Fazer login via Active Directory não funciona na primeira vez

Question

Usamos o Active Directory, mas um computador em particular tem um pequeno problema. Quando você faz login no domínio (independentemente da conta de usuário usada), ele não funcionará na primeira vez. O Windows dirá que não pode encontrar o usuário no domínio, o log de eventos só tem isso a dizer (envolto em blocos de código para facilitar a visualização):

The processing of Group Policy failed. Windows attempted to read the file
\xxxx.local\SysVol\xxxxx.local\Policies\{448DC634-5296-4D65-BA4A-8D2BF90380C2}\gpt.ini from a domain controller and was not successful. 
Group Policy settings may not be applied until this event is resolved. 
This issue may be transient and could be caused by one or more of the following: 

a) Name Resolution/Network Connectivity to the current domain controller. 

b) File Replication Service Latency (a file created on another domain controller has not replicated to the current domain controller). 

c) The Distributed File System (DFS) client has been disabled.

Se você fizer logoff e, em seguida, voltar a ligar, funcionará perfeitamente bem.

Alguém já se deparou com algo assim antes? Originalmente, pensei que talvez alguns serviços do Windows não estivessem sendo iniciados, mas esse não parece ser o problema.

    

Answer 1

Oh cara, eu amo erros como esses. Eu não sei a causa disso, mas deveria ser possível determinar a causa em um ou dois dias.

Em primeiro lugar, as razões mais prováveis para a mensagem de erro estão listadas aqui.

Resolução de nomes / conectividade de rede para o controlador de domínio atual.
O controlador de domínio está na sub-rede local? Você se conecta ao DC via VPN? Você se conecta ao DC pela WAN? Sua rede possivelmente sofre de um servidor DNS com defeito (o que significa que ela está lenta ou quebrada)?
Tudo isso pode fazer com que seu cliente seja temporariamente incapaz de recuperar o objeto de política de grupo do controlador de domínio. A menos que isso possa ser descartado, não é necessário procurar mais.

Latência do serviço de replicação de arquivos
Como o próximo ponto mostrará, os controladores de domínio em um domínio do Windows compartilham arquivos em um sistema de armazenamento de arquivos distribuídos. O que significa que os arquivos reais armazenados nele são replicados para todos os DCs. Por isso, é possível que um determinado arquivo ainda não esteja disponível no DC de destino. Eu diria que isso é improvável, já que essa questão parece ser reprodutível.

O cliente do Sistema de Arquivos Distribuídos (DFS)
O cliente que manipula o DFS está sendo executado? Dado que o login funciona no segundo tempo, é improvável.

Para chegar ao cerne desta questão, é importante entender o que realmente não funciona. Provavelmente, o Windows tentou CreateFile() do arquivo chamado na mensagem de erro. Esta chamada falhou. (Você pode verificar isso usando Process Monitor .)
Por que isso falhou? E por que não falha se você faz o login uma segunda vez?

A primeira causa possível dada (Conectividade de Rede) parece-me ser a mais razoável. Possivelmente, a conexão com o CD é redefinida pela aplicação de outra política de grupo que não será aplicada novamente para o segundo login. Ou é o contrário, somente depois que uma determinada política de grupo foi aplicada, outra pode ser lida do DC.

Eu me pergunto. O que acontece se você tentar fazer login em uma conta de usuário que mostre esse problema, diretamente no DC?