共用方式為

  • 發行項

建立 Kerberos 驗證帳戶

 

上次修改主題的時間： 2012-04-06

若要順利完成＜建立 Kerberos 帳戶＞程序，則最少應該以 Domain Admins 群組成員的身分登入伺服器或網域。如果 Active Directory 網域服務 (AD DS) 基礎結構被鎖定或保護，則用來自動建立 Kerberos 帳戶的 Windows PowerShell Cmdlet 可能無法正確運作，並且會失敗。如果您是在被鎖定的 Active Directory 中工作，請參考＜建立 Kerberos 帳戶＞後面標題為＜手動建立 Kerberos 帳戶＞的程序。

您可以建立每個站台的 Kerberos 驗證帳戶，也可以建立單一 Kerberos 驗證帳戶，並將它用於所有站台。您可以使用 Windows PowerShell Cmdlet 來建立及管理帳戶 (包括識別指派給每個站台的帳戶)。拓撲產生器及 Lync Server 2010 控制台不會顯示 Kerberos 驗證帳戶。使用下列程序，建立一或多個要用於進行 Kerberos 驗證的使用者帳戶。

建立 Kerberos 帳戶

  1. 以 Domain Admins 群組成員身分，登入執行 Lync Server 2010 之網域中的電腦，或登入已安裝系統管理工具的電腦。

  2. 啟動 Lync Server 管理命令介面：依序按一下 [開始]、[所有程式]、[Microsoft Lync Server 2010] 和 [Lync Server 管理命令介面]。

  3. 從命令列中，執行下列命令：

    New-CsKerberosAccount -UserAccount "Domain\UserAccount" -ContainerDN "CN=Users,DC=DomainName,DC=DomainExtension"

    例如：

    New-CsKerberosAccount -UserAccount "Contoso\KerbAuth" -ContainerDN "CN=Users,DC=contoso,DC=com"

  4. 開啟 [Active Directory 使用者和電腦] 確認已建立 [電腦] 物件，並展開 [使用者] 容器，然後確認使用者帳戶的 [電腦] 物件位在該容器內。

手動建立 Kerberos 帳戶

  1. 在被保護或鎖定的 Active Directory 網域服務 (AD DS) 基礎結構中，執行下列程序。

    warning注意：
    下列程序需要您已安裝遠端伺服器管理工具，或是在已安裝「AD DS 工具」功能的情況下，在本機或遠端工作。

  2. 以 Domain Admins 群組成員身分，登入執行 Lync Server 2010 之網域中的電腦，或登入已安裝系統管理工具的電腦。

  3. 依序按一下 [開始] 和 [系統管理工具]，然後執行 [Active Directory 使用者和電腦]。

  4. 在 [Active Directory 使用者和電腦] 中，於適當的組織單位 (OU) 或 [使用者] 容器中建立使用者帳戶。

  5. 若要存取使用者帳戶的 [安全性] 索引標籤，請在 [Active Directory 使用者和電腦] 中，按一下 [檢視]，然後按一下 [進階功能]。[進階功能] 現在應該有核取記號，表示已選取該項目。

  6. 在組織單位或 [使用者] 容器中，用滑鼠右鍵按一下您建立的使用者帳戶，再選取 [內容]。選取 [安全性] 索引標籤。在 [安全性] 索引標籤上，按一下 [進階]。

  7. 在所選取之使用者帳戶的 [進階安全性設定] 索引標籤上，按一下 [新增]。在 [選取使用者、電腦服務帳戶或群組] 對話方塊的 [請輸入物件名稱來選取] 中，輸入RTCUniversalServerAdmins。按一下 [檢查名稱]。如果成功，再按一下 [確定]。

  8. 在使用者帳戶的 [權限項目] 對話方塊上，選取 [物件] 索引標籤。按一下 [套用至] 下拉式清單，並選取 [只有此物件]。

  9. 在 [權限] 選取窗格中，選取下列權限：

    權限 允許或拒絕 繼承 套用至

    變更密碼

    允許

    非繼承

    只有此物件

    重設密碼

    允許

    非繼承

    只有此物件

    讀取權限

    允許

    非繼承

    只有此物件

    寫入 servicePrincipalName

    允許

    非繼承

    只有此物件

  10. 按三次 [確定]，以關閉對話方塊。關閉並結束 [Active Directory 使用者和電腦]。

  11. 依序按一下 [開始] 和 [系統管理工具]，然後執行 [ADSI 編輯器]。

  12. 用滑鼠右鍵按一下 [ADSI 編輯器]，選取 [連線至]，再選取 [選取熟知的命名內容]。從清單中選取 [預設命名內容]。按一下 [確定]。

  13. 在使用者物件所在的組織單位或容器中，用滑鼠右鍵按一下使用者物件，再選取 [內容]。

  14. 在 [屬性編輯器] 索引標籤上，尋找屬性 [userAccountControl]，然後按一下 [編輯]。

  15. [整數屬性編輯器] 會顯示 userAccountControl 的整數值。將該值變更為 69664。所顯示的整數值會設定 PASSWD_NOTREQD、WORKSTATION_TRUST_ACCOUNT 和 DON’T_EXPIRE_PASSWD 的旗標。

  16. 按一下 [確定]，確定屬性變更。關閉 [ADSI 編輯器]。