Назад | Перейти на главную страницу

Ошибка при добавлении дочернего домена Active Directory в существующий лес

Я создаю тестовую среду, содержащую несколько доменов Active Directory в одном лесу, но у меня возникают странные проблемы при попытке добавить дочерний домен в корневой домен леса.

Все серверы представляют собой виртуальные машины Windows Server 2012 R2, работающие на облачной платформе Azure, подключенные к одной виртуальной сети; у них есть статически зарезервированные IP-адреса, и они могут общаться друг с другом без каких-либо проблем с сетью.

Моя доменная структура (или, по крайней мере, должна быть) следующая:

    A0.lab (forest root)            B0.lab
   /  \                            /  \
  A1  A2                          B1  B2
  |                               |
  A3                              B3

Таким образом:

Я успешно создал корневой домен леса (A0.lab) и определил сайт AD и его подсеть; домен работает правильно.

Затем я настроил сервер, который должен стать контроллером домена для первого дочернего домена (A1.A0.lab), чтобы использовать корневой контроллер домена в качестве DNS-сервера, и запустил мастер продвижения; Я заполнил все параметры, включая учетную запись администратора домена для корневого домена и возможность создания делегирования DNS; все предварительные проверки успешны.

Когда я начинаю собственно процесс продвижения, он останавливается на этапе «Репликация раздела каталога схемы». Журнал событий «Служба каталогов» неоднократно заполняется несколькими ошибками:

Идентификатор события 1963, источник ActiveDirectory_DomainService, категория задачи DS RPC Client:

Internal event: The following local directory service received an exception from a
remote procedure call (RPC) connection. Extensive RPC information was requested. This
is intermediate information and might not contain a possible cause. 

Process ID:  
540  

Reported error information:  
Error value:  
Could not find the domain controller for this domain. (1908)  
directory service:  
DCA0.a0.lab  

Extensive error information:  
Error value:  
A security package specific error occurred. 1825  
directory service:  
DCA1  

Additional Data  
Internal ID:  
5000e02

Идентификатор события 1961, источник ActiveDirectory_DomainService, категория задачи Клиент RPC DS:

Internal event: This log entry is a continuation from the preceding extended error
information entry on the following error and directory service. 

Extended information:  
Error value:  
A security package specific error occurred. (1825)  
directory service:  
DCA1  

Supplemental information:  
Detection location:  
1461  
Generating component:  
RPC Runtime  
Time at directory service:  
2015-03-19 21:44:04  

Additional Data  
Error value:  
A security package specific error occurred. (1825)

Идентификатор события 2839, источник ActiveDirectory_DomainService, категория задачи Клиент RPC DS:

Internal event: This log entry is a continuation from the preceding extended error
information entry. 

Extended information:  
Extended Error Parameters:  
0  
Parameter 1:  
(NULL)  
Parameter 2:  
(NULL)  
Parameter 3:  
(NULL)  
Parameter 4:  
(NULL)  
Parameter 5:  
%6  
Parameter 6:  
%7  
Parameter 7:  
%8

Идентификатор события 1962, источник ActiveDirectory_DomainService, категория задачи Клиент RPC DS:

Internal event: The local directory service received an exception from a remote
procedure call (RPC) connection. Extended error information is not available. 

directory service:  
DCA0.a0.lab  

Additional Data  
Error value:  
Could not find the domain controller for this domain. (1908)

Идентификатор события 1125, источник ActiveDirectory_DomainService, настройка категории задачи:

The Active Directory Domain Services Installation Wizard (Dcpromo) was unable to
establish connection with the following domain controller. 

Domain controller:
DCA0.a0.lab 

Additional Data  
Error value:  
1908 Could not find the domain controller for this domain.

Эти ошибки повторяются снова и снова, но нет прогресса или неудач, процесс продвижения просто останавливается.

