» Общие вопросы про AD (Active Directory)

Вопрос, а если сайты не определены в соотв-й остнастке, то АД "думает" и реплицирует по схеме "одного сайта"!?

greenfox
да

Господа, и всё-таки. Подскажите, у кого опыт есть - отрубилась репликация между 2 контроллерами. Эмулятор PDC отказывается реплицироваться. DCDIAG 2 постами выше.
repadmin - видимо, через него можно включить - но у меня что-то не выходит. Вилы!
Связь по сети между контроллерами без проблем.

Вроде в форуме не нашел ответа, поэтому сюда:
С Ad только разбираюсь, досталась в наследство.
Имеем два сервера в одно лесе и дереве. Обо контроллеры домена. На второй сервер производилась репликация файлов с первого(было натсроено и в обратном порядке, но не работала). Первый сервер достался полу мертвым. На нем не работала dhcp, поэтому временно прописал ip. Dns брались со второго контроллера. Компьютеры и пользователи писались на первый и после репликации появлялись на втором серваке.
На данный момент dhcp поднят на втором сервере и есть желание перенести все(dns и ad) на второй.
Проблема в том, как второй контроллер сделать теперь основным(могу путаться в понятиях)?

obtim
так нету в терминах АД теперь "основных" серверов. Только роли перекинь с первого сервера на второй (естественно 2-й должен быть контроллером уже) и dcpromo понижай первый вперёд...

CuS
а что репадмин пишет?

greenfox
Второй точно контроллер. С понижением ролей - понятно. А вот как перекинуть роли с первого на второй(хочу убедиться что правильно тебя понимаю, т.к. только разбираюсь с темой)?

мммм... ну тут долго объяснять - 5 FSMO ролей, каждая смотрится в соотв-м месте. В шапке есть линки на соот-й материал.

ps да забыл выше сказать - бэкап AD перед эксперементами - обязателен

greenfox
Спасибо за внимание к моей проблеме. Сам разгрёб; дело в том, что без толкового хелпа по репадмину было тяжко, встроенный дюже лаконичен. Оказалось, что для принудительного включения репликации надо было ввести команды прямо так, ничего не меняя, как посоветовал DCDIAG: repadmin /options HOST1 -DISABLE_INBOUND_REPL и
repadmin /options HOST1 -DISABLE_OUTBOUND_REPL. И всё поехало - может, ещё кому пригодится.

greenfox
Материала много там, поэтому простое уточнение. Ты имел ввиду роли по netdom query fsmo ?
Schema owner второй контролер
Domain role owner второй контролер
PDC role второй контролер
RID pool manager второй контролер
Infrastructure owner второй контролер

По этим 5 владелей второй контролер

Т.е. мне просто надо с помощью dcpromo понизить(проверить) первый и в принципе его можно вырубить вобще?

всем привет!!!
Есть сеть на AD W2K3, в ней два DC, server и dserver, на днях главный DC, server, на котором были все роли умер, я перетащил все роли на второй dserver, почистил AD через ntdsutil вычистил упомина об server, почистил днс. Потом взял новый сервер, bserver, повысил его до DC, тепер у меня снова два DС, dserver и bserver.
Вроде все работает нормально но на DC dserver в логах выскакивает уведомление:

Тип события:    Уведомление
Источник события:    NTDS KCC
Категория события:    Проверка согласованности знаний
Код события:    1104
Дата:        20.12.2006
Время:        2:13:52
Пользователь:        NT AUTHORITY\АНОНИМНЫЙ ВХОД
Компьютер:    DSERVER
Описание:
В ходе проверки согласованности знаний успешно отменены следующие уведомления об изменениях.

