本文讨论如何使用 Ntdsutil 查找和清理重复的安全标识符。
原始 KB 数： 816099
总结
本文介绍如何在 SAM 数据库中检查和清理或删除重复的安全标识符（SID）。 每个安全帐户（例如用户、组或计算机）都有唯一的 SID。 对资源（如文件、文件夹、打印机、Microsoft Exchange 邮箱、Microsoft SQL Server 数据库、存储在 Active Directory 中的对象以及受 Windows Server 安全模型保护的任何数据）授予或拒绝对 SID 的访问权限。
SID 包含标头信息和一组用于标识域和安全帐户的相对标识符。 在域中，每个域控制器都可以创建帐户并向每个帐户颁发唯一的 SID。 每个域控制器维护用于创建 SID 的相对 ID 池。 使用 80% 的相对 ID 池后，域控制器会从相对 ID 操作主服务器请求一个新的相对标识符池。 确保不会将同一个相对 ID 池分配给不同的域控制器，并防止分配重复的 SID。 但是，由于分配重复的相对 ID 池可能（但很少见），因此必须标识已颁发重复 SID 的帐户，以防止应用不正确的安全性。
如果管理员抓住相对 ID 主角色（RID 主角色），而原始 RID 主角色正在运行，但暂时与网络断开连接，则可能会出现重复的相对 ID 池。 在典型的做法中，RID 主角色在一个复制周期后只由一个域控制器承担。 但是，在解析角色所有权之前，两个不同的域控制器可能每个请求新的相对 ID 池，并分配相同的相对 ID 池。
启动 Ntdsutil
若要启动 Ntdsutil，请执行以下步骤：
- 选择“开始”>“运行”。
- 在 “打开 ”框中，键入 ntdsutil，然后按 Enter。 若要随时访问帮助，请在命令提示符处键入
?，然后按 Enter。
查找重复的 SID
若要查找重复的 SID，请执行以下步骤：
-
在 Ntdsutil 命令提示符下，键入 安全帐户管理，然后按 Enter。
-
若要连接到存储安全帐户维护（SAM）数据库的服务器，请在 SAM 命令提示符处键入
connect to serverDNSNameOfServer，然后按 Enter。 -
在 SAM 命令提示符处，键入 检查重复 sid，然后按 Enter。
注意
将显示重复项。
清理重复的 SID
-
在 Ntdsutil 命令提示符下，键入 安全帐户管理，然后按 Enter。
-
连接到存储安全帐户维护（SAM）数据库的服务器。 在 SAM 命令提示符处，键入“连接到 serverDNSNameOfServer”，然后按 Enter。
-
在 SAM 命令提示符处，键入 清理重复 sid，然后按 Enter。
注意
Ntdsutil 确认删除重复项。
-
在 SAM 命令提示符处，键入 q，然后按 Enter。
-
使用 Ntdsutil 完成后，键入 q，然后按 Enter。
数据收集
如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。