Diretório ativo renomeia o computador que foi desconectado

2

Nomeamos um novo computador no domínio USER-2014. O computador era para alguém que já tinha um computador no domínio chamado USER. Descontinuamos o computador antigo com o nome USER e agora queremos renomear USER-2014 para USER. Quando tento renomear, recebo uma mensagem "Ocorreu o seguinte erro ao tentar renomear o computador para 'USER': A conta já existe." O que faz sentido, já que existe um computador no diretório ativo chamado USER.

Há algum problema em excluir o computador chamado USER do diretório ativo? Suponho que isso permitiria que eu renomeie USER-2014 para USER. Estou preocupado que algo no ecossistema do Windows ainda esteja fazendo referência a ele e, ao excluí-lo, haverá uma referência pendente em algum lugar que causará problemas. Se eu pudesse renomear USUÁRIO para usuário-velho que também poderia resolver meu problema, mas não consigo encontrar uma função de renomeação no diretório ativo.

Qual é a melhor prática aqui ou uma sugestão razoável? Qualquer coisa seria muito apreciada. Eu sou muito novo na administração de redes.

    
por Adam 10.10.2014 / 15:02

4 respostas

7

Você cobre um número de pontos aqui, eu tentarei endereçar cada um deles por sua vez.

Está certo excluir o computador chamado USER do diretório ativo?

Depende. Se o computador antigo se foi, para nunca mais voltar, provavelmente. Tenha em mente que, depois de excluí-lo (ou de qualquer objeto no AD), você não poderá recuperá-lo apenas recriando um novo objeto com o mesmo nome. Cada objeto tem um identificador de segurança (SID) exclusivo associado a ele e é esse SID usado ao atribuir permissões em ACLs, participações em grupo, etc. Apenas porque um objeto de substituição tem o mesmo nome não significa que herdará as mesmas permissões.

Por outro lado, para uma estação de trabalho padrão associada ao domínio, é provável que tenha um impacto mínimo. Eu ficaria mais preocupado se isso fosse um objeto de usuário ou grupo.

Referências pendentes

Se você referenciou a conta de computador antiga em quaisquer ACLs, grupos, etc., depois de ter sido excluída, você descobrirá que essas referências se referem apenas ao SID e não ao nome do computador original. Se você se deparar com alguma referência que mostre um SID apenas, então é provável que esta seja a causa (embora não seja a única razão, portanto, esteja avisado!)

Renomeação de contas de computador

Você não pode renomear uma conta de computador diretamente dos Usuários & Snap-in de computadores. O método correto de renomear uma conta de computador é fazer esse lado do cliente. Você deve estar logado no cliente com uma conta de usuário que tenha acesso total para modificar o objeto de computador no AD (por exemplo, um administrador de domínio ou uma conta alternativa à qual foram delegados os privilégios relevantes).

Se você tentar renomear o objeto diretamente no Active Directory, encontrará problemas de relação de confiança na próxima vez que tentar usar o computador.

Boas práticas

Esta parte é apenas minha opinião, outros podem ter outra diferente.

Eu nunca nomearia um objeto de computador com um nome vinculado a uma pessoa (por exemplo, John Smith não deveria ter um computador chamado johnsPC). Em vez disso, crie uma convenção sensata de nomenclatura de recursos que você possa usar em toda a organização (por exemplo, corppc123). Então, quando um ativo de computador é retirado e substituído, você não precisa se preocupar em renomear o novo objeto para ser o mesmo que o antigo; você simplesmente substitui e segue em frente.

No entanto, você deve nomear e substituir os computadores necessários para garantir a atualização de itens, como associações a grupos (por exemplo, grupos do WSUS, grupos do SCCM etc.). Além disso, considere todos os scripts que você tiver nos computadores de referência pelo nome; eles precisarão ser atualizados (ou melhor ainda, alterados para que não se refiram diretamente aos objetos do PC). Isso vai um pouco além do escopo desta questão!

    
por 10.10.2014 / 15:50
1

Se o computador antigo não estiver mais em uso e não tiver mais motivos para estar vinculado ao AD, você poderá destruir com segurança o objeto de computador antigo. Eu faço isso várias vezes por ano e nunca tive qualquer problema.

    
por 10.10.2014 / 15:10
1

Basta excluir o objeto de computador antigo.

    
por 10.10.2014 / 15:08
0

Eu mudaria a convenção de nomear objetos da mesma forma que os nomes reservados no AD, como nomear um objeto de computador "USER". Esta convenção serve apenas para introduzir confusão para futuros administradores.

    
por 10.06.2015 / 17:14