Раздел каталога:
DC=DomainDnsZones,DC=xxx,DC=ru
Конечный сетевой адрес:
2cba0a37-f311-4dbd-b97e-065b34cf1532._msdcs.xxx.ru
Конечный контроллер домена (если известен):
CN=NTDS Settings\0ADEL:2cba0a37-f311-4dbd-b97e-065b34cf1532,CN=SERVER\0ADEL:4a3ef9a7-0480-45fc-8cc9-141104f14e5f,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xxx,DC=ru

Это событие может возникнуть, если данный или конечный контролер домена был перемещен в другой сайт.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Я так понимаю инфа в AD о бывшем DC server все еще есть, что и где мне нужно почистить, чтобы AD больше не знал что был такой DC server???

C:\Documents and Settings\dima>dcdiag /a
[more] Microsoft Windows [Версия 5.2.3790]

C:\Documents and Settings\dima>dcdiag /a

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\DSERVER
Starting test: Connectivity
......................... DSERVER passed test Connectivity

Testing server: Default-First-Site-Name\BSERVER
Starting test: Connectivity
......................... BSERVER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\DSERVER
Starting test: Replications
......................... DSERVER passed test Replications
Starting test: NCSecDesc
......................... DSERVER passed test NCSecDesc
Starting test: NetLogons
......................... DSERVER passed test NetLogons
Starting test: Advertising
......................... DSERVER passed test Advertising
Starting test: KnowsOfRoleHolders
......................... DSERVER passed test KnowsOfRoleHolders
Starting test: RidManager
......................... DSERVER passed test RidManager
Starting test: MachineAccount
......................... DSERVER passed test MachineAccount
Starting test: Services
......................... DSERVER passed test Services
Starting test: ObjectsReplicated
......................... DSERVER passed test ObjectsReplicated
Starting test: frssysvol
......................... DSERVER passed test frssysvol
Starting test: frsevent
......................... DSERVER passed test frsevent
Starting test: kccevent
......................... DSERVER passed test kccevent
Starting test: systemlog
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:27:02
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:27:03
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:27:09
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:27:10
(Event String could not be retrieved)
......................... DSERVER failed test systemlog
Starting test: VerifyReferences
......................... DSERVER passed test VerifyReferences

Testing server: Default-First-Site-Name\BSERVER
Starting test: Replications
......................... BSERVER passed test Replications
Starting test: NCSecDesc
......................... BSERVER passed test NCSecDesc
Starting test: NetLogons
......................... BSERVER passed test NetLogons
Starting test: Advertising
......................... BSERVER passed test Advertising
Starting test: KnowsOfRoleHolders
......................... BSERVER passed test KnowsOfRoleHolders
Starting test: RidManager
......................... BSERVER passed test RidManager
Starting test: MachineAccount
......................... BSERVER passed test MachineAccount
Starting test: Services
......................... BSERVER passed test Services
Starting test: ObjectsReplicated
......................... BSERVER passed test ObjectsReplicated
Starting test: frssysvol
......................... BSERVER passed test frssysvol
Starting test: frsevent
......................... BSERVER passed test frsevent
Starting test: kccevent
......................... BSERVER passed test kccevent
Starting test: systemlog
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:26:08
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:26:09
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:26:10
(Event String could not be retrieved)
An Error Event occured. EventID: 0x00000457
Time Generated: 12/20/2006 10:26:10
(Event String could not be retrieved)
......................... BSERVER failed test systemlog
Starting test: VerifyReferences
......................... BSERVER passed test VerifyReferences

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : xxx
Starting test: CrossRefValidation
......................... xxx passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... xxx passed test CheckSDRefDom

Running enterprise tests on : xxx.ru
Starting test: Intersite
......................... xxx.ru passed test Intersite
Starting test: FsmoCheck
......................... xxx.ru passed test FsmoCheck[/more]

C:\Documents and Settings\dima>netdiag
[more]C:\Documents and Settings\dima>netdiag

.....................................

