人們有時(shí)會(huì)偶然發(fā)現(xiàn)名為CLIUSR的本地用戶帳戶，想知道它是什么，而您實(shí)際上不必?fù)?dān)心它。我們將在本博客中針對(duì)好奇的內(nèi)容進(jìn)行介紹。
CLIUSR帳戶是在Windows Server 2012或更高版本上安裝時(shí)由故障轉(zhuǎn)移群集功能創(chuàng)建的本地用戶帳戶。好吧，這很容易，但是為什么這個(gè)帳戶在這里？退后一步，讓我們看看為什么使用此帳戶
在Windows Server 2003和早期版本的群集服務(wù)中，使用域用戶帳戶啟動(dòng)群集服務(wù)。該群集服務(wù)帳戶（CSA）用于形成群集，加入節(jié)點(diǎn)，注冊(cè)表復(fù)制等。基本上，在節(jié)點(diǎn)之間進(jìn)行的任何類型的身份驗(yàn)證都使用該用戶帳戶作為通用標(biāo)識(shí)。
當(dāng)域管理??員推銷將權(quán)限從域用戶帳戶剝離的組策略時(shí)，沒有考慮到其中一些用戶帳戶用于運(yùn)行服務(wù)，因此遇到了許多支持問題。例如，登錄即服務(wù)權(quán)限。如果群集服務(wù)帳戶沒有此權(quán)限，則它將無法啟動(dòng)群集服務(wù)。如果您對(duì)多個(gè)群集使用同一帳戶，則可能會(huì)導(dǎo)致多個(gè)關(guān)鍵系統(tǒng)的生產(chǎn)停機(jī)。您還必須處理Active Directory中的密碼更改。如果在AD中更改了用戶帳戶密碼，則還需要在使用該帳戶的所有群集/節(jié)點(diǎn)之間更改密碼。
在Windows Server 2008中，我們學(xué)習(xí)并重新設(shè)計(jì)了有關(guān)啟動(dòng)服務(wù)的所有方式，以使該服務(wù)更具彈性，更不易出錯(cuò)且更易于管理。我們開始使用內(nèi)置的網(wǎng)絡(luò)服務(wù)來啟動(dòng)群集服務(wù)。請(qǐng)記住，這不是完整的帳戶，僅是特權(quán)減少的集合。將其更改為此精簡帳戶是解決組策略問題的一種方法。
為了進(jìn)行身份驗(yàn)證，已將其切換為使用與稱為群集名稱對(duì)象（CNO）的群集名稱關(guān)聯(lián)的計(jì)算機(jī)對(duì)象來獲得公共身份。由于此CNO是域中的計(jì)算機(jī)帳戶，因此它將自動(dòng)為您輪換域策略定義的密碼（默認(rèn)為30天）。
大?。?/font>我們不必再考慮其他域用戶帳戶及其密碼更改了。無需再嘗試記住哪個(gè)群集正在使用哪個(gè)帳戶。是??！啊，我的朋友沒那么快。雖然這解決了一些主要的痛苦，但確實(shí)有一些副作用。
從Windows Server 2008 R2開始，管理員開始虛擬化其數(shù)據(jù)中心中的所有內(nèi)容，包括域控制器。還引入了群集共享卷（CSV），并成為私有云存儲(chǔ)的標(biāo)準(zhǔn)。一些管理員完全接受了虛擬化，并虛擬化了其數(shù)據(jù)中心中的每臺(tái)服務(wù)器，包括將域控制器作為虛擬機(jī)添加到群集，并利用CSV驅(qū)動(dòng)器來保存VM的VHD / VHDX。
這造成了很多公司最終陷入困境的“雞還是蛋”情況。為了安裝CSV驅(qū)動(dòng)器以訪問虛擬機(jī)，您必須聯(lián)系域控制器以獲取CNO。但是，您無法啟動(dòng)域控制器，因?yàn)樗贑SV上運(yùn)行。
