web-dev-qa-db-ja.com

子Active Directoryドメインを既存のフォレストに追加中にエラーが発生しました

同じフォレストに複数のActive Directoryドメインを含むテスト環境を構築していますが、フォレストルートドメインに子ドメインを追加しようとすると、奇妙な問題が発生します。

すべてのサーバーは、Azureクラウドプラットフォームで実行され、同じ仮想ネットワークに接続されたWindows Server 2012 R2 VMです。静的に予約されたIPアドレスがあり、ネットワークの問題なしに相互に通信できます。

私のドメイン構造は次のとおりです（または少なくともそうである必要があります）。

    A0.lab (forest root)            B0.lab
   /  \                            /  \
  A1  A2                          B1  B2
  |                               |
  A3                              B3

したがって：

  • A0.lab（フォレストルート）
  • A1.A0.lab
  • A2.A0.lab
  • A3.A1.A0.lab
  • B0.lab
  • B1.B0.lab
  • B2.B0.lab
  • B3.B1.B0.lab

フォレストルートドメイン（A0.lab）を正常に作成し、ADサイトとそのサブネットを定義しました。ドメインは正常に動作しています。

次に、最初の子ドメイン（A1.A0.lab）のドメインコントローラーになるサーバーを構成して、ルートDCをDNSサーバーとして使用するようにしました。プロモーションウィザード;ルートドメインのドメイン管理者のユーザーアカウントやDNS委任を作成するオプションなど、すべてのパラメーターを入力しましたが、すべての前提条件チェックが成功しています。

実際の昇格プロセスを開始すると、「スキーマディレクトリパーティションの複製」の段階で停止します。 「ディレクトリサービス」イベントログには、いくつかのエラーが繰り返し記録されます。

イベントID 1963、ソースActiveDirectory_DomainService、タスクカテゴリDS RPCクライアント：

Internal event: The following local directory service received an exception from a
remote procedure call (RPC) connection. Extensive RPC information was requested. This
is intermediate information and might not contain a possible cause. 

Process ID:  
540  

Reported error information:  
Error value:  
Could not find the domain controller for this domain. (1908)  
directory service:  
DCA0.a0.lab  

Extensive error information:  
Error value:  
A security package specific error occurred. 1825  
directory service:  
DCA1  

Additional Data  
Internal ID:  
5000e02

イベントID 1961、ソースActiveDirectory_DomainService、タスクカテゴリDS RPCクライアント：

Internal event: This log entry is a continuation from the preceding extended error
information entry on the following error and directory service. 

Extended information:  
Error value:  
A security package specific error occurred. (1825)  
directory service:  
DCA1  

Supplemental information:  
Detection location:  
1461  
Generating component:  
RPC Runtime  
Time at directory service:  
2015-03-19 21:44:04  

Additional Data  
Error value:  
A security package specific error occurred. (1825)

イベントID 2839、ソースActiveDirectory_DomainService、タスクカテゴリDS RPCクライアント：

Internal event: This log entry is a continuation from the preceding extended error
information entry. 

Extended information:  
Extended Error Parameters:  
0  
Parameter 1:  
(NULL)  
Parameter 2:  
(NULL)  
Parameter 3:  
(NULL)  
Parameter 4:  
(NULL)  
Parameter 5:  
%6  
Parameter 6:  
%7  
Parameter 7:  
%8

イベントID 1962、ソースActiveDirectory_DomainService、タスクカテゴリDS RPCクライアント：

Internal event: The local directory service received an exception from a remote
procedure call (RPC) connection. Extended error information is not available. 

directory service:  
DCA0.a0.lab  

Additional Data  
Error value:  
Could not find the domain controller for this domain. (1908)

イベントID 1125、ソースActiveDirectory_DomainService、タスクカテゴリセットアップ：

The Active Directory Domain Services Installation Wizard (Dcpromo) was unable to
establish connection with the following domain controller. 

Domain controller:
DCA0.a0.lab 

Additional Data  
Error value:  
1908 Could not find the domain controller for this domain.

