Bir Windows Server etki alanı denetleyicisi, USN geri alma işlemiyle karşılaştığında Dizin Hizmetleri olayı 2095'i günlüğe kaydeder

  • Makale

Bu makalede, bir Windows Server etki alanı denetleyicisinin işletim sisteminin görüntü tabanlı bir yüklemesi kullanılarak yanlış bir şekilde geri alınıp alınmadığını algılama ve kurtarma işlemleri açıklanmaktadır.

Şunlar için geçerlidir: Windows Server 2019, Windows Server 2016, Windows Server 2012 R2
Özgün KB numarası: 875495

Not

Bu makale yalnızca teknik destek temsilcilerine ve BT uzmanlarına yöneliktir. Bir sorunla ilgili yardım arıyorsanız lütfen Microsoft Topluluğu'na sorun.

Özet

Bu makalede, güncelleştirme sırası numarasının (USN) geri alınmasından kaynaklanan sessiz bir Active Directory çoğaltma hatası açıklanmaktadır. Bir Active Directory veritabanının eski bir sürümü hatalı bir şekilde geri yüklendiğinde veya yerine yapıştırıldığında USN geri alma işlemi gerçekleşir.

USN geri alma işlemi gerçekleştiğinde, bir etki alanı denetleyicisinde gerçekleşen nesneler ve özniteliklerde yapılan değişiklikler ormandaki diğer etki alanı denetleyicilerine çoğaltılmaz. Çoğaltma iş ortakları Active Directory veritabanının güncel bir kopyasına sahip olduklarına inandığından, Repadmin.exe gibi izleme ve sorun giderme araçları herhangi bir çoğaltma hatası bildirmez.

Etki Alanı Denetleyicileri, BIR USN geri alma algıladığında Dizin Hizmetleri Olay 2095'i Dizin Hizmetleri olay günlüğüne kaydeder. Olay iletisinin metni, kurtarma seçenekleri hakkında bilgi edinmek için yöneticileri bu makaleye yönlendirir.

Olay 2095 günlük girdisi örneği

Log Name:      <Service name> Service  
Source:        Microsoft-Windows-ActiveDirectory_DomainService  
Date:          <DateTime>
Event ID:      2095  
Task Category: Replication  
Level:         Error  
Keywords:      Classic  
User:          <USER NAME>  
Computer:      SERVER.contoso.com  
Description:

During an Active Directory Domain Services replication request, the local domain controller (DC) identified a remote DC which has received replication data from the local DC using already-acknowledged USN tracking numbers.

Because the remote DC believes it is has a more up-to-date Active Directory Domain Services database than the local DC, the remote DC will not apply future changes to its copy of the Active Directory Domain Services database or replicate them to its direct and transitive replication partners that originate from this local DC.

If not resolved immediately, this scenario will result in inconsistencies in the Active Directory Domain Services databases of this source DC and one or more direct and transitive replication partners. Specifically the consistency of users, computers and trust relationships, their passwords, security groups, security group memberships and other Active Directory Domain Services configuration data may vary, affecting the ability to log on, find objects of interest and perform other critical operations.

To determine if this misconfiguration exists, query this event ID using http://support.microsoft.com or contact your Microsoft product support.

The most probable cause of this situation is the improper restore of Active Directory Domain Services on the local domain controller.

User Actions:

If this situation occurred because of an improper or unintended restore, forcibly demote the DC.

Aşağıdaki konular, Windows Server tabanlı bir etki alanı denetleyicisinde USN geri alma işlemini algılama ve kurtarma konularını ele alır.

Windows Server 2012 ve sonraki sürümleri çalıştıran etki alanı denetleyicilerinde Active Directory'yi yedeklemek için desteklenen yöntemler

Windows Server 2012, Hyper-Visor Oluşturma Kimliği (GenID) için destek ekler. Bu, sanal konuğun yeni kimliği olan disk birimlerini algılamasına ve yeni GenID'ye yanıt vermesine olanak tanır. Active Directory'de, Dizin Hizmetleri etki alanı denetleyicisi bir yedekten geri yüklenir gibi tepki gösterir. Ardından yeni bir Çağırma Kimliği oluşturur. Veritabanı örneği, yeni Çağırma Kimliği'ni kullanarak çoğaltmayı ormana güvenli bir şekilde yeniden girebilir.

