从邮箱中删除孤立的 SID 权限

如何从邮箱中删除孤立的 SID 权限？有时，对象会被删除，但孤立的 SID 仍保留在安全选项卡中。在本文中，您将了解什么是 SID、删除孤立 SID 是否安全以及如何从邮箱中删除孤立 SID。

什么是SID？

SID 代表安全标识符并且始终是唯一的。它是用于识别 Windows 中的用户、组和计算机帐户的数字。首次在 Windows 中创建帐户时会创建 SID。

检查 ADUC 中孤立的 SID 邮箱

启动 Active Directory 用户和计算机 (ADUC)。确保在操作面板中启用高级功能。搜索用户对象并双击打开属性。单击安全选项卡打开访问控制列表。检查您是否显示“未知帐户”(S-1-5-21)。这些是孤立的 SID 帐户。您看不到名称，因为用户或安全组已被删除。我们称它们为孤立 SID。

删除或保留孤立的 SID

在 ACL（访问控制列表）条目中使用时，SID 会成为孤立，但相应的对象（计算机、用户或组）不再存在于 Windows 中。这表明指定的 SID 无法再转换为用户或组。

在进行安全审计时，仅报告有效帐户总是更有趣！为了保持其有序和干净，我们建议删除孤立的 SID。此外，当存在孤立的 SID 时，您可能会遇到权限问题。

删除 ADUC 中的孤立 SID

启动Active Directory 用户和计算机并启用高级功能。

找到用户对象并双击它以打开属性。单击安全选项卡。查看并找到 SID S-1-5-21 帐户。选择帐户未知(S-1-5-21)。点击删除。完成后点击确定。

注意：您一次只能点击一名用户将其删除。

您也可能只看到 SID S-1-5-21，而没有“帐户未知”。

如果您显示大量孤立 SID 帐户 (S-1-5-21)，该怎么办？ PowerShell 来救援。

使用 PowerShell 删除孤立的 SID

以管理员身份运行 Exchange 命令行管理程序。列出邮箱的所有孤立 SID 帐户。

[PS] C:\>Get-ADPermission -Identity "Christopher Payne" | ?{$_.user -like "S-1-5-21*"} | Format-Table User

User
----
S-1-5-21-1938637243-4146217999-3199856483-1119
S-1-5-21-1938637243-4146217999-3199856483-1269
S-1-5-21-1938637243-4146217999-3199856483-1121

删除孤立帐户。按 A 确认并按 Enter。

[PS] C:\>Get-ADPermission -Identity "Christopher Payne" | ?{$_.user -like "S-1-5-21*"} | Remove-ADPermission

Confirm
Are you sure you want to perform this action?
Removing Active Directory permission "exoip.local/Company/Users/HR/Christopher Payne" for user
"S-1-5-21-1938637243-4146217999-3199856483-1119" with access rights "'WriteProperty'".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [?] Help (default is "Y"): A

转到 ADUC 并打开邮箱属性。转到安全选项卡并验证您不再看到孤立的 SID 帐户。

您已成功删除孤立的 SID 帐户。

了解更多：使用 PowerShell 删除孤立的 SID »

结论

您了解了这些 SID S-1-5-21 帐户是什么以及如何从邮箱中删除孤立的 SID 权限。从 Active Directory 用户和计算机 (ADUC) 或使用 PowerShell 删除孤立的 SID 权限。

您喜欢这篇文章吗？您可能还喜欢通过 PowerShell 列出安全组中的所有用户。不要忘记关注我们并分享这篇文章。