GUID, SID и RID

[orthodox Профиль]

Мне, конечно, очень стыдно, но я что-то не понимаю разницу (точнее - зачем нужены одновременно) SID и GUID объектов в AD, а также причем тут RID -master.

[slz Профиль]

GUID - Globally Unique Identifier - лобально уникальный идентификатор. Применительно к AD - это атрибут (objectGUID is a 128-bit GUID structure stored as an OctetString) присваиваемый любому объекту создаваемому в AD и уникально идентифицирцющий объект во всем лесу. В случае премещения или переименования объекта у него меняется DN (Distinguished Name), objectGUID - остается неизменным, соответственно например ссыкли на объект при поиске, менять не надо и т.д.
SID - Scurity Identifier - это атрибут (objectSid) присваиваемый объекту обладающему контекстом безопасности (security principal), например Users, computers, and groups. Значение SID - уникальная буквеннно-цифровая строка назначаемая каждому security principal в домене.
SID состоит из доменной части (domain-wide SID), генерируемой при создании домена и относительной, постоянно увеличивающейся части (RID), для каждого создаваемого security principal, которая присваиваеться security principal в процессе ее создания на каждом DC в домене. Каждому DC в домене назначается пул RID (т.е. диапазон относительной изменяемой части). Назначает этот пул DC, обладающей ролью FSMO (в кадом домене леса) - RID-master. Мастер RID отвечает за выдачу уникальных RID пулов для каждого контроллера в домене. По умолчанию, каждому DC раздается пул с шагом в 500. Когда у DC остается 20% свободных RID, он запрашивает у RID-master новый пул. Если, в процессе создания security principal, у DC нет свободных RID и не доступен RID-master, то генерируется сообщение с Event 16645 и security principal на этом DC создать невозможно.
Пул RID задается в реестре.
Вся эта инфа есть в инете на сайте разработчика ПО, учитесь искать!

[orthodox Профиль]

А по каким причинам нельзя использовать GUID вместо SID для управления доступом?

[slz Профиль]