Bu, Sanallaştırılmış Etki Alanı Denetleyicisi Dağıtımı ve Yapılandırması'nda ele alınan senaryolardan biridir.

Windows Server 2003 veya sonraki Windows Server sürümlerini çalıştıran etki alanı denetleyicilerinde Active Directory'yi yedeklemek için desteklenen yöntemler

Bir etki alanı denetleyicisinin yaşam döngüsünde, Active Directory veritabanının içeriğini bilinen iyi bir noktaya geri yüklemeniz veya "geri almanız" gerekebilir. Alternatif olarak, etki alanı denetleyicisinin active directory de dahil olmak üzere konak işletim sisteminin öğelerini bilinen bir iyi noktaya geri döndürmeniz gerekebilir.

Active Directory içeriğini geri almak için kullanabileceğiniz desteklenen yöntemler aşağıdadır:

  • Microsoft tarafından sağlanan ve Microsoft tarafından test edilen API'leri kullanan Active Directory kullanan bir yedekleme ve geri yükleme yardımcı programı kullanın. Bu API'ler, bir sistem durumu yedeğini yetkili olmayan veya yetkili olmayan bir şekilde geri yükler. Geri yüklenen yedekleme aynı işletim sistemi yüklemesinden ve geri yüklenen aynı fiziksel veya sanal bilgisayardan kaynaklanmalıdır.

  • Microsoft Birim Gölge Kopyası Hizmeti API'lerini kullanan Active Directory kullanan bir yedekleme ve geri yükleme yardımcı programı kullanın. Bu API'ler etki alanı denetleyicisi sistem durumunu yedekler ve geri yükler. Birim Gölge Kopyası Hizmeti, Windows Server 2003, Windows Server 2008 veya Windows Server 2008 R2 çalıştıran bilgisayarlarda tek veya birden çok birimin belirli bir noktaya gölge kopyalarının oluşturulmasını destekler. Tek noktadan noktaya gölge kopyalar anlık görüntüler olarak da bilinir. Daha fazla bilgi için Microsoft Desteği'da "Birim Gölge Kopyası Hizmeti" araması yapın.

  • Sistem durumunu geri yükleyin. Bu etki alanı denetleyicisi için geçerli sistem durumu yedeklemelerinin mevcut olup olmadığını değerlendirin. Geri alınan etki alanı denetleyicisi yanlış geri yüklenmeden önce geçerli bir sistem durumu yedeklemesi yapıldıysa ve yedekleme etki alanı denetleyicisinde yapılan son değişiklikleri içeriyorsa, sistem durumunu en son yedeklemeden geri yükleyin.

Active Directory kullanan sistem durumu yedeğini geri yüklerken oluşan tipik davranış

Windows Server etki alanı denetleyicileri, Active Directory ormanındaki çoğaltma ortakları arasında çoğaltılması gereken güncelleştirmeleri izlemek için ÇAĞRı kimlikleriyle birlikte USN'leri kullanır.

Kaynak etki alanı denetleyicileri, değişiklik isteyen hedef etki alanı denetleyicisi tarafından önceden hangi değişikliklerin alındığını belirlemek için USN'leri kullanır. Hedef etki alanı denetleyicileri, kaynak etki alanı denetleyicilerinden hangi değişikliklerin isteneceğini belirlemek için USN'leri kullanır.

Çağırma kimliği, belirli bir etki alanı denetleyicisinde çalışan Active Directory veritabanının sürümünü veya örneğini tanımlar.

