Por que a Ferramenta do GPO relata uma incompatibilidade de versão do GPO quando os #s da versão do GPO coincidem?

Question

Alguma idéia de por que o utilitário de diagnóstico de diretiva de grupo GPOTool relataria uma incompatibilidade de versão de GPO entre dois controladores de domínio se os números de versão forem correspondentes?

Policy {GUID} 
Error: Version mismatch on dc1.domain.org, DS=65580, sysvol=65576
Friendly name: Default Domain Controllers Policy
Error: Version mismatch on dc2.domain.org, DS=65580, sysvol=65576
Details: 
------------------------------------------------------------
DC: dc1.domain.org
Friendly name: Default Domain Controllers Policy
Created: 7/7/2005 6:39:33 PM
Changed: 6/18/2012 12:33:04 PM
DS version:     1(user) 44(machine)
Sysvol version: 1(user) 40(machine)
Flags: 0 (user side enabled; machine side enabled)
User extensions: not found
Machine extensions: [{GUID}]
Functionality version: 2
------------------------------------------------------------
DC: dc2.domain.org
Friendly name: Default Domain Controllers Policy
Created: 7/7/2005 6:39:33 PM
Changed: 6/18/2012 12:33:05 PM
DS version:     1(user) 44(machine)
Sysvol version: 1(user) 40(machine)
Flags: 0 (user side enabled; machine side enabled)
User extensions: not found
Machine extensions: [{GUID}]
Functionality version: 2

    

Answer 1

Seu problema é causado por uma incompatibilidade de versão entre as partes DS e Sysvol da Política de Controladores de Domínio Padrão, não sendo uma diferença entre os dois DCs. Seus DCs estão em sincronia um com o outro, mas os dados que eles estão sincronizando estão fora de sincronia consigo mesmos. O que você quer fazer é definir as versões DS e Sysvol para o mesmo valor. Por segurança, vá com 1(user) 45(machine) . O valor que você precisará inserir é 65581 (1 * 65536 + 45 = 65581). Abra \domainname\sysvol\policies\{Default_Domain_Controllers_Policy_GUID}\gpt.ini no bloco de notas e defina Version=65581 . Agora, usando ADSIEdit, ADExplorer, adfind, etc, navegue até CN={Default_Domain_Controllers_Policy_GUID},CN=Policies,CN=System,DC=domainname e defina versionnumber para 65581 . Agora vá almoçar e quando você voltar, execute o GPOTool novamente. Todos os números de versão devem ser reportados como 65581 e / ou 1(user) 45(machine) .

Observação: o GUID da Diretiva de Controladores de Domínio Padrão é sempre 6AC1786C-016F-11D2-945F-00C04FB984F9, mas verifique se, de fato, é o GUID, caso alguém o renomeie e crie outro GPO com o mesmo nome.

Consulte as páginas a seguir para ver mais detalhes sobre como os números da versão do GPO são calculados e utilizados:

• link
• link

Answer 2

Não está dizendo que seus CDs são incompatíveis com a versão, mas sim que um de seus GPOs é.

Você precisa rastrear a política ofensiva ("Política {GUID}") e sob a pasta sysvol em seus DCs, navegar para sua pasta (\ DC \ sysvol \ policies {GUID}) e verificar o arquivo GPT.INI em ambos os DCs. Ele terá um número de versão e o número da versão será diferente nos diferentes DCs - esta é a incompatibilidade de versão da qual ele está reclamando.

Corrigir depende do que exatamente causou a incompatibilidade - talvez seja possível corrigi-lo editando o número da versão no GPT.ini ou pode ser resultado de algum problema maior, como conjuntos de réplicas FRS defeituosos, configurações de ACL ativadas. esse GPO em particular, etc. Não há informações suficientes para determinar exatamente o que é a causa raiz.

    

Answer 3

Eu procuraria ver se seu ambiente do AD está em estado de quebra de diário. Nós nos deparamos com esse mesmo problema e tivemos que fazer uma restauração D2 para recuperar todos os GPOs para um estado consistente.