Έλεγχος επαναλαμβανόμενων SPN σε ελεγκτή τομέα που βασίζεται σε Windows Server 2012 R2 προκαλεί επαναφοράς, συμμετοχή σε τομέα και μετεγκατάσταση αποτυχίες

Συμπτώματα

Ας υποθέσουμε ότι έχετε έναν ελεγκτή τομέα που εκτελεί Windows Server 2012 R2, ενδέχεται να αντιμετωπίσετε ένα από τα ακόλουθα ζητήματα.

Θέμα 1: Συμμετοχή σε τομέα

Έχετε έναν νέο υπολογιστή και θέλετε να τη συνδέσετε σε έναν τομέα του συμπλέγματος δομών. Το ίδιο όνομα κεντρικού υπολογιστή του υπολογιστή χρησιμοποιείται ήδη σε άλλον τομέα. Σε αυτήν την περίπτωση, η λειτουργία σύνδεσης τομέα αναφέρει επιτυχίας. Αφού κάνετε κλικ στο κουμπί " OK", θα δείτε το παρακάτω παράθυρο διαλόγου. Οι συμβολοσειρές σβηστούν είναι το παλιό και το νέο επίθημα πρωτεύοντος του υπολογιστή:



Το μήνυμα λάθους παρόμοιο με το ακόλουθο:

Μετά την επανεκκίνηση, ο υπολογιστής θα αναφέρεται ως μέλος του τομέα, αλλά θα αποτύχει η αλληλεπιδραστική σύνδεση με ένα λογαριασμό τομέα και θα λάβετε το ακόλουθο μήνυμα λάθους:

Επίσης θα λάβετε το ακόλουθο μήνυμα λάθους στο αρχείο Netsetup.log:

Ζήτημα 2: Μετεγκατάσταση ενδο-συμπλέγματος δομών

Εάν εκτελείτε μια μετεγκατάσταση χρήστη ενδο-συμπλέγματος δομών με κύριο όνομα υπηρεσίας (SPN) ή το κύριο όνομα χρήστη (UPN) ορίζεται ή μετεγκατάσταση υπολογιστή εντός δασών, τη μετεγκατάσταση αποτυγχάνει, επειδή ο λογαριασμός εξακολουθεί να υπάρχει στον καθολικό κατάλογο καθώς το αντικείμενο προστίθεται στον τομέα προορισμού με αυτά τα χαρακτηριστικά που έχουν συμπληρωθεί. Εάν το αντικείμενο έχει αποθηκευτεί στον νέο τομέα, θα δημιουργηθεί ένα διπλότυπα SPN.

Σημείωση Τα εργαλεία για να τις μετεγκαταστάσεις η μονάδα δίσκου μπορεί να είναι Active Directory Migration Tool (ADMT), εργαλεία μετεγκατάστασης εξωτερικό ή Μετακίνηση-ADObject cmdlet χρησιμοποιώντας Active Directory PowerShell.

Θέμα 3: SPN διενέξεων με SPN σε επαναφορά αντικειμένου

Είχε ένα λογαριασμό με SPN χρησιμοποιείται σε λογαριασμό που έχει διαγραφεί τώρα. Μπορείτε να προσθέσετε ένα SPN για το αντικείμενο που χρησιμοποιείται για έναν άλλο λογαριασμό χρήστη ή υπολογιστή στο σύμπλεγμα δομών. Όταν κάνετε επαναφορά του διαγραμμένου λογαριασμού, η ενέργεια αποτύχει λόγω διπλότυπα SPN.

Σημείωση Σε όλα τα τρία θέματα, event ID 2974 παρόμοιο με το ακόλουθο καταγράφεται στο αρχείο καταγραφής της υπηρεσίας καταλόγου του ελεγκτή τομέα: Ο αριθμός σφάλματος 8647 μεταφράζεται σε συμβολική όνομα είναι ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST. Για deplicate UPN, το σφάλμα θα αριθμό 8648 και ERROR_DS_UPN_VALUE_NOT_UNIQUE_IN_FOREST.

Αιτία

Windows Server 2012 R2 εισήγαγε περιοριστικά έλεγχος μοναδικότητας UPN και SPN. Με επιτυχία εμποδίζει διπλότυπα SPN και UPN όταν αυτά οδηγούνται μέσω Εργαλεία διαχείρισης χωρίς να απαιτείται το εργαλείο για να εκτελέσετε έναν έλεγχο μοναδικότητας ίδια.