與域控制器的連接緩慢或不可靠也會(huì)影響到CSV驅(qū)動(dòng)器的I / O。CSV通過SMB進(jìn)行集群內(nèi)通信，就像連接文件共享一樣。要與SMB連接，它需要進(jìn)行身份驗(yàn)證，并且需要在Windows Server 2008 R2中進(jìn)行身份驗(yàn)證，這涉及使用遠(yuǎn)程域控制器對(duì)CNO進(jìn)行身份驗(yàn)證。
對(duì)于Windows Server 2012，我們必須考慮如何利用兩全其美并解決我們所看到的一些問題。我們?nèi)匀皇褂脺p少的網(wǎng)絡(luò)服務(wù)特權(quán)來啟動(dòng)群集服務(wù)，但是現(xiàn)在要?jiǎng)h除所有外部依賴關(guān)系，我們有一個(gè)本地（非域）用戶帳戶用于節(jié)點(diǎn)之間的身份驗(yàn)證。
此本地“用戶”帳戶不是管理帳戶或域帳戶。創(chuàng)建群集時(shí)，將在每個(gè)節(jié)點(diǎn)上自動(dòng)為您創(chuàng)建該帳戶，或者在添加到現(xiàn)有群集的新節(jié)點(diǎn)上自動(dòng)為您創(chuàng)建該帳戶。該帳戶完全由Cluster Service進(jìn)行自我管理，并且會(huì)自動(dòng)輪換該帳戶的密碼并為您同步所有節(jié)點(diǎn)。CLIUSR密碼的旋轉(zhuǎn)頻率與您的域策略所定義的CNO頻率相同（默認(rèn)為每30天）。將其作為本地帳戶，它可以驗(yàn)證和安裝CSV，以便虛擬化的域控制器可以成功啟動(dòng)。現(xiàn)在，您可以不用擔(dān)心而虛擬化所有域控制器。因此，我們通過減少外部依賴性來提高群集的彈性和可用性。
此帳戶是CLIUSR帳戶，并通過其說明進(jìn)行標(biāo)識(shí)。
我們被問到的一個(gè)問題是是否可以刪除CLIUSR帳戶。從安全角度來看，審核期間可能會(huì)標(biāo)記其他本地帳戶（不是默認(rèn)帳戶）。如果網(wǎng)絡(luò)管理員不確定此帳戶的用途（即，他們沒有閱讀“故障轉(zhuǎn)移群集本地身份”的描述），則可以在不了解后果的情況下將其刪除。為使故障轉(zhuǎn)移群集正常運(yùn)行，此帳戶對(duì)于身份驗(yàn)證是必需的。
1.加入節(jié)點(diǎn)將啟動(dòng)群集服務(wù)并傳遞CLIUSR憑據(jù)。
2.全部通過，因此允許該節(jié)點(diǎn)加入。
我們采取了一項(xiàng)額外的安全措施，以確保持續(xù)取得成功。如果您不小心刪除了CLIUSR帳戶，則當(dāng)節(jié)點(diǎn)嘗試加入群集時(shí)將自動(dòng)重新創(chuàng)建該帳戶。
簡而言之……CLIUSR帳戶是群集服務(wù)的內(nèi)部組件。它完全是自我管理的，您無需擔(dān)心配置和管理它。因此，別管它，讓它完成工作。
在Windows Server 2016中，我們將進(jìn)一步利用證書來允許群集在沒有任何形式的外部依賴的情況下運(yùn)行，從而進(jìn)一步向前邁進(jìn)。這使您可以使用位于不同域或根本沒有域的服務(wù)器創(chuàng)建群集。但這是另一天的博客。
希望這可以回答有關(guān)CLIUSR帳戶及其使用的任何問題。
約翰·馬林（John Marlin）享受，Microsoft企業(yè)云小組
高級(jí)支持升級(jí)工程師
聯(lián)系客服
