Active Directory: вопросы и ответы

[knor]

Ситуация сложилась таким образом что полетел сервак. Есть бэкап данных и системы. Но Актив Директори не поднимается потому как привязан к системе а значит к железу!...
Есть ли возможность восстановить АД обходя ее привязанность к железу?...

[prado]

Эмм...сказать так, код в студию не скажу ибо в эвентах конкретно к этому код ошибки не выпадает. Выпадает 2 ошибки с кодом 1090 и 9097.
При этом зависимость несколькоих служб (Kerberos, RSoP) ссылается на WMI: не найден

Возможно именно из-за этого и весь "сыр-бор".

Если есть мысли поделитесь.

Заранее благодарен.

[someone312002]

Стоп, паря... я могу, конечно же и напутать, но групповую политику (при условии домен-админа) с твоего сервера можно снять и "через второй" сервер... она же у тебя только для одного определена... дык и снимай её :о)
снял ? тады бум дальше посмотреть...
по кодам действительно сыр-весь-в-дырках... не разобрался...

[prado]

В ощем. Разобрался я что почем и почему. На сервере вылетел весь инструментарий (WMI) и соответственно ММС косолька в том числе. Буду со вторичного лепить мастера! Как справлюсь опишу все подробно!

[prado]

Итак. По сути дела ничего пока не решил с ММС (ибо все намного сложнее). Возникла следующая грабля. Что такое файловая репликация именно файловая?И как ее восстановить?

Заранее спасибо!

[Alex Dark]

Доброго времени суток.
Прошу помощи у тех кто знает что надо делать в следующей ситуации.
Есть сервак Server 2003 - контроллер домена, он же единственный AD и файловый сервер. Работает где-то года два.
Т.к. я в AD не силен и меня уверили что все настроено особо туда не сувался. Посматривал события в управлении компом. Иногда выскакивали ошибки. Последнее время очень часто и много ошибок типа
в сиситеме
При установке сеанса с компьютера КАССА не получено подтверждение имен. В базе данных безопасности содержатся ссылки на учетные записи КАССА$. Ошибка:
Отказано в доступе.
в приложениях
Windows не удалось получить доступ к файлу GPT.INI для объекта групповой политики CN={(убрал для сокращения места)...\gpt.ini>. (Не удалось получить данные о конфигурации от контроллера домена. Либо он отключен, либо к нему нет доступа. ). Обработка групповой политики прекращена.

Не удалось запросить данный список объектов групповой политики. Проверьте в журнале событий наличие сообщений, описывающих причины сбоя.

В DNS-сервер
DNS-серверу не удалось загрузить зону, поскольку не удалось завершить перечисление служб зоны DOM.local. Данный DNS-сервер настроен для получения и использования информации этой зоны из Active Directory. Проверьте, что Active Directory функционирует нормально и повторите перечисление зоны. Расширенная информация об ошибке: "". Данные события содержат сведения об ошибке.

DNS-серверу не удалось загрузить зону, поскольку не удалось завершить перечисление служб зоны _msdcs.DOM.local. Данный DNS-сервер настроен для получения и использования информации этой зоны из Active Directory. Проверьте, что Active Directory функционирует нормально и повторите перечисление зоны. Расширенная информация об ошибке: "". Данные события содержат сведения об ошибке.

Служба репликации файлов
Служба репликации файлов больше не препятствует компьютеру SERV стать контроллером домена. Системный том был успешно инициализирован и служба NetLogon была уведомлена о том, что системный том подготовлен и к нему может быть открыт общий доступ как к общему ресурсу SYSVOL.
Введите команду "net share" чтобы проверить наличие общего ресурса SYSVOL.

Как оказалось, чел просто установил вин2003, запустил мастер настройки сервера. Установил ФС. Установил ДНС. Установил Контроллер домена. Установил DHCP.
Завел пользователей и все.

С прошлой недели сижу читаю интернет по этим ошибкам, советов и рекомендаций много, но проблеммы у людей (с моей точки зрения) другие. Качнул книжку "Учебный курс микрософт. Active Directiory server 2003" Виртуальный сервак для экспериментов с книжкой сделал. Но что то не могу понять с чего мне начинать что бы что то сделать со своими ошибками.

Подскажите плиз.

[pazdak]

Alex Dark
Ну для начала, как всегда сделать команды с контроллера домена (устанавливаются вместе с Support Tools):
1) dcdiag
2) netdiag

ЗюЫю Можно запустить каждую команду с ключем /fix

[Alex Dark]

без фикса dcdiag

Domain Controller Diagnosis

Performing initial setup:
   Done gathering initial info.