Τα ζητήματα που περιγράφηκαν σε αυτό το άρθρο, εμποδίζει εργασίες διαχείρισης, όπου το αποτέλεσμα δεν είναι προφανής.

Προτεινόμενη αντιμετώπιση

Σε ορισμένες περιπτώσεις, μπορείτε να διαγράψετε τα αντικείμενα που εμποδίζουν την ενέργειά σας, έτσι ώστε η ενέργεια είναι επιτυχής. Για μετεγκαταστάσεις ενδο-συμπλέγματος δομών και επαναφέρει, μπορείτε επίσης να διαγράψετε το SPN ή/και UPN που αποτελεί διπλότυπο και ενδεχομένως να τα προσθέσετε πίσω στο λογαριασμό.

Τέτοια αλλαγή προετοιμασία ίσως δεν είναι δυνατή σε όλες τις περιπτώσεις. Επομένως, η Microsoft έχει αναπτύξει μια ενημέρωση η οποία επιτρέπει τον έλεγχο της συμπεριφοράς του ελεγκτή τομέα. Αυτή η ενημερωμένη έκδοση εφαρμόζεται σε ελεγκτές τομέα που βασίζεται σε Windows Server 2012 R2. Μπορείτε επίσης να εγκαταστήσετε αυτήν την ενημερωμένη έκδοση σε διακομιστές-μέλη που είναι υποψήφια για την προώθηση σε έναν ελεγκτή τομέα στο μέλλον.

Με αυτήν την ενημερωμένη έκδοση, η Microsoft παρέχει ένα διακόπτη επιπέδου συμπλέγματος δομών για να απενεργοποιήσετε ή να ενεργοποιήσετε τη μοναδικότητα ελέγχου με το χαρακτηριστικό dSHeuristics.

Ακολουθούν οι τιμές dSHeuristics που υποστηρίζονται:

1. dSHeuristic = 1: AD DS επιτρέπει την προσθήκη κύρια ονόματα αναπαραγωγή χρήστη (UPN)

2. dSHeuristic = 2: AD DS επιτρέπει την προσθήκη των κύριων ονομάτων διπλότυπες υπηρεσίας (SPN)

3. dSHeuristic = 3: AD DS επιτρέπει την προσθήκη διπλότυπα SPN και UPN

4. dSHeuristic = οποιαδήποτε άλλη τιμή: επιβάλλει τη μοναδικότητα ελέγχου για κύρια ονόματα υπηρεσίας και UPN AD DS

Παραδείγματα:

1. Για την απενεργοποίηση της UPN μοναδικότητας ελέγχου, ορίστε τον 21ο χαρακτήρα του dSHeuristics σε "1" (000000000100000000021)

2. Για την απενεργοποίηση ελέγχου μοναδικότητας SPN, ορίστε τον 21ο χαρακτήρα του dSHeuristics σε "2" (000000000100000000022)

3. Για την απενεργοποίηση της ελέγχους μοναδικότητας UPN και SPN, ορίστε τον 21ο χαρακτήρα του dSHeuristics σε "3" (000000000100000000023)

Για λεπτομερείς πληροφορίες σχετικά με την τροποποίηση dSHeuristic, ανατρέξτε στην ενότητα 6.1.1.2.4.1.2 dSHeuristics.

Συνιστούμε να ορίσετε την τιμή ξανά σε 0 , όταν γνωρίζετε ότι δεν παρουσιάζονται πλέον τα προβληματικά αλλαγές. Αυτό μπορεί να συμβαίνει ιδιαίτερα για μετεγκαταστάσεις ενδο-συμπλέγματος δομών.

Κατάσταση

Η Microsoft έχει επιβεβαιώσει ότι πρόκειται για ένα ζήτημα των προϊόντων της Microsoft που παρατίθενται στην ενότητα "Ισχύει για".

Περισσότερες πληροφορίες

Δείτε λεπτομερείς πληροφορίες σχετικά με τη δυνατότητα μοναδικότητας SPN και UPN στον Windows Server 2012 R2.

Μπορείτε επίσης να δείτε Αναγνωριστικό συμβάντος 11 — ρύθμιση παραμέτρων κύριο όνομα υπηρεσίας για περισσότερες πληροφορίες.

Ζητήστε από ιστολόγιο πλατφόρμες μηχανικός Premiere πεδίο (PFE): Εργαλεία μετεγκατάστασης Active Directory κατασκευαστών και KB 3070083.

Αναφορές

Δείτε την ορολογία που χρησιμοποιεί η Microsoft για την περιγραφή ενημερωμένων εκδόσεων λογισμικού.