Controller di dominio non funziona correttamente

Quando si esegue lo strumento DCDiag su un Microsoft Windows 2000-Server di base controller di dominio oppure su un controller di dominio basato su Windows Server 2003, si venga visualizzato il seguente messaggio di errore: Quando si esegue l'utilità REPADMIN /SHOWREPS localmente su un controller di dominio, è possibile che venga visualizzato uno dei seguenti messaggi di errore: Se si utilizza Active Directory Sites and Services per avviare la replica, è possibile che venga visualizzato un messaggio che indica che l'accesso è negato.

Quando si tenta di utilizzare risorse di rete dalla console di un controller di dominio interessato, tra cui risorse UNC (Universal Naming CONVENTION) o le unità di rete mappata viene potrebbe essere visualizzato il seguente messaggio di errore: Se si avvia gli strumenti di amministrazione Active Directory dalla console di un controller di dominio interessato, inclusi siti e servizi e utenti e computer, si potrebbe essere visualizzato uno dei seguenti messaggi di errore: L'autenticazione da altri controller di dominio di accesso client Microsoft Outlook connessi a Microsoft Exchange Server computer che utilizzano controller di dominio interessato per l'autenticazione venga richiesta credenziali di accesso, anche se non vi è corretta.

Lo Strumento Netdiag potrebbe visualizzare i seguenti messaggi di errore: Nel registro eventi di sistema del controller di dominio interessato, è possibile che venga registrato il seguente evento:

Tipo evento: errore
Origine evento: Gestione controllo servizi
ID evento: 7023
Descrizione: Il servizio di centro di distribuzione di chiave Kerberos è terminato con il seguente errore: la protezione account manager (SAM) o il server di autorità (LSA, Local Security Authority) di protezione locale non è in errato per eseguire l'operazione di protezione.

Sono disponibili diverse soluzioni per questi sintomi. Di seguito è un elenco dei metodi per provare. L'elenco è seguito da procedure per eseguire ciascun metodo. Finché non viene risolto il problema, provare a ciascun metodo. Articoli della Microsoft Knowledge Base che descrivono le correzioni meno comune per questi sintomi sono elencati più avanti.

1. Metodo 1: Errori di correzione Domain Name System (DNS).
2. Metodo 2: Sincronizzare l'ora dei computer.
3. Metodo 3: Controllare i diritti utente di accesso al computer dalla rete .
4. Metodo 4: Verificare che attributo userAccountControl del controller di dominio sia 532480.
5. Metodo 5: Area di autenticazione Kerberos di correzione (verificare che il PolAcDmN chiave del Registro di sistema e la la chiave di registro PolPrDmN corrispondono).
6. Metodo 6: Reimposta la password dell'account computer e quindi ottenere un nuovo ticket Kerberos.

Metodo 1: Correggere gli errori DNS

1. Al prompt dei comandi, eseguire il comando di netdiag - v . Questo comando crea un file Netdiag.log nella cartella in cui è stato eseguito il comando.
2. Prima di continuare, risolvere eventuali errori DNS nel file Netdiag.log. Lo strumento di Netdiag è negli strumenti di Windows 2000 Server supporto su CD di Windows 2000 Server o come un download. Per scaricare degli strumenti di supporto di Windows 2000 Server, il seguente sito Microsoft Web:
   http://www.microsoft.com/downloads/details.aspx?familyid=F08D28F3-B835-4847-B810-BB6539362473

   (http://www.microsoft.com/downloads/details.aspx?familyid=F08D28F3-B835-4847-B810-BB6539362473)
3. Assicurarsi che il servizio DNS è configurato correttamente. Uno degli errori più comuni del DNS è fare il controller di dominio per un provider di servizi Internet (ISP) per il DNS anziché verso DNS a se stesso o al DNS un altro server che supporta gli aggiornamenti dinamici e i record SRV. Si consiglia di scegliere il controller di dominio stesso o un altro server DNS che supporta gli aggiornamenti dinamici e i record SRV. Si consiglia di impostare dei server di inoltro a dell'ISP per la risoluzione dei nomi su Internet.