Doing initial required tests
   
   Testing server: Default-First-Site\SERV
      Starting test: Connectivity
         ......................... SERV passed test Connectivity

Doing primary tests
   
   Testing server: Default-First-Site\SERV
      Starting test: Replications
         ......................... SERV passed test Replications
      Starting test: NCSecDesc
         ......................... SERV passed test NCSecDesc
      Starting test: NetLogons
         ......................... SERV passed test NetLogons
      Starting test: Advertising
         ......................... SERV passed test Advertising
      Starting test: KnowsOfRoleHolders
         ......................... SERV passed test KnowsOfRoleHolders
      Starting test: RidManager
         ......................... SERV passed test RidManager
      Starting test: MachineAccount
         * SERV is not trusted for account delegation 
         The corresponding flag bits are missing from the computer object's

         User-Account-Control attribute. You can re-run this command and

         include the /FixMachineAccount option to attempt a repair. 
         ......................... SERV failed test MachineAccount
      Starting test: Services
         ......................... SERV passed test Services
      Starting test: ObjectsReplicated
         ......................... SERV passed test ObjectsReplicated
      Starting test: frssysvol
         ......................... SERV passed test frssysvol
      Starting test: frsevent
         ......................... SERV passed test frsevent
      Starting test: kccevent
         ......................... SERV passed test kccevent
      Starting test: systemlog
         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:01
            Event String: Driver

         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:04
            Event String: Driver hp LaserJet 1320 PCL 6 required for

         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:05
            Event String: Driver HP LaserJet 1018 required for printer

         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:06
            Event String: Driver Microsoft XPS Document Writer required for

         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:24
            Event String: Driver Brother MFC-9180 USB required for printer

         An Error Event occured.  EventID: 0x00000457
            Time Generated: 06/05/2009   10:23:25
            Event String: Driver HP LaserJet 1020 required for printer

         ......................... SERV failed test systemlog
      Starting test: VerifyReferences
         ......................... SERV passed test VerifyReferences
   
   Running partition tests on : TAPI3Directory
      Starting test: CrossRefValidation
         ......................... TAPI3Directory passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... TAPI3Directory passed test CheckSDRefDom
   
   Running partition tests on : ForestDnsZones
      Starting test: CrossRefValidation
         ......................... ForestDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones passed test CheckSDRefDom
   
   Running partition tests on : DomainDnsZones
      Starting test: CrossRefValidation
         ......................... DomainDnsZones passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones passed test CheckSDRefDom
   
   Running partition tests on : Schema
      Starting test: CrossRefValidation
         ......................... Schema passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Schema passed test CheckSDRefDom
   
   Running partition tests on : Configuration
      Starting test: CrossRefValidation
         ......................... Configuration passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... Configuration passed test CheckSDRefDom
   
   Running partition tests on : DOM
      Starting test: CrossRefValidation
         ......................... DOM passed test CrossRefValidation
      Starting test: CheckSDRefDom
         ......................... DOM passed test CheckSDRefDom
   
   Running enterprise tests on : DOM.local
      Starting test: Intersite
         ......................... DOM.local passed test Intersite
      Starting test: FsmoCheck
         ......................... DOM.local passed test FsmoCheck

добавлено через 10 минут
и netdiag без фикса

    Computer Name: SERV
    DNS Host Name: serv.DOM.local
    System info : Windows 2000 Server (Build 3790)
    Processor : x86 Family 6 Model 8 Stepping 6, GenuineIntel
    List of installed hotfixes : 
        Q147222

Netcard queries test . . . . . . . : Passed

Per interface results:

    Adapter : Local Area Connection

        Netcard queries test . . . : Passed

        Host Name. . . . . . . . . : serv
        IP Address . . . . . . . . : 192.168.15.1
        Subnet Mask. . . . . . . . : 255.255.255.0
        Default Gateway. . . . . . : 
        Dns Servers. . . . . . . . : 192.168.15.1


        AutoConfiguration results. . . . . . : Passed

        Default gateway test . . . : Skipped
            [WARNING] No gateways defined for this adapter.

        NetBT name test. . . . . . : Passed
        [WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names is missing.