Computer Name: DSERVER
DNS Host Name: DSERVER.xxx.ru
System info : Windows 2000 Server (Build 3790)
Processor : x86 Family 15 Model 1 Stepping 2, GenuineIntel
List of installed hotfixes :
Q147222


Netcard queries test . . . . . . . : Passed



Per interface results:

Adapter : Local Area Connection 2

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : DSERVER
IP Address . . . . . . . . : 192.168.200.3
Subnet Mask. . . . . . . . : 255.255.255.0
Default Gateway. . . . . . : 192.168.200.251
Dns Servers. . . . . . . . : 192.168.200.4
192.168.200.3


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Passed

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenge
r Service', <20> 'WINS' names is missing.
No remote names have been found.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{D3DE825D-A0AC-4E4D-B640-4B8B88BD5281}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Passed


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Servi
ce', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '192.168.200.
4' and other DCs also have some of the names registered.
PASS - All the DNS entries for DC are registered on DNS server '192.168.200.
3' and other DCs also have some of the names registered.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{D3DE825D-A0AC-4E4D-B640-4B8B88BD5281}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{D3DE825D-A0AC-4E4D-B640-4B8B88BD5281}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information


The command completed successfully

C:\Documents and Settings\dima>
[/more]

obtim
Да, роли эти. Ещё Глобальный каталог (GC) гляньте, что бы на втором серваке был.
А так в общем случае - да, можно понижать. Бэкап - святое.

Добавлено:
Dima_RU
http://support.microsoft.com/kb/216498
что то типа того

ps да и прячь вывод таких длинных команд в тэг [more]

greenfox
Вот с ним вопрос возник. В консоле "AD: сайты и службы" (на втором контроллере) в настройках ntds второго контроллера стоит галка на глобальном каталоге. А где он физически расположен?. Там же в настройках первого контроллера галки на глобальном каталоге нет.
И кстати, на первом контроллере в консоле "AD: сайты и службы" есть только второй контроллер, у которого стоит галка глобальный каталог.
Папки sysvol - на первом контроллере нет (полагаю, что так и должно быть, т.к. репликация со второго контроллера на первый не проводилась)

greenfox

Цитата:

http://support.microsoft.com/kb/216498
что то типа того

был я там, не помогает

Dima_RU
Собственно у вас ошибка относится к контексту приложений если я не ошибаюсь - к DNS. Посмотрите корректно ли удалились все записи старого сервака из соотв-й зоны днс.
Всё остальное работает нормально?

obtim
Да, GC относится к тому серваку под которым стоит галка Но вобщем случае Если у вас домен 1 то Gc и потом назначить можно...
Ппака sysvol должна быть в любом слуае, они просто могут быть несинхронизированы... похоже у вас на первом DC всё пошло лесом...

greenfox
да вроде все нормально, ошибок больше нет, ДНС я чистил, все записи относящиеся к умершему DC я удалил

greenfox
На первом серваке в журнале событий слишком много ошибок было. Поэтому перевожу все на второй. В принципе осталось только два пункта:
1. понизить статус
2. странная запись в журнале безопасности об ошибке аудита(event id 529) для некоторых машин и соответственно отказ на рабочих станциях при попытке подсоединения к серваку. Временно решена путем прописывания вместо имени сервера - его ip(как понимаю ошибка в днс). При этом создана учетка и настроен dhcp для группы dnsupdateproxy и в самом днс поставлена галка "разрешить автоматическое удаление устаревших записей"(временно поставлено 1 час). Сервак правда после этого не перегружался.
Возможно вторая ошибка тесно связана с первым пунктом

Ситуация такая: Есть терминальный сервер на win2003server, он находится в домене (AD тоже на win2003server). Пользователи заходят на сервер, как доменные. Политики безопасности работают без нареканий. В конце дня все заканчивают работу, закрывают свои сесии. Тут тоже все нормально (сесии закрываются полностью). А утром при входе в систему им выдает ошибку, типа не моге загрузить локально сохраняемый профиль.
После ряда эксперементов, выяснилось, что где-то в районе 4-5 часов утра, некий процесс SYSTEM (PID (4)), блокирует NTUSER.DAT. С чем это может быть связанно, даже не могу предположить.
Помогите, советом, или подскажите, что за напасть такая этот процесс SYSTEM (PID (4)).

Покоцано, вроде разобрался... Извините...