Active Directory, Microsoft'un tasarlayıp test ettiği API'ler ve yöntemler kullanılarak bir etki alanı denetleyicisine geri yüklendiğinde, geri yüklenen etki alanı denetleyicisinde çağırma kimliği doğru şekilde sıfırlanır. ormandaki etki alanı denetleyicileri çağırma sıfırlama bildirimi alır. Bu nedenle, yüksek filigran değerlerini buna göre ayarlarlar.

USN geri alma işlemlerine neden olan yazılım ve metodolojiler

Aşağıdaki ortamlar, programlar veya alt sistemler kullanıldığında, yöneticiler etki alanı denetleyicisi sistem durumu geri yüklendiğinde Microsoft'un gerçekleştirmek üzere tasarladığı denetimleri ve doğrulamaları atlayabilir:

  • Active Directory veritabanı dosyası Norton Ghost gibi bir görüntüleme programı kullanılarak geri yüklenen (kopyalanan) bir Active Directory etki alanı denetleyicisi başlatılıyor.

  • Bir etki alanı denetleyicisinin daha önce kaydedilmiş sanal sabit disk görüntüsünü başlatma. Aşağıdaki senaryo USN geri alma işlemine neden olabilir:

    1. Sanal barındırma ortamında etki alanı denetleyicisini yükseltme.
    2. Sanal barındırma ortamının anlık görüntüsünü veya alternatif sürümünü oluşturun.
    3. Etki alanı denetleyicisinin gelen çoğaltmaya ve giden çoğaltmaya devam etmesine izin verin.
    4. 2. adımda oluşturduğunuz etki alanı denetleyicisi görüntü dosyasını başlatın.

  • Bu senaryoya neden olan sanallaştırılmış barındırma ortamlarının örnekleri arasında Microsoft Virtual PC 2004, Microsoft Virtual Server 2005 ve EMC VMWARE sayılabilir. Diğer sanallaştırılmış barındırma ortamları da bu senaryoya neden olabilir.

  • Sanal barındırma ortamlarındaki etki alanı denetleyicileri için destek koşulları hakkında daha fazla bilgi için bkz. Sanal barındırma ortamlarında Active Directory etki alanı denetleyicilerini barındırırken dikkate almanız gerekenler.

  • Active Directory'nin sistem durumu geri yüklenmesi gerekmeden işletim sisteminin önceden kaydedilmiş görüntülerini kullanarak disk alt sisteminin yüklendiği bir birimde bulunan bir Active Directory etki alanı denetleyicisini başlatma.

    • A Senaryosu: Bir birimin birden çok sürümünü depolayan bir disk alt sisteminde bulunan Active Directory'nin birden çok kopyasını başlatma

      1. Etki alanı denetleyicisini yükseltme. Ntds.dit dosyasını barındıran birimin birden çok sürümünü depolayan bir disk alt sisteminde Ntds.dit dosyasını bulun.
      2. Etki alanı denetleyicisi için Ntds.dit dosyasını barındıran birimin anlık görüntüsünü oluşturmak için disk alt sistemini kullanın.
      3. 1. adımda oluşturduğunuz birimden etki alanı denetleyicisinin Active Directory'yi yüklemesine izin vermek için devam edin.
      4. Active Directory veritabanının 2. adımda kaydettiği etki alanı denetleyicisini başlatın.

    • Senaryo B: Active Directory'nin bozuk yansıtmadaki diğer sürücülerden başlatılması

      1. Etki alanı denetleyicisini yükseltme. Ntds.dit dosyasını yansıtılmış bir sürücüde bulun.
      2. Aynayı kır.
      3. Yansıtmadaki ilk sürücüde Ntds.dit dosyasını kullanarak gelen çoğaltmaya ve giden çoğaltmaya devam edin.
      4. Yansıtmadaki ikinci sürücüde Ntds.dit dosyasını kullanarak etki alanı denetleyicisini başlatın.