        WINS service test. . . . . : Skipped
            There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
    List of NetBt transports currently configured:
        NetBT_Tcpip_{62BE59F3-AB70-4908-BD75-F8A59147BE49}
    1 NetBt transport currently configured.

Autonet address test . . . . . . . : Passed

IP loopback ping test. . . . . . . : Passed

Default gateway test . . . . . . . : Failed

    [FATAL] NO GATEWAYS ARE REACHABLE.
    You have no connectivity to other network segments.
    If you configured the IP protocol manually then
    you need to add at least one valid gateway.

NetBT name test. . . . . . . . . . : Passed
    [WARNING] You don't have a single interface with the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names defined.

Winsock test . . . . . . . . . . . : Passed

DNS test . . . . . . . . . . . . . : Passed
    PASS - All the DNS entries for DC are registered on DNS server '192.168.15.1'.


Redir and Browser test . . . . . . : Passed
    List of NetBt transports currently bound to the Redir
        NetBT_Tcpip_{62BE59F3-AB70-4908-BD75-F8A59147BE49}
    The redir is bound to 1 NetBt transport.

    List of NetBt transports currently bound to the browser
        NetBT_Tcpip_{62BE59F3-AB70-4908-BD75-F8A59147BE49}
    The browser is bound to 1 NetBt transport.

DC discovery test. . . . . . . . . : Passed

DC list test . . . . . . . . . . . : Passed

Trust relationship test. . . . . . : Skipped

Kerberos test. . . . . . . . . . . : Passed

LDAP test. . . . . . . . . . . . . : Passed

Bindings test. . . . . . . . . . . : Passed

WAN configuration test . . . . . . : Skipped
    No active remote access connections.

Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

    Note: run "netsh ipsec dynamic show /?" for more detailed information

The command completed successfully[/QUOTE]

Кстати. Рарод у меня сейчас работает, действия не повлияют? А то может это делать в выходной или вечером?

[Nistelrooy]

Alex Dark, основа для нормальной работы AD это грамотно работающий DNS . советую перелопатить все настройки DNS.

что за комп GNSSERV? и почему в DC не прописан шлюз ?

[Alex Dark]

GNSSERV остаток от названия сервера с добавленным мною серв. Реальное название домена или сервера не имеет в своем названии указателя на то что это домен или сервер. Поэтому чтобы не путаться заменил их (здесь в тексте) реальные названия на DOM и SERV

Я понимаю что надо перелопатить настройки DNS. Я не знаю как и в какой последовательности.
я две недели читал по этому поводу инет и умную книжку (название давал выше)
В голове полная каша. На выходных сделал бекап сервака. Сейчас хочу загрузить его в виртуальную машину и экспериментировать.

Если Вы мне подскажете что и в какой последовательности выполнять, это будет быстрее чем если я сначала прочту книгу.

[Nistelrooy]

Настрой зависимость служб, в службах выбери netlogon перейди во вкладку зависимости и добавь туда dns службу. и после смотри логи.

[Alex Dark]

Если я правильно понял, то ты говорил про администрирование, запустить службы и там у меня
НетЛогон работает на автомате. Зависит от Server и Workstation.
А как туда запихнуть DNS?
Или это в другом месте надо делать?

добавлено через 13 минут
PS я на виртуальной машине установил win2003 добавил контроллет домена и ДНС.
У него в службах и зависимостях все так же как и на серваке

Здравствуйте! помогите пож.
У нас филиал и есть Голова филиала далоко от нас, недавно свой филиал перевела в домен, проблема в том что не отрабатывают политики в актив директории сталкнулась в первый раз. Сидим в домене а управлять не могу еще называюсь админом. DNS находится так же в головном филиале.
Ошибки : 1.Не удалось получить имя контроллера домена в этой сети. Обработка групповой политики прекращена.
2. Не правильные данные RSOP. Повреждение данных. Данные были удалины или не были созданы.

