即使刪除了域控制器，域帳戶又是如何存在的？

Question

當我將Windows服務器升級到域控制器時，本地帳戶在服務器中無法訪問，但是當我將域控制器升級到普通服務器時，本地帳戶可以訪問。那麼在將服務器的本地帳戶作爲DC進行升級之後，它們會被存儲在哪裏？即使在刪除活動目錄之後，我可以使用域用戶帳戶登錄到客戶端計算機，但這有多可能？爲什麼這些域帳戶沒有被刪除？

Answer 1

當您將普通服務器提升爲域控制器時，本地組和用戶將成爲位於容器內的域組和用戶，它們存儲在AD數據庫中。

如果您將DC移除到正常的成員服務器，則本地用戶&組將像以前一樣恢復，但其他域用戶將因無法訪問廣告數據庫而被刪除。您可以使用域用戶登錄客戶端計算機的原因是域用戶的憑據和密碼爲本地緩存。如果登錄時DC不可用，操作系統將允許您使用緩存的域用戶憑據進行登錄。但它僅限於以前緩存的域帳戶，不能使用尚未緩存的帳戶登錄客戶機。

Answer 2

當您將服務器升級到域控制器時，您將更改服務器的整個身份驗證方法。除了內置的Windows身份驗證機制之外，還安裝了活動目錄身份驗證（它覆蓋了內置的身份驗證機制，但並未完全替代它，它仍保留在系統中，但不再使用）。

這意味着，您的本地用戶帳戶仍然存在（甚至仍然處於活動狀態），但登錄時不再考慮這些帳戶，因爲AD身份驗證僅查找活動目錄中的帳戶。

將服務器恢復到正常狀態後，AD-auth將被卸載，並再次使用內置身份驗證，以評估您現有的本地用戶帳戶。