Como comparar o Active Directory em 2 controladores de domínio

Question

Nosso domínio do Windows tem 3 CDs. Um dos DCs está replicando as alterações feitas nos outros DCs, mas não está replicando nenhuma alteração feita em si.

Não temos ideia de qual é o AD mais atualizado, por isso, queremos comparar os outros 2 com o 1 que não está funcionando.

É possível exportar as propriedades em cada objeto (OU, CN, Usuário, Grupo, etc.) para que eu possa compará-las? Talvez para um arquivo xml?

Talvez exista um PowerShell ou vbScript que faça isso?

    

Answer 1

Parece que o seu plano é determinar qual DC tem as alterações mais recentes e, em seguida, torná-las em outro DC?

Não não não não não.

Isso vai sair pela culatra. O AD não replica por quais alterações são consistentes entre si, ele é replicado pelo número de série mais recente. O que você precisa fazer é corrigir a replicação. Dependendo da sua versão do Windows (você não nos informou; seria útil), você pode usar o REPLMON ou o REPADMIN para determinar o que está falhando e provavelmente o motivo. A edição do cheekaleak está correta: o DCDIAG também é útil para encontrar replicação e outros erros em seus controladores de domínio.

    

Answer 2

Execute dcdiag no servidor que não está replicando as alterações feitas nele e verifique se há erros no log dos Serviços de Replicação de Arquivos. Isso deve ajudá-lo a direcionar a replicação.

    

Answer 3

O sintoma é um indicador clássico de objetos remanescentes. Se a Replicação Estrita estiver habilitada em um controlador de domínio e detectar um objeto remanescente de um vizinho de replicação, ele bloqueará as alterações de entrada desse vizinho até que o objeto incorreto seja removido.

A replicação estrita é definida por padrão nos novos domínios do Windows Server 2003 SP1 e posteriores.

Quando um objeto persistente é detectado, um ID de evento 1988 ou 1388 é registrado no log de eventos do serviço de diretório. Se o domínio / floresta for pequeno (no máximo alguns controladores de domínio e menos de 50.000 objetos), você poderá usar o repadmin para remover objetos remanescentes. Usar o repadmin para essa finalidade não é viável em implementações grandes do AD.

O comando a seguir compara a partição especificada em todos os controladores de domínio quando * é substituído por ServerName e registra todos os objetos remanescentes para remoção:

repadmin /removelingeringobjects <ServerName> <ServerGUID> <DirectoryPartition> /advisory_mode  

Se você estiver satisfeito com o relatório, execute o comando sem a opção advisory_mode para executar a ação.

Solução de problemas de replicação do Active Directory no link

ID do Evento 1388 ou 1988: um objeto persistente é detectado no link

Use o Repadmin para remover objetos remanescentes link

Uma ferramenta similar é o GCChk da JoeWare, embora eu não tenha usado:

link