Recém-promovido controlador de domínio mostrando muitos erros, mas o dcpromo não reclamou?

Question

Eu tenho um domínio separado em quatro sites. Em um dos meus sites remotos, eu promovi um novo DC e descomissionarei o DC existente em algumas semanas. Eu não recebi nenhum erro quando fiz o dcpromo, mas tive que atrasar a reinicialização do servidor após a promoção por alguns dias.

Após a reinicialização, parece que há alguns problemas sérios neste novo DC:

1. O log do serviço de diretório está cheio de eventos 1864 ( This directory server has not recently received replication information from a number of directory servers. ), 2089 ( This directory partition has not been backed up since at least the following number of days. ) e 2093 ( The remote server which is the owner of a FSMO role is not responding. This server has not replicated with the FSMO role owner recently. ).

2. O log do sistema contém muitos eventos 1006 ( The processing of Group Policy failed. Windows could not authenticate to the Active Directory service on a domain controller. (LDAP Bind function call failed). Look in the details tab for error code and description. ) - informações da guia detalhes são as seguintes:

   SupportInfo1 1
   SupportInfo2 5012 
   ProcessingMode 0 
   ProcessingTimeInMilliseconds 2184 
   ErrorCode 49 
   ErrorDescription Invalid Credentials 
   DCName
   

   Além do erro 4 ( The Kerberos client received a KRB_AP_ERR_MODIFIED error from the server kelethdc01$. The target name used was E3514235-4B06-11D1-AB04-00C04FC2DCD2/2ee10a9d-dcf0-4940-b2e5-25044f90869c/[email protected]. This indicates that the target server failed to decrypt the ticket provided by the client. This can occur when the target server principal name (SPN) is registered on an account other than the account the target service is using. Please ensure that the target SPN is registered on, and only registered on, the account used by the server. This error can also happen when the target service is using a different password for the target service account than what the Kerberos Key Distribution Center (KDC) has for the target service account. Please ensure that the service on the server and the KDC are both updated to use the current password. If the server name is not fully qualified, and the target domain (DOMAIN.COM) is different from the client domain (DOMAIN.COM), check if there are identically named server accounts in these two domains, or use the fully-qualified name to identify the server. ) e do erro 5782 ( Dynamic registration or deregistration of one or more DNS records failed with the following error: TCP/IP network protocol not installed. ).

Alguém pode sugerir o que pode ter acontecido aqui e como corrigir?

    

Answer 1

Eu não vi isso antes, mas meus pensamentos iniciais seriam que, como os tickets do Kerberos são baseados em tempo, o atraso entre dcpromo e reinicialização poderia ter causado o problema.

Você tentou des-promover o novo servidor e fazer um novo dcpromo e reiniciar?

    

Answer 2

Em relação a "Esta partição de diretório não foi submetida a backup desde pelo menos o seguinte número de dias." Quando um backup de estado do sistema é executado e o backup do Active Directory é feito, ele atualiza um atributo na (s) partição (ões).

Você pode confirmar se / quando os backups são realizados usando o seguinte comando:

repadmin /showbackup <dcname>

É possível suprimir a atualização do atributo. Se esta mensagem estiver sendo exibida apenas para a partição do esquema, ela pode ter sido desativada.