[pazdak]

Elnura
Отличное описание, как проблемы, так инфраструктуры

Опишите как был произведен перевод филиала в домен Головы?
(в филиале поднят домен контроллер или просто включили все компы филиала в домен Головы)

это у вас такой способ помощи да? смейтись.
писала что не домен не АД я незнаю вообще до этого времени не сталкивалась. Спасибо за ответ.
в филиале нет своего домена контроллера, перегнали на головной. Была локальная своя сеть сказали какой прописать ДНС и имя домена и все. Поставила админпак 2003 для управления.
Проверяла события системы и увидела ошибки такие. Ответили: что у нас на филиале не отрабатывают политики. Что нужно поднять сервер 2003 и про тестировать. Сервер подняла но еще нечего не делала, хотела узнать здесь на форуме может что посоветуют.
И еще ошибка: что не удалось зарегистрировать записи ресурсов (РР) узлов (А)для сетевого адаптера с параметрами.
Даже незнаю как правильно описать ситуацию

[Alex Dark]

Elnura, не стоит так расстраиваться.
Если к доктору придешь и скажешь "у меня здесь чешется, там колет, а вот тут ноет. Выпишите таблетку что бы было все в норме". То доктор тебя куда пошлет?
Правильно, в регистратуру за историей болезни.

Так и здесь. Домен это не фигура их трех пальцев. Почему произошло - предположить можно, а что делать - вариантов много.

Есть куча книг в инете, например "Виндовс сервер 2003: Справочник администратора". Попробуй ее почитать. В свое время она мне помогла.

[@lexey]

Имеем Win Serv 2003 Ent - Основным доменом + Win Serv 2008 Stand.
Есть созданная группа, предположим, "ip_user" и она, как и пользователи, находится в своём OU.

Пришла трабла, надо всех юзверей которые вхожи в группу "ip_user" - перенести в другой OU.

Когда смотрим список членов в самой группе, то она всех их показывает, но для их переноса и работы с ними нам нужен другой интерфейс - вот тут то грабельки и оказались под ногами незаметно

Пытаясь разными путями выцепить юзверов из этой группы я получаю список ТОЛЬКО в том случае, если там ещё присутствует изначальный Domain users, но эта группа с определенного времени выносилась - ибо нефиг, и в этой ситуации когда у пользователей в группах есть ТОЛЬКО "ip_user" - они НЕ показываются ...
А нужно выцепить ВСЕХ пользователей которые есть в этой группе и перенести в новый OU

Искал с указанием полного пути к группе - аля: CN=ip_user,OU=1,OU=connections,OU=local,DC=mycompany,DC=ru

[NEON]

Сервак 2008 х86 RU (помоему такой траблы на EN нету ???)

Делаю лабораторку , не могу зайти в DC1 (домен контроллер) , юзерами не являющимися админом , добавляя их в группу админы , всё равно не даёт , а пишет :

ВЫ НЕ МОЖЕТЕ ВЫПОЛНИТЬ ВХОД , ПОСКОЛЬКУ ИСПОЛЬЗУЕМЫЙ МЕТОД ВХОДА НЕ РАЗРЕШЁН НА ЭТОМ КОМПЬЮТЕРЕЮ ОБРАТИТЕСЬ К АДМИНУ

При попытке с DC1 подключится к терминальному серваку (в него могу заходить и Админом и юзверями) , пишет :

Подключение было запрещено , так как учётная запись пользователя не имеет прав для удалённого входа в систему...

Причём тоже вставлял этих юзверей в группу удалённых пользователей , лазил по их свойствам и т.п...


Всё это звенья одной цепи возможно связанные с GPO или настройками DC1 , ЧТО ДУМАЕТЕ ???

[FantomIL]

Проверить в ГПО настройки Allow logon localy

[NEON]

Это лабораторка по MCITP ... (2008 сервак соответственно)
Есть 3 виртуалки :

1. Контроллер домена DC (на нём ещё разумеется DNS , DHCP нет) его координаты единственный адаптер (local only) IP 10.10.0.10 ; mask 255.255.0.0 ; Gateway 10.10.0.1 ; dns 10.10.0.10

2. Cервак RRAS с установленными Network Policy & Access Server (remote & routing server) первый адаптер (Local only) имеет статический адрес 10.10.0.24 доменная сеть ; второй адаптер (получает от внешнего раутера) DHCP адрес 192.168.2.100 , при настройке Routing and Remote Access Is Configured on This Server я выдал область для VPN , как пишется в лабораторке 192.168.2.100-174

3. Клиент Vista подключенный к этому домену , со статическим адресом 10.10.0.30.
Я создаю на нём VPN подключение , он находит сервер соединяется , а при попытке Аутентикации пишет , что винда не может подключиться по этому логину и паролю , а они Администраторские , и в домен я вхожу под ними Administrator и Password...

В свойствах пользователя (в active directory) нужно проверить как определяются права на Remote Access -- поставил РАЗРЕШИТЬ !!!

Ковырялся в Настройке счёта администратора на DC и даже внёс его во все группы , не катит...