RestrictAnonymous 注册表值 使用注册表编辑器查看以下注册表项，然后将以下值添加到此项中，如果此值已存在则修改它： HKEY_LOL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA 数值：RestrictAnonymous 数值类型：REG_DWORD 数值数据：0x2 (Hex) 在对注册表中的 RestrictAnonymous 项进行任意更改后，重新启动计算机。 当 RestrictAnonymous 注册表值设置为 2 时，为未验证身份的用户生成的访问令牌不包括“所有人”组，因此，访问令牌不能再访问那些将权限授予“所有人”组的资源。这可能导致意外的行为，因为很多 Windows 2000 服务和第三方程序都依赖匿名访问功能来执行合法任务。 例如，当一个位于信任域中的管理员打算将本地访问权授予某一受信域中的一个用户时，可能需要枚举此受信域中的所有用户。因为此受信域无法验证信任域中的管理员的身份，就可能使用匿名枚举。从安全角度而言，限制匿名用户的能力是有好处的，但同时有些服务和程序需要依赖匿名访问才能执行全部功能，所以应对二者进行权衡。 当基于 Windows 2000 的域控制器上的 RestrictAnonymous 注册表值被设置为 2 时，下列任务受到限制： • 下级成员工作站或服务器无法建立 netlogon 安全通道。 • 信任域中的下级域控制器无法建立 netlogon 安全通道。 • Microsoft Windows NT 用户在密码过期后无法更改密码。此外，Macintosh 用户根本不能更改他们的密码。 • 浏览器服务无法从在 RestrictAnonymous 注册表值设置为 2 的计算机上运行的备份浏览器、主浏览器或域主浏览器中检索域列表或服务器列表。因此，所有依赖浏览器服务的程序都无法正常工作。 由于上述结果，建议您不要在包括下级客户端的混合模式环境中将 RestrictAnonymous 注册表值设置为 2。只有在 Windows 2000 环境下，并且只有当进行了充分的质量保证测试以证实适当的服务级别和程序功能继续保持之后，才应考虑将 RestrictAnonymous 注册表值设置为 2。 RestrictAnonymous可设置成0、1 或 2。这些数字对应于下列设置： 0 无。依赖于默认权限 1 不允许枚举 SAM 帐户和名称 2 没有显式匿名权限就无法访问