Amaçlanmamış olsa bile, bu senaryoların her biri etki alanı denetleyicilerinin desteklenmeyen yöntemlerle Active Directory veritabanının eski bir sürümüne geri dönmelerine neden olabilir. Active Directory'nin içeriğini veya bir Active Directory etki alanı denetleyicisinin yerel durumunu geri almanın desteklenen tek yolu, aynı işletim sistemi yüklemesinden ve geri yüklenen aynı fiziksel veya sanal bilgisayardan kaynaklanan bir sistem durumu yedeklemesini geri yüklemek için Active Directory kullanan bir yedekleme ve geri yükleme yardımcı programı kullanmaktır.

Microsoft, Bir Active Directory etki alanı denetleyicisinin sistem durumunun öğelerinin anlık görüntüsünü alan ve bu sistem durumunun öğelerini bir işletim sistemi görüntüsüne kopyalayan başka hiçbir işlemi desteklemez. Bir yönetici müdahale etmediği sürece, bu tür işlemler USN geri alma işlemine neden olur. Bu USN geri alma işlemi, hatalı geri yüklenen bir etki alanı denetleyicisinin doğrudan ve geçişli çoğaltma iş ortaklarının Active Directory veritabanlarında tutarsız nesnelere sahip olmasını sağlar.

USN geri alma işleminin etkileri

USN geri alma işlemleri gerçekleştiğinde, nesnelerde ve özniteliklerde yapılan değişiklikler, daha önce USN'yi görmüş olan hedef etki alanı denetleyicileri tarafından çoğaltılamaz.

Bu hedef etki alanı denetleyicileri güncel olduklarına inandığından, Dizin Hizmeti olay günlüklerinde veya izleme ve tanılama araçları tarafından hiçbir çoğaltma hatası bildirilir.

USN geri alma işlemi, herhangi bir bölümdeki herhangi bir nesnenin veya özniteliğin çoğaltmasını etkileyebilir. En sık gözlemlenen yan etki, geri alma etki alanı denetleyicisinde oluşturulan kullanıcı hesaplarının ve bilgisayar hesaplarının bir veya daha fazla çoğaltma iş ortağında mevcut olmamasıdır. Alternatif olarak, geri alma etki alanı denetleyicisinden kaynaklanan parola güncelleştirmeleri çoğaltma iş ortaklarında mevcut değildir.

Aşağıdaki adımlarda USN geri alma işlemine neden olabilecek olayların dizisi gösterilir. Etki alanı denetleyicisi sistem durumu, desteklenmeyen bir sistem durumu geri yükleme kullanılarak zamanda geri getirildiğinde USN geri alma işlemi gerçekleşir.

  1. Bir yönetici, bir etki alanındaki üç etki alanı denetleyicisini yükseltmektedir. (Bu örnekte etki alanı denetleyicileri DC1, DC2 ve DC2'dir ve etki alanı Contoso.com.) DC1 ve DC2 doğrudan çoğaltma iş ortaklarıdır. DC2 ve DC3 de doğrudan çoğaltma iş ortaklarıdır. DC1 ve DC3 doğrudan çoğaltma iş ortakları değildir, ancak kaynak güncelleştirmeleri DC2 üzerinden geçişli olarak alır.

  2. Yönetici, DC1'de 1 ile 10 arasında USN'ye karşılık gelen 10 kullanıcı hesabı oluşturur. Tüm bu hesaplar DC2 ve DC3'e çoğaltılır.

  3. DC1'de bir işletim sisteminin disk görüntüsü yakalanır. Bu görüntü, DC1'de 1 ile 10 arasında yerel USN'lere karşılık gelen nesnelerin kaydına sahiptir.

