Controllo SPN duplicati su controller di dominio basato su Windows Server 2012 R2 provoca il ripristino, aggiunta a un dominio e la migrazione degli errori

Sintomi

Si supponga che si dispone di un controller di dominio che esegue Windows Server 2012 R2, è possibile riscontrare uno dei seguenti problemi.

Problema 1: Aggiunta a un dominio

È un nuovo computer che si desidera associarlo a un dominio dell'insieme di strutture. Lo stesso nome host è già utilizzato in un altro dominio. In questo caso, l'operazione di join dominio segnala l'esito positivo. Dopo aver scelto OK, si vedrà la seguente finestra di dialogo. Le stringhe cancellate sono il vecchio e il nuovo suffisso primario del computer:



Il messaggio di errore analogo al seguente:

Dopo il riavvio, il computer verrà rilevato come un membro di dominio, ma accesso interattivo con un account di dominio avrà esito negativo e viene visualizzato il seguente messaggio di errore:

Riceverai inoltre il seguente messaggio di errore nel file Netsetup:

2 problema: Migrazione di insieme di strutture

Se si esegue la migrazione di utente un insieme di strutture che ha il nome dell'entità servizio (SPN) o user principal name (UPN) definito o la migrazione computer insieme di strutture, la migrazione non riesce perché l'account è ancora presente nel catalogo globale come l'oggetto è stato introdotto nel dominio di destinazione che dispone di questi attributi popolati. Se l'oggetto è stato salvato nel nuovo dominio, verrebbe creato un SPN duplicato.

Nota: Gli strumenti per guidare le migrazioni sia Active Directory Migration Tool (ADMT), strumenti di migrazione esterna o di spostare-ADObject cmdlet utilizzando Active Directory PowerShell.

Problema 3: SPN è in conflitto con SPN sull'oggetto ripristinato

Si dispone di un account con SPN in uso su un account che viene eliminato subito. Aggiungere un SPN per l'oggetto utilizzato per disporre di un altro account utente o computer nell'insieme di strutture. Quando si prova a ripristinare l'account eliminato, l'azione non riesce a causa di SPN duplicati.

Nota: In tutti e tre i problemi, viene registrato l'evento ID 2974 analogo al seguente nel registro del servizio Directory del controller di dominio: il numero di errore 8647 traduce simbolico a nome è ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST. Per deplicate UPN, l'errore potrebbe essere numero 8648 ed ERROR_DS_UPN_VALUE_NOT_UNIQUE_IN_FOREST.

Causa

Windows Server 2012 R2 ha introdotto restrittive verifica l'univocità UPN e SPN. Correttamente impedisce UPN e SPN quando essi sono gestiti tramite strumenti di amministrazione senza richiedere lo strumento per eseguire un controllo di univocità.

Problemi che sono stati descritti in questo articolo, impedisce le attività amministrative in cui l'effetto non è ovvio.

Risoluzione

In alcuni casi, è possibile eliminare gli oggetti che bloccano l'azione in modo che l'operazione viene completata. Per le migrazioni di insieme di strutture e i ripristini, è inoltre possibile eliminare il SPN e/o UPN che essere duplicato e potenzialmente aggiungerli nuovamente sul conto.

Tale modifica preparazione potrebbe non essere possibile in tutti i casi. Di conseguenza, Microsoft ha sviluppato un aggiornamento che consente di controllare il comportamento di controller di dominio. Questo aggiornamento si applica ai controller di dominio basato su Windows Server 2012 R2. È anche possibile installare questo aggiornamento sui server membri che sono candidati per la promozione a controller di dominio in futuro.

Con questo aggiornamento, Microsoft offre un'opzione del livello di insieme di strutture per disattivare o attivare il controllo di univocità mediante l'attributo dSHeuristics.

Di seguito sono i valori dSHeuristics supportati:

1. dSHeuristic = 1: dominio Active Directory consente l'aggiunta di nomi principali utente duplicati (UPN)

2. dSHeuristic = 2: dominio Active Directory consente l'aggiunta di nomi principali di servizio duplicato (SPN)

3. dSHeuristic = 3: dominio Active Directory consente l'aggiunta di UPN e SPN

4. dSHeuristic = qualsiasi altro valore: dominio Active Directory impone il controllo di univocità per UPN e SPN

Esempi:

1. Per disabilitare il controllo di univocità UPN, impostare il carattere 21 di dSHeuristics a "1" (000000000100000000021)

2. Per disabilitare il controllo di univocità SPN, impostare il carattere 21 di dSHeuristics a "2" (000000000100000000022)

3. Per disabilitare i controlli di univocità dell'UPN e SPN, impostare il carattere 21 di dSHeuristics su "3" (000000000100000000023)

Per informazioni dettagliate sulle modalità di modifica dSHeuristic, vedere 6.1.1.2.4.1.2 dSHeuristics.

Si consiglia di impostare il valore su 0 quando si conoscono le modifiche di un problema non si verificano più. Può essere il caso in particolare per le migrazioni di insieme di strutture.

Stato

Microsoft ha confermato che questo è un problema dei prodotti Microsoft elencati nella sezione "Si applica a".

Ulteriori informazioni

Visualizzare informazioni dettagliate sulle funzionalità di univocità SPN e UPN in Windows Server 2012 R2.

È inoltre possibile visualizzare ID evento 11-configurazione del nome principale servizio per ulteriori informazioni.

Chiedere il blog di piattaforme Premiere campo tecnico (PFE): Strumenti di migrazione di terze parti Active Directory e 3070083 KB.

Riferimenti

Vedere la terminologia utilizzata da Microsoft per descrivere gli aggiornamenti software.