Per ulteriori informazioni sulla configurazione di DNS per il servizio directory Active Directory, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportato di seguito:

Metodo 2: Sincronizzare l'ora dei computer

Verificare che l'ora correttamente sia sincronizzata tra i controller di dominio. Inoltre, verificare che l'ora correttamente sia sincronizzata tra i computer client e controller di dominio.

Per ulteriori informazioni su come configurare il servizio ora di Windows, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportato di seguito:

Metodo 3: Controllare i diritti utente "Accedi al computer dalla rete"

Modificare il file Gpttmpl.inf per verificare che gli utenti appropriati sia l'utente di accesso al computer dalla rete a destra sul controller di dominio. Per effettuare questa operazione, attenersi alla seguente procedura:

1. Modificare il file Gpttmpl.inf per il dominio predefinito criterio controller. Per impostazione predefinita, Default Domain Controllers Policy è in cui i diritti utente sono definiti per un controller di dominio. Per impostazione predefinita, il Gpttmpl.inf per Default Domain Controllers Policy è disponibile nella seguente cartella del file.
   
   Nota SYSVOL potrebbe essere in una posizione diversa, ma il percorso per il file Gpttmpl.inf sarà lo stesso.
   
   Per i controller di dominio di Windows Server 2003:
   
   C:\WINDOWS\Sysvol\Sysvol\<domainname>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
   
   Per i controller di dominio di Windows 2000 Server:
   
   C:\WINNT\Sysvol\Sysvol\<domainname>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
2. A destra della voce SeNetworkLogonRight, aggiungere gli identificatori di protezione per gli amministratori, per gli utenti autenticati e per il gruppo Everyone. Vedere gli esempi seguenti.
   
   Per i controller di dominio di Windows Server 2003:
   
   SeNetworkLogonRight = *S-1-5-32-554,*S-1-5-9,*S-1-5-32-544,*S-1-1-0
   
   Per Windows 2000 Server controller di dominio:
   
   SeNetworkLogonRight = *S-1-5-11,*S-1-5-32-544,*S-1-1-0
   
   Nota Amministratori (S-1-5-32-544), Authenticated Users (S-1-5-11), Everyone (S-1-1-0) e controller di organizzazione (S-1-5-9) è possibile utilizzare gli identificatori di protezione note che corrispondono in tutti i domini.
3. Rimuovere le voci a destra della voce SeDenyNetworkLogonRight (Nega accesso al computer dalla rete) in base l'esempio riportato di seguito.
   
   SeDenyNetworkLogonRight =
   
   Nota Nell'esempio corrisponde a quello per Windows 2000 Server e per Windows Server 2003.
   
   Per impostazione predefinita, Windows 2000 Server non dispone di alcuna voce nella voce SeDenyNetworkLogonRight. In base all'impostazione predefinita, in Windows Server 2003 sono disponibili solo l'account di random string Support_ nella voce SeDenyNetworkLogonRight. (Tramite Assistenza remota viene utilizzato l'account di random string Support_). Poiché l'account di random string Support_ utilizza un identificatore di protezione (SID) in ogni dominio, l'account è facilmente distinguibile da un account utente tipico non solo osservando il SID. È possibile che si desidera copiare il SID in un altro file di testo e quindi rimuovere il SID dalla voce SeDenyNetworkLogonRight. In questo modo, è possibile includerlo nuovamente al termine della risoluzione del problema.
   
   SeNetworkLogonRight e SeDenyNetworkLogonRight possono essere definiti in tutti i criteri. Se la procedura precedente non risolve il problema, controllare il file di Gpttmpl.inf in altri criteri in SYSVOL per confermare che i diritti utente non anche da definizione non esiste. Se un file Gpttmpl.inf non contiene alcun riferimento per SeNetworkLogonRight o SeDenyNetworkLogonRight, tali impostazioni non definite nel criterio e tale criterio non causa il problema. Se sono presenti le voci, assicurarsi che corrispondano a quelle elencate in precedenza per il controller di dominio predefinito criterio.