  4. Active Directory'de aşağıdaki değişiklikler yapılır:

    • 2. adımda oluşturulan tüm 10 kullanıcı hesabının parolaları DC1'de sıfırlanır. Bu parolalar 11 ile 20 arasında USN'lere karşılık gelir. Güncelleştirilmiş 10 parolanın tümü DC2 ve DC3'e çoğaltılır.
    • DC1'de 21 ile 30 arasında USN'ye karşılık gelen 10 yeni kullanıcı hesabı oluşturulur. Bu 10 kullanıcı hesabı DC2 ve DC3'e çoğaltılır.
    • DC1'de 31 ile 40 arasında USN'ye karşılık gelen 10 yeni bilgisayar hesabı oluşturulur. Bu 10 bilgisayar hesabı DC2 ve DC3'e çoğaltılır.
    • DC1'de 41 ile 50 arasında USN'lere karşılık gelen 10 yeni güvenlik grubu oluşturulur. Bu 10 güvenlik grubu DC2 ve DC3'e çoğaltılır.

  5. DC1 bir donanım hatası veya yazılım hatasıyla karşılaşır. Yönetici, 3. adımda oluşturulan işletim sistemi görüntüsünü yerine kopyalamak için bir disk görüntüleme yardımcı programı kullanır. DC1 artık 1 ile 10 arasında USN bilgisi olan bir Active Directory veritabanıyla başlar.

    İşletim sistemi görüntüsü yerine kopyalandığı ve sistem durumunu geri yüklemek için desteklenen bir yöntem kullanılmadığından DC1, veritabanının ilk kopyasını oluşturan aynı çağırma kimliğini ve USN 50'ye kadar olan tüm değişiklikleri kullanmaya devam eder. DC2 ve DC3, DC1 için aynı çağrı kimliğinin yanı sıra DC1 için USN 50'nin güncel vektörü de korur. (Güncel vektör, belirli bir dizin bölümü için tüm etki alanı denetleyicilerinde gerçekleşecek en son kaynak güncelleştirmelerin geçerli durumudur.)

    Bir yönetici müdahale etmediği sürece DC2 ve DC3, DC1 kaynaklı yerel USN 11 ile 50 arasında olan değişiklikleri çoğaltmaz. Ayrıca DC2'nin kullandığı çağırma kimliğine göre DC1, USN 11 ile 50'ye karşılık gelen değişiklikler hakkında zaten bilgi sahibidir. Bu nedenle DC2 bu değişiklikleri göndermez. 4. adımdaki değişiklikler DC1'de mevcut olmadığından, oturum açma istekleri "erişim reddedildi" hatasıyla başarısız olur. Bu hata, parolalar eşleşmediği için veya yeni hesaplar DC1 ile rastgele kimlik doğrulaması yaparken hesap mevcut olmadığından oluşur.

  6. Ormanda çoğaltma durumunu izleyen yöneticiler aşağıdaki durumlara dikkat eder:

    • Komut satırı aracı, Repadmin /showreps DC1 ile DC2 arasında ve DC2 ile DC3 arasında iki yönlü Active Directory çoğaltmasının hatasız gerçekleştiğini bildirir. Bu durum, çoğaltma tutarsızlığını algılamayı zorlaştırır.

    • Windows Server çalıştıran etki alanı denetleyicilerinin dizin hizmeti olay günlüklerindeki çoğaltma olayları, dizin hizmeti olay günlüklerinde herhangi bir çoğaltma hatası olduğunu göstermez. Bu durum, çoğaltma tutarsızlığını algılamayı zorlaştırır.

    • Active Directory Kullanıcıları ve Bilgisayarları veya Active Directory Yönetim Aracı (Ldp.exe), DC2 ve DC3'te etki alanı dizini bölümleri DC1'de bölümle karşılaştırıldığında farklı nesne sayısını ve farklı nesne meta verilerini gösterir. Fark, 4. adımda USN'ye eşlenen değişiklikler kümesi 11 ile 50 arasındaki değişikliklerdir.

      Not

      Bu örnekte, farklı nesne sayısı kullanıcı hesapları, bilgisayar hesapları ve güvenlik grupları için geçerlidir. Farklı nesne meta verileri, farklı kullanıcı hesabı parolalarını temsil eder.

