KDS ne démarre pas ou la clé racine de KDS n’est pas créée dans Windows Server 2012 R2

Symptômes

Si le compte de contrôleur de domaine ne se trouve pas à la racine de l’unité d’organisation des contrôleurs de domaine, il est possible que vous rencontriez l’un des problèmes suivants et que vous receviez les messages d’erreur correspondants :

• Échec de début de service de distribution de clés Microsoft (KDS) :

  L’erreur système 1064 s’est produite. Une exception s’est produite dans le service lors de la gestion de la demande de contrôle.

• Échec de la génération de la clé racine de KDS :

  Le processus ne peut pas accéder au fichier car il est utilisé par un autre processus. (Exception de HRESULT : 0x80070020)

Cause

Ce problème se produit car KDS suppose que les contrôleurs de domaine sont dans l’unité d’organisation des contrôleurs de domaine au lieu d’une unité d’organisation enfant des contrôleurs de domaine.

Résolution

La mise à jour modifie le comportement de recherche du contrôleur de domaine du service KDS pour qu’il recherche dans la sous-arborescence sous l’unité d’organisation « contrôleurs de domaine ».

Informations supplémentaires

Si vous déplacez des contrôleurs de domaine hors de l’unité d’organisation des contrôleurs de domaine, la stratégie de groupe par défaut ne s’applique pas aux contrôleurs de domaine, car la plupart des paramètres importants sont appliqués par le biais de l’unité d’organisation « Domain Controls ». Voir les rubriques suivantes : Article TechNet qui prévient à propos de ce problème :

Important: ne déplacez aucun compte de contrôleur de domaine hors de l’unité d’organisation des contrôleurs de domaine par défaut, même si certains administrateurs se connectent pour exécuter les tâches d’administration.Le déplacement de ces comptes perturbera l’application homogène des stratégies de contrôleur de domaine à tous les domaines et n’est pas prise en charge.

De nombreuses fonctionnalités qui recherchent les comptes d’ordinateur du contrôleur de domaine recherchent la sous-arborescence de l’unité d’organisation « contrôleurs de domaine ». Ainsi, le fait de placer les comptes d’ordinateur dans une sous-arborescence peut fonctionner avec un grand nombre de solutions logicielles.

Toutefois, certains services et applications, notamment des outils d’analyse, ne rechercheront que les contrôleurs de domaine pour DCs (en examinant la valeur GUID_DOMAIN_CONTROLLERS_CONTAINER_W et en définissant une base de recherche de « un niveau »). Les contrôleurs de contenu des UO enfants ne seront pas disponibles dans ce cas.

C’est le propriétaire de la solution, qu’il s’agisse d’un problème valide pour créer une mise à jour de manière à ce qu’il soit localisé dans les UO enfants des « contrôleurs de domaine ».

Statut

Microsoft a confirmé l’existence de ce problème dans les produits Microsoft figurant dans la liste des produits concernés par cet article.

Références

Voir reference pour les objets ad connus :

https://msdn.microsoft.com/en-us/library/cc223663.aspx

Informations sur les fichiers

La version en anglais (États-Unis) de cette mise à jour logicielle installe les fichiers qui présentent les attributs répertoriés dans les tableaux suivants. Les dates et heures de ces fichiers sont indiquées en temps universel coordonné (UTC). Gardez à l’esprit que les dates et heures de ces fichiers sur votre ordinateur local sont affichées dans votre temps local et avec le décalage de l’heure d’été actuel. Les dates et les heures risquent également d’être modifiées lorsque vous effectuez certaines opérations sur les fichiers.