Вот содержание dcpromo.log файл:

03/19/2015 22:43:35 [INFO] Promotion request for domain controller of new domain
03/19/2015 22:43:35 [INFO] DnsDomainName  a1.a0.lab
03/19/2015 22:43:35 [INFO]  FlatDomainName  A1
03/19/2015 22:43:35 [INFO]  SiteName  Lab
03/19/2015 22:43:35 [INFO]  SystemVolumeRootPath  C:\Windows\SYSVOL
03/19/2015 22:43:35 [INFO]  DsDatabasePath  C:\Windows\NTDS, DsLogPath  C:\Windows\NTDS
03/19/2015 22:43:35 [INFO]  ParentDnsDomainName  a0.lab
03/19/2015 22:43:35 [INFO]  ParentServer  DCA0.a0.lab
03/19/2015 22:43:35 [INFO]  Account A0\AdmA0
03/19/2015 22:43:35 [INFO]  Options  5243072
03/19/2015 22:43:35 [INFO] Validate supplied paths
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\NTDS.
03/19/2015 22:43:35 [INFO]  Path is a directory
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\NTDS.
03/19/2015 22:43:35 [INFO]  Path is a directory
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\SYSVOL.
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO]  Path is on an NTFS volume
03/19/2015 22:43:35 [INFO] Child domain creation -- check the new domain name is child of parent domain name.
03/19/2015 22:43:35 [INFO] Domain Creation -- check that the flat name is unique.
03/19/2015 22:43:40 [INFO] Start the worker task
03/19/2015 22:43:40 [INFO] Request for promotion returning 0
03/19/2015 22:43:42 [INFO] Using supplied domain controller: DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Using supplied site: Lab
03/19/2015 22:43:42 [INFO] Forcing time sync
03/19/2015 22:43:42 [INFO] Forcing a time sync with DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Reading domain policy from the domain controller DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Stopping service NETLOGON
03/19/2015 22:43:42 [INFO] Stopping service NETLOGON
03/19/2015 22:43:42 [INFO] ControlService(STOP) on NETLOGON returned 0(gle=1062)
03/19/2015 22:43:42 [INFO] Exiting service-stop loop after service NETLOGON entered STOPPED state
03/19/2015 22:43:42 [INFO] StopService on NETLOGON returned 0
03/19/2015 22:43:42 [INFO] Configuring service NETLOGON to 1 returned 0
03/19/2015 22:43:42 [INFO] Stopped NETLOGON
03/19/2015 22:43:42 [INFO] Creating the System Volume C:\Windows\SYSVOL
03/19/2015 22:43:42 [INFO] Deleting current sysvol path C:\Windows\SYSVOL 
03/19/2015 22:43:44 [INFO] Preparing for system volume replication using root C:\Windows\SYSVOL
03/19/2015 22:43:44 [INFO] Created the system volume
03/19/2015 22:43:44 [INFO] Copying initial Directory Service database file C:\Windows\system32\ntds.dit to C:\Windows\NTDS\ntds.dit
03/19/2015 22:43:44 [INFO] Installing the Directory Service
03/19/2015 22:43:44 [INFO] Calling NtdsInstall for a1.a0.lab
03/19/2015 22:43:44 [INFO] Starting Active Directory Domain Services installation
03/19/2015 22:43:44 [INFO] Validating user supplied options
03/19/2015 22:43:44 [INFO] Determining a site in which to install
03/19/2015 22:43:44 [INFO] Examining an existing forest...
03/19/2015 22:43:44 [INFO] Configuring the local computer to host Active Directory Domain Services
03/19/2015 22:43:48 [INFO] EVENTLOG (Informational): NTDS General / Service Control : 1094  
Software write caching for the following disk drive has been disabled to prevent possible data loss during system failures such as power outages or hardware component failures that can cause a sudden shutdown of the system. The disk drive that stores Active Directory Domain Services log files is the only drive affected by this change.