Metodo 4: Verificare che attributo userAccountControl del controller di dominio sia 532480

1. Fare clic su Start , scegliere Esegui e digitare adsiedit.msc .
2. Espandere il Contesto dei nomi del dominio , DC = domain, quindi espandere OU = Domain Controllers .
3. Fare clic con il pulsante destro del mouse sul controller di dominio interessato e scegliere Proprietà .
4. Nella Windows Server 2003, fare clic per selezionare la casella di controllo Mostra attributi obbligatori e la casella di controllo Visualizza attributi facoltativi nella scheda Editor attributi . Fare clic in Windows 2000 Server, su entrambi nella casella Selezionare le proprietà da visualizzare .
5. Nella Windows Server 2003, fare clic su userAccountControl nella casella attributi . Nella finestra di Windows 2000 Server, fare clic su userAccountControl nella casella Selezionare una proprietà da visualizzare .
6. Se il valore è non 532480, tipo 532480 nella casella Edit Attribute , fare clic su Imposta , fare clic su Applica e quindi fare clic su OK .
7. Chiudere ADSI Edit.

Metodo 5: Area di autenticazione Kerberos di correzione (verificare che la chiave del Registro di sistema di PolAcDmN e il Registro di sistema PolPrDmN chiave corrispondenza)

Nota Questo metodo è valido solo per Windows 2000 Server.
importante Questa sezione, metodo o l'attività sono contenute procedure viene illustrato come modificare il Registro di sistema. Tuttavia, possono causare seri problemi se si modifica il Registro di sistema in modo errato. Pertanto, assicurarsi che questa procedura con attenzione. Per maggiore protezione, è eseguire il backup del Registro di sistema prima di modificarlo. È quindi possibile ripristinare il Registro di sistema se si verifica un problema. Per ulteriori informazioni su come eseguire il backup e ripristino del Registro di sistema, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

1. Avviare l'editor del Registro di sistema.
2. Nel riquadro di sinistra, espandere protezione .
3. Nel menu protezione , fare clic su autorizzazioni per concedere al gruppo locale Administrators controllo completo per l'hive SECURITY e contenitori figlio e gli oggetti.
4. Individuare il HKEY_LOCAL_MACHINE\SECURITY\Policy\PolPrDmN chiave.
5. Nel riquadro destro dell'editor del registro, fare clic sul < Nessun Nome >: REG_NONE voce una sola volta.
6. Scegliere dal menu Visualizza , Visualizza dati binari . Nella sezione formato della finestra di dialogo, fare clic su byte .
7. Il nome di dominio viene visualizzato come stringa sul lato destro della finestra di dialogo Dati binari . Il nome di dominio è corrisponde all'area di autenticazione Kerberos.
8. Individuare il HKEY_LOCAL_MACHINE\SECURITY\Policy\PolACDmN chiave del Registro di sistema.
9. Nel riquadro di destra dell'editor del registro fare doppio clic il < Nessun Nome >: REG_NONE voce.
10. Nella finestra di dialogo Editor binario , incollare il valore da PolPrDmN. (Il valore da PolPrDmN è il nome di dominio NetBIOS).
11. Riavviare il controller di dominio.

Metodo 6: Reimposta la password dell'account computer e quindi ottenere un nuovo ticket Kerberos

1. Arrestare il servizio Centro distribuzione chiave Kerberos e impostarne il valore di avvio su manuale.
2. Per reimpostare password di account computer del controller di dominio, utilizzare lo strumento Netdom da strumenti di supporto di Windows 2000 Server o da strumenti di supporto di Windows Server 2003:
   
   netdom resetpwd /server: / passwordd /userd:domain\administrator di another domain controller: administrator password
   
   Assicurarsi che il comando netdom viene restituito come completata. Se non è attivato, il comando non ha funzionato. Per il dominio Contoso, in cui il controller di dominio interessato è DC1 e un domain controller funzionante è DC2, è possibile eseguire il seguente comando di netdom dalla console del DC1:
   
   /passwordd /userd:contoso\administrator di netdom resetpwd /server:DC2: administrator password
3. Riavviare il controller di dominio interessato.
4. Avviare il servizio Centro distribuzione chiave Kerberos e impostarne l'impostazione di avvio su automatico .

Per ulteriori informazioni su questo problema, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportato di seguito: