过这个思路来解决呢？？如图： &&参考下！
在线云服务--您身边的IT专家团--
社区微软技术超级群-
:lol1 学习了
初级工程师
辛苦了。。
Copyright&
本论坛言论纯属发布者个人意见，不代表51CTO网站立场！如有疑义，请与管理员联系：you have been blocked}