網域控制站無法正常運作

類型：錯誤
來源：Service Control Manager
事件 ID：7023
描述：Kerberos 金鑰發佈中心 (KDC，Key Distribution Center) 服務因為發生下列錯誤而終止：The security account manager (SAM) or local security authority (LSA) server was in the wrong state to perform the security operation. (「安全性帳戶管理員」(SAM，Security Account Manager) 或「本機安全性授權」(LSA，Local Security Authority) 伺服器的狀態不適用於執行安全性作業)。

回此頁最上方

1. 方法 1：修正「網域名稱系統」(DNS，Domain Name System) 的錯誤。
2. 方法 2：同步化電腦之間的時間。
3. 方法 3：檢查 [從網路存取這台電腦] 的使用者權限。
4. 方法 4：確認網域控制站的 userAccountControl 屬性為 532480。
5. 方法 5：修正 Kerberos 領域 (確認 PolAcDmN 登錄機碼與 PolPrDmN 登錄機碼相符)。
6. 方法 6：重設機器的帳戶密碼，再取得新的 Kerberos 票證。

回此頁最上方

方法 1：修正 DNS 的錯誤

1. 在命令提示字元，執行 netdiag -v 命令； 這個命令會在執行該命令的資料夾中建立 Netdiag.log 檔。
2. 繼續執行操作之前，請先解決 Netdiag.log 檔中所有的 DNS 錯誤。Netdiag 工具位於 Windows 2000 Server CD-ROM 的「Windows 2000 Server 支援工具」中，或者您也可以自行下載。如果要下載 Windows 2000 Server 支援工具，請造訪下列 Microsoft 網站：
   http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/supporttools.mspx (http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/supporttools.mspx)
3. 請確認 DNS 已經正確地設定。最常見的一項 DNS 錯誤為：將網域控制站的 DNS 指向網際網路服務提供者 (ISP，Internet Service Provider)，而不是將 DNS 指向它本身，或指向其他支援動態更新和 SRV 記錄的 DNS 伺服器。 建議您將網域控制站指向它自己，或其他支援動態更新和 SRV 記錄的 DNS 伺服器。同時也建議您設定 ISP 的轉寄站，以方便在網際網路上解析名稱。

回此頁最上方

方法 2： 同步化電腦之間的時間

回此頁最上方

方法 3： 檢查 [從網路存取這台電腦] 的使用者權限。

1. 修改「預設網域控制站原則」的 Gpttmpl.inf 檔。 根據預設值，「預設網域控制站原則」就是定義網域控制站使用者權限的地方； 「預設網域控制站原則」的 Gpttmpl.inf 檔預設位置位於下列資料夾中。
   
   注意 Sysvol 可能位於不同的位置中，但是 Gpttmpl.inf 檔的路徑卻都是一樣。
   
   Windows Server 2003 的網域控制站：
   
   C:\WINDOWS\Sysvol\Sysvol\<Domainname>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
   
   Windows 2000 Server 的網域控制站：
   
   C:\WINNT\Sysvol\Sysvol\<Domainname>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
2. 至於 [SeNetworkLogonRight] 項目的權限，請為系統管理員、通過驗證的使用者和每個人 (Everyone) 加入安全性識別元； 請參閱下列範例。
   
   Windows Server 2003 的網域控制站：
   
   SeNetworkLogonRight = *S-1-5-32-554,*S-1-5-9,*S-1-5-32-544,*S-1-1-0
   
   Windows 2000 Server 的網域控制站：
   
   SeNetworkLogonRight = *S-1-5-11,*S-1-5-32-544,*S-1-1-0
   
   注意 系統管理員 (S-1-5-32-544)、通過驗證的使用者 (S-1-5-11)、每個人 (S-1-1-0) 和企業網域控制站 (S-1-5-9) 所使用的已知安全性識別元，在每一個網域中都是相同的。
3. 請移除 [SeDenyNetworkLogonRight] 項目所有的權限項目 (拒絕從網路存取這台電腦)，以符合下列範例。
   
   SeDenyNetworkLogonRight =
   
   注意 Windows 2000 Server 和 Windows Server 2003 的範例都一樣。
   
   根據預設值，Windows 2000 Server 的 [SeDenyNetworkLogonRight] 項目中並沒有任何的項目； 而 Windows Server 2003 預設的設定只有 [SeDenyNetworkLogonRight] 項目中的 Support_random string 帳戶。 (Support_random string 帳戶是用於「遠端協助」)。因為 Support_random string 帳戶在每一個網域中都使用不同的安全性識別元 (SID)，所以只有查看 SID 並不太容易分辨出一般使用者的帳戶。您可以先將 SID 複製到其他文字檔，然後再從 [SeDenyNetworkLogonRight] 項目中移除 SID。 如此一來，當您完成此問題的疑難排解之後，就可以將其恢復原狀。
   