DPQweer
http://forum.drweb.com/viewtopic.php?t=3474
тут посмотри

люди помогите решить проблемму: настроил чего-то в политиках безопасности домена. Нужно ввести второй контролёр как резерынй. Пробую, когда спрашивает пользователя, даю имя_домена\Администратор, который обладает всеми какими-только можно правами (надеюсь). но повысить уровень сервера до контроллера не получается. говорит что не хватает прав. Подскажите чего-где добавить? где прописать пользователя, чтобы он мог повышать уровень сервера до контроллёра?
Заранее спасибо.

greenfox
Статус пока не понижал, разбирался со второй проблемой и пришел к "замечательной ситуации". Судя по всему sid записи данных о компах на втором серваке(получены в результате репликации) в оснастке компьютеры и пользователи, отличаются от реальных записей компов(есть подозрение, что почему-то винда использует netbios имя). Решением проблемы явилось вывод и ввод компьютера в домен.

Ошибочным решением-просто кликнуть "переустановить" на записи имени компа в оснастке. После этого домен дает вывести комп(при этом информация о записи в оснастке удаляется с первого сервера, на втором ее пришлось убить ручками), а ввести обратно не дает. Ругается на "Вход в систему не произведен: конечная запись указана неверное".

Попробовал утилитку netdom /reset -ругнулась, что rpc не найден.

Вопрос: Правильно ли я сделал вывод, что вторая проблема у меня полностью исчезнет только после того, как я удалю репликации между серверами и понижу второй?

Dima_RU
Ситуация немного другая, во первых антивирусов не установлено, а во вторых загрузка системы процессом SYSTEM (PID (4))=0, т. е. он просто занимает файлы, но ничего с ними не делает. Похоже, что система сама, не с того, не с сего, лочит эти файлы. Почему, не понятно.

obtim
не совсем врубаюсь о чём ты...
мой тебе совет - хочешь протестить, выключи первый глючный сервер (пока просто по питанию, не понижая) и посмотри как будет работать второй DC...

Есть вопросик: есть перещаемый профиль. Доступ пользователю к профилю стоит только на чтение. При выключении пользователя висит окно о том, что профиль хочет записаться на сервер но не может. Окно висит 30 секнд. Где в групповых политиках поставить этот тайм-аут поменьше и как вообще отключить опцию, чтобы профиль не записывался на сервер при выключении?

VovaMozg
http://www.oszone.net/display.php?id=3955&do=print

greenfox
В принципе разобрался.
По понижению. Первый контроллер(мертвый) при запуске на нем dcpromo - ругается, что он последний контоллер домена и спрашивает: вы уверены...

Вопрос: Продолжать? или запустить его с параметром dcpromo /forceremoval

obtim
http://support.microsoft.com/kb/332199
Ну насколько я пониваю у вас ваш мёртвый DC вообще ад уже не видит? (точнее вдит её старую версию без второго DC?) Тогда его вообще нет смысла понижать, т.к. он корректно всё равно из АД не удалится. Я бы в таком случае вообще бы его форматнул не понижая, а АД потом почитсил от ссылок на этот DC... Естест-но можно попытаться сначало найти причину их рассинхронизации с АД, а потом понижать...

greenfox
Форматирование планировалось, только шары с него надо перенести. Сейчас о нем упоминания есть в dns и может быть еще где-то.
Последующие действия вроде понял. Спасибо за помощь!

Извините за ламерский вопрос, но времени в обрез. ситуация такая:
есть домен на основе 2003 сервака. комп старенький. Есть новый комп на котором поднят 2003 сервак х64. задача - настройки AD (юзеры, компутеры) записать как-нить, потом после сноса домена на страром серваке, на новом поднять домен с тем же именем пользователями и настройками. Если это возможно и не очень долго, отпишитесь плз побыстрее....

Liberty_2000
1 поднять на втором сервере дополнительный DC
2. поднять там DNS и перенести зоны
3. трансфер ролей на новый сервер
4. понизить старый.