Disk drive:  
c:

03/19/2015 22:43:59 [INFO] EVENTLOG (Informational): NTDS Database / Internal Processing : 2013  
Active Directory Domain Services is rebuilding the following number of indices as part of the initialization process.

Number of indices:  
1

Indices:  
LCL_ABVIEW_index00000410 +ATTb590468 

03/19/2015 22:43:59 [INFO] EVENTLOG (Informational): NTDS Database / Internal Processing : 2014  
Active Directory Domain Services successfully completed rebuilding the following number of indices.

Indices:  
1

03/19/2015 22:44:00 [INFO] EVENTLOG (Informational): NTDS General / Internal Configuration : 2120  
This Active Directory Domain Services server does not support the Recycle Bin. Deleted objects may be undeleted, however, when an object is undeleted, some attributes of that object may be lost.  Additionally, attributes of other objects that refer to the object being undeleted may also be lost.

03/19/2015 22:44:00 [INFO] EVENTLOG (Informational): NTDS General / Internal Configuration : 2405  
This Active Directory Domain Services server does not support the "Recycle Bin Feature" optional feature.

03/19/2015 22:44:00 [INFO] Replicating the schema directory partition

После этого регистрируются те же ошибки, о которых сообщается в журнале событий.

я обнаружил Эта статья в котором говорится, что эта ошибка может произойти, если учетная запись администратора имеет одинаковый пароль на новом контроллере домена и в домене, в который вы входите; Я вообще не использую встроенную учетную запись администратора, поскольку это виртуальные машины Azure, но на самом деле я использовал одно и то же имя пользователя и пароль на всех серверах во время своего первого теста, поэтому я предположил, что это действительно могло быть причиной ошибка; однако с тех пор я перестроил все серверы и создал отдельную учетную запись локального администратора на каждом из них (AdmA0, AdmA1, AdmA2 ...) с отдельным паролем; Я также не забудьте указать учетные данные для родительского домена в форме A0\AdmA0; но ошибка произошла снова.

Что происходит, и как это исправить?

Похоже, я столкнулся (с вариантом?) Эта проблема: продвижение успешно завершается, если я использую "длинные" учетные данные для входа, т. е. A0.lab\AdmA0 вместо того A0\AdmA0.

Однако, судя по статье, эта проблема должна возникать, только если NetBIOS через TCP / IP отключен, но на самом деле он включен, и это можно проверить в ipconfig вывод. Я также попытался настроить виртуальные машины со статическими сетевыми настройками вместо использования DHCP (который требуется для Azure) и принудительно установить NetBIOS через TCP / IP на «Включено», но ошибка возникает всегда; Единственный способ работы процесса продвижения - использование «длинных» учетных данных.

Однако это определенно кажется особенностью Azure: я создал идентичную тестовую среду на локальном сервере Hyper-V, и все работает так, как должно.

Похоже, либо Azure делает что-то странное на сетевом уровне, что блокирует NetBIOS, либо шаблоны виртуальных машин Azure Windows Server 2012 R2 имеют какое-то странное поведение, связанное с NetBIOS, из-за которого продвижение DC не удается таким своеобразным образом.

Обновить:

Установлен виновный: https://msdn.microsoft.com/en-us/library/azure/dn133803.aspx.

Does Virtual Network support multicast or broadcast?

No. We do not support multicast or broadcast.

Виртуальные сети Azure не поддерживают трансляцию; таким образом, даже если NetBIOS включен, он просто не работает. И похоже, что Windows Server 2012 R2 действительно он нужен, чтобы продвижение по службе DC работало.

Обходной путь: используйте "длинные" учетные данные для входа в систему во время повышения DC (full.domain.fqdn\username вместо того NetBIOSDomain\username).

Что касается Зачем Виртуальные сети Azure не поддерживают трансляцию, и как могут ли они сделать это, все еще так сильно полагаясь на DHCP ... это вне моего понимания. И я не совсем уверен, что правда хотеть чтобы понять; Сеть Azure хорошо известна как скорее своеобразный.