これらのエラーは何度も繰り返されますが、進行や失敗はなく、プロモーションプロセスは停止したままです。

dcpromo.logファイルの内容は次のとおりです。

03/19/2015 22:43:35 [INFO] Promotion request for domain controller of new domain
03/19/2015 22:43:35 [INFO] DnsDomainName  a1.a0.lab
03/19/2015 22:43:35 [INFO]  FlatDomainName  A1
03/19/2015 22:43:35 [INFO]  SiteName  Lab
03/19/2015 22:43:35 [INFO]  SystemVolumeRootPath  C:\Windows\SYSVOL
03/19/2015 22:43:35 [INFO]  DsDatabasePath  C:\Windows\NTDS, DsLogPath  C:\Windows\NTDS
03/19/2015 22:43:35 [INFO]  ParentDnsDomainName  a0.lab
03/19/2015 22:43:35 [INFO]  ParentServer  DCA0.a0.lab
03/19/2015 22:43:35 [INFO]  Account A0\AdmA0
03/19/2015 22:43:35 [INFO]  Options  5243072
03/19/2015 22:43:35 [INFO] Validate supplied paths
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\NTDS.
03/19/2015 22:43:35 [INFO]  Path is a directory
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\NTDS.
03/19/2015 22:43:35 [INFO]  Path is a directory
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO] Validating path C:\Windows\SYSVOL.
03/19/2015 22:43:35 [INFO]  Path is on a fixed disk drive.
03/19/2015 22:43:35 [INFO]  Path is on an NTFS volume
03/19/2015 22:43:35 [INFO] Child domain creation -- check the new domain name is child of parent domain name.
03/19/2015 22:43:35 [INFO] Domain Creation -- check that the flat name is unique.
03/19/2015 22:43:40 [INFO] Start the worker task
03/19/2015 22:43:40 [INFO] Request for promotion returning 0
03/19/2015 22:43:42 [INFO] Using supplied domain controller: DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Using supplied site: Lab
03/19/2015 22:43:42 [INFO] Forcing time sync
03/19/2015 22:43:42 [INFO] Forcing a time sync with DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Reading domain policy from the domain controller DCA0.a0.lab
03/19/2015 22:43:42 [INFO] Stopping service NETLOGON
03/19/2015 22:43:42 [INFO] Stopping service NETLOGON
03/19/2015 22:43:42 [INFO] ControlService(STOP) on NETLOGON returned 0(gle=1062)
03/19/2015 22:43:42 [INFO] Exiting service-stop loop after service NETLOGON entered STOPPED state
03/19/2015 22:43:42 [INFO] StopService on NETLOGON returned 0
03/19/2015 22:43:42 [INFO] Configuring service NETLOGON to 1 returned 0
03/19/2015 22:43:42 [INFO] Stopped NETLOGON
03/19/2015 22:43:42 [INFO] Creating the System Volume C:\Windows\SYSVOL
03/19/2015 22:43:42 [INFO] Deleting current sysvol path C:\Windows\SYSVOL 
03/19/2015 22:43:44 [INFO] Preparing for system volume replication using root C:\Windows\SYSVOL
03/19/2015 22:43:44 [INFO] Created the system volume
03/19/2015 22:43:44 [INFO] Copying initial Directory Service database file C:\Windows\system32\ntds.dit to C:\Windows\NTDS\ntds.dit
03/19/2015 22:43:44 [INFO] Installing the Directory Service
03/19/2015 22:43:44 [INFO] Calling NtdsInstall for a1.a0.lab
03/19/2015 22:43:44 [INFO] Starting Active Directory Domain Services installation
03/19/2015 22:43:44 [INFO] Validating user supplied options
03/19/2015 22:43:44 [INFO] Determining a site in which to install
03/19/2015 22:43:44 [INFO] Examining an existing forest...
03/19/2015 22:43:44 [INFO] Configuring the local computer to Host Active Directory Domain Services
03/19/2015 22:43:48 [INFO] EVENTLOG (Informational): NTDS General / Service Control : 1094  
Software write caching for the following disk drive has been disabled to prevent possible data loss during system failures such as power outages or hardware component failures that can cause a sudden shutdown of the system. The disk drive that stores Active Directory Domain Services log files is the only drive affected by this change.