   在所有原則中，都可以定義 [SeNetworkLogonRight] 和 [SeDenyNetworkLogonRight] 項目。如果前述的步驟並未解決這個問題，請檢查 Sysvol 中其他原則的 Gpttmpl.inf 檔，確認這些原則也都沒有定義使用者權限。如果 Gpttmpl.inf 檔並未包括 [SeNetworkLogonRight] 或 [SeDenyNetworkLogonRight] 的參考，該原則就不會定義那些設定值，因此也就不會發生這個問題。 如果那些項目確實存在，請確認他們完全符合前面所述「預設網域控制站」原則的設定值。

回此頁最上方

方法 4： 確認網域控制站的 userAccountControl 屬性為 532480

1. 按一下 [開始]，再按一下 [執行]，然後輸入 adsiedit.msc。
2. 依序展開 [Domain NC]、[DC=domain]、[OU=Domain Controllers]。
3. 在受到影響的網域控制器上按一下滑鼠右鍵，再按一下 [內容]。
4. 在 Windows Server 2003，按一下以選取 [屬性編輯器] 索引標籤中的 [顯示強制屬性] 和 [顯示選擇性屬性] 核取方塊。在 Windows 2000 Server 中，按一下 [Select which properties to view] 方塊中的 [Both]。
5. 在 Windows Server 2003 中，按一下 [屬性] 方塊中的 [userAccountControl]。在 Windows 2000 Server 中，按一下 [Select a property to view] 方塊中的 [userAccountControl]。
6. 如果數值不是 532480，請在 [編輯屬性] 方塊中輸入 532480，再依序按一下 [設定]、[套用] 和 [確定]。
7. 結束 ADSI Edit。

回此頁最上方

方法 5： 修正 Kerberos 領域 (確認 PolAcDmN 登錄機碼與 PolPrDmN 登錄機碼相符)

1. 啟動「登錄編輯程式」。
2. 在左邊窗格中，展開 [安全性]。
3. 在 [安全性] 功能表中，按一下 [權限]，讓系統管理員取得本機群組的安全性 Hive 及其子容器和物件的「完全控制」。
4. 找到 HKEY_LOCAL_MACHINE\SECURITY\Policy\PolPrDmN 機碼。
5. 在 [登錄編輯程式] 的右邊窗格中，按一下 [<No Name>:REG_NONE] 項目。
6. 按一下 [檢視] 功能表上的 [顯示二進位資料]。 在對話方塊中的 [格式化] 區段，按一下 [位元組]。
7. 網域名稱會以字串方式顯示在 [二進位資料] 對話方塊中的右邊， 而且網域名稱會和 Kerberos 領域的名稱相同。
8. 找到 HKEY_LOCAL_MACHINE\SECURITY\Policy\PolACDmN 登錄機碼。
9. 在 [登錄編輯程式] 的右邊窗格中，按兩下 [<No Name>: REG_NONE] 項目。
10. 在 [二進位編輯程式] 對話方塊中，貼上 PolPrDmN 的數值。 (PolPrDmN 的數值即為 NetBIOS 的網域名稱)。
11. 重新啟動網域控制站。

回此頁最上方

方法 6： 重設機器的帳戶密碼，再取得新的 Kerberos 票證

1. 停止 Kerberos 金鑰發佈中心的服務，再將啟動值設定為 [手動]。
2. 使用「Windows 2000 Server 支援工具」或「Windows Server 2003 支援工具」中的 Netdom 工具，重設網域控制站的機器帳戶密碼：
   
   netdom resetpwd /server:其他網域控制站 /userd:domain\administrator /passwordd:系統管理員密碼
   
   請確認 Netdom 命令會在執行成功之後傳回來； 如果沒有傳回，表示該命令並未正常運作。例如，在 Contoso 網域中，受到影響的網域控制站為 DC1，而正在作業中的網域控制站則為 DC2，您可以從 DC1 主控台執行下列 Netdom 命令：
   
   netdom resetpwd /server:DC2 /userd:contoso\administrator /passwordd:系統管理員密碼
3. 重新啟動受到影響的網域控制站。
4. 啟動 Kerberos 金鑰發佈中心的服務，再將啟動值設定為 [自動]。

回此頁最上方