Disk drive:  
c:

03/19/2015 22:43:59 [INFO] EVENTLOG (Informational): NTDS Database / Internal Processing : 2013  
Active Directory Domain Services is rebuilding the following number of indices as part of the initialization process.

Number of indices:  
1

Indices:  
LCL_ABVIEW_index00000410 +ATTb590468 

03/19/2015 22:43:59 [INFO] EVENTLOG (Informational): NTDS Database / Internal Processing : 2014  
Active Directory Domain Services successfully completed rebuilding the following number of indices.

Indices:  
1

03/19/2015 22:44:00 [INFO] EVENTLOG (Informational): NTDS General / Internal Configuration : 2120  
This Active Directory Domain Services server does not support the Recycle Bin. Deleted objects may be undeleted, however, when an object is undeleted, some attributes of that object may be lost.  Additionally, attributes of other objects that refer to the object being undeleted may also be lost.

03/19/2015 22:44:00 [INFO] EVENTLOG (Informational): NTDS General / Internal Configuration : 2405  
This Active Directory Domain Services server does not support the "Recycle Bin Feature" optional feature.

03/19/2015 22:44:00 [INFO] Replicating the schema directory partition

この後、イベントログで報告された同じエラーが記録されます。

私は見つけました この記事 これは、管理者アカウントが新しいDCおよびログオンしているドメインで同じパスワードを持っている場合に発生する可能性があることを示しています;これらはAzure VMであるため、ビルトインAdministratorアカウントはまったく使用していませんが、最初のテストではすべてのサーバーで実際に同じユーザー名とパスワードを使用していたため、これが実際の理由であると推測しましたエラー;しかし、私はすべてのサーバーを再構築してから、それぞれに個別のローカル管理者アカウント（AdmA0、AdmA1、AdmA2 ...）を作成し、個別のパスワードを使用しました。また、 A0\AdmA0形式の親ドメインですが、エラーが再び発生しました。

何が起こっているのですか、どうすれば修正できますか？

active-directorydomain-controllerwindows-server-2012-r2azurenetbios
6
Massimo

（の変種）を実行しているようです この問題 ：「長い」ログオン認証情報、つまりA0.lab\AdmA0ではなくA0\AdmA0を使用すると、プロモーションが正常に完了します。

ただし、記事によると、この問題はNetBIOS over TCP/IPが無効になっている場合にのみ発生しますしかし、実際には有効になっています 、これはipconfig出力で確認できます。 DHCP（Azureで必要）を使用する代わりに静的ネットワーク設定でVMを構成し、NetBIOS over TCP/IPを「有効」に強制しようとしましたが、エラーは常に発生しました。プロモーションプロセスが機能する唯一の方法は、「長い」資格情報を使用することです。

ただし、これは間違いなくAzure固有の癖のようです。ローカルのHyper-Vサーバー上に同じテスト環境を作成しましたが、すべて正常に機能します。

AzureがNetBIOSをブロックするネットワークレベルで何か奇妙なことをしているように見えるか、Azure Windows Server 2012 R2 VMテンプレートには、奇妙なNetBIOS関連の動作があり、DCプロモーションはこの独特の方法で失敗します。

更新：

見つかった犯人： https://msdn.Microsoft.com/en-us/library/Azure/dn133803.aspx 。

Does Virtual Network support multicast or broadcast?

No. We do not support multicast or broadcast.

Azure仮想ネットワークはブロードキャストをサポートしていません;したがって、NetBIOSが有効になっていても機能しません。そして、それはWindows Server 2012 R2のように見えます本当に DCプロモーションが機能するために必要です。

回避策：DC=プロモーション（full.domain.fqdn\usernameではなくNetBIOSDomain\username）の実行中に「長い」ログオン資格情報を使用します。

why Azure仮想ネットワークはブロードキャストをサポートしていません。そしてhow DHCPに大きく依存している間に、なんとかそれを実現できます...それは私の理解する能力を超えています。そして、私は本当にwantを理解しているかどうかはよくわかりません。 Azureネットワーキングは、よく知られています むしろ特定の 。

5
Massimo