    • 2. adımda oluşturulan 10 kullanıcı hesabı için kullanıcı kimlik doğrulaması istekleri zaman zaman "erişim reddedildi" veya "yanlış parola" hatası oluşturur. Dc1'de bu kullanıcı hesapları ile DC2 ve DC3 üzerindeki hesaplar arasında parola uyuşmazlığı olduğundan bu hata oluşabilir. Bu sorunla karşılaşan kullanıcı hesapları, 4. adımda oluşturulan kullanıcı hesaplarına karşılık gelir. 4. adımdaki kullanıcı hesapları ve parola sıfırlamaları, etki alanındaki diğer etki alanı denetleyicilerine çoğaltılamaz.

  7. DC2 ve DC3, DC1'den 50'den büyük USN numaralarına karşılık gelen kaynaklı güncelleştirmeleri çoğaltmaya başlar. Önceden kaydedilen güncellik vektör eşiği (USN 50) aşıldığından, bu çoğaltma normalde yönetim müdahalesi olmadan devam eder. (USN 50, DC1 çevrimdışına alınmadan ve geri yüklenmeden önce DC2 ve DC3 üzerinde DC1 için kaydedilen güncellik vektör USN'ydi.) Ancak desteklenmeyen geri yüklemeden sonra kaynak DC1'de 11 ile 50 arasındaki USN'lere karşılık gelen yeni değişiklikler hiçbir zaman DC2, DC3 veya geçişli çoğaltma iş ortaklarına çoğaltılmaz.

6. adımda bahsedilen belirtiler, USN geri alma işleminin kullanıcı ve bilgisayar hesapları üzerindeki etkisinin bir kısmını temsil etse de, USN geri alma işlemi herhangi bir Active Directory bölümündeki herhangi bir nesne türünün çoğaltılmasını engelleyebilir. Bu nesne türleri şunları içerir:

  • Active Directory çoğaltma topolojisi ve zamanlaması

  • Ormandaki etki alanı denetleyicilerinin varlığı ve bu etki alanı denetleyicilerinin sahip olduğu roller

    Not

    Bu roller genel katalog, göreli tanımlayıcı (RID) ayırmaları ve işlem yöneticisi rollerini içerir. (İşlem yöneticisi rolleri esnek tek ana işlem veya FSMO olarak da bilinir.)

  • Ormanda etki alanı ve uygulama bölümlerinin varlığı

  • Güvenlik gruplarının varlığı ve bunların geçerli grup üyelikleri

  • Active Directory ile tümleşik DNS bölgelerinde DNS kaydı kaydı

USN deliğinin boyutu, kullanıcılar, bilgisayarlar, güvenler, parolalar ve güvenlik gruplarında yapılan yüzlerce, binlerce ve hatta on binlerce değişikliği temsil edebilir. (USN deliği, geri yüklenen sistem durumu yedeklemesi yapıldığında var olan en yüksek USN sayısı ile çevrimdışı olmadan önce geri alınan etki alanı denetleyicisinde oluşturulan kaynak değişikliklerin sayısı arasındaki farkla tanımlanır.)

Windows Server etki alanı denetleyicisinde USN geri alma işlemini algılama

USN geri alma işleminin algılanması zor olduğundan, windows Server 2003 SP1 veya sonraki bir sürüm etki alanı denetleyicisi, bir kaynak etki alanı denetleyicisi çağrı kimliğinde karşılık gelen bir değişiklik olmadan hedef etki alanı denetleyicisine önceden kabul edilmiş bir USN numarası gönderdiğinde olay 2095'i günlüğe kaydeder.

Active Directory'de benzersiz kaynaklı güncelleştirmelerin yanlış geri yüklenen etki alanı denetleyicisinde oluşturulmasını önlemek için Net Logon hizmeti duraklatılır. Net Logon hizmeti duraklatıldığında, kullanıcı ve bilgisayar hesapları bu değişiklikleri giden-çoğaltmayacak bir etki alanı denetleyicisindeki parolayı değiştiremez. Benzer şekilde, Active Directory yönetim araçları, Active Directory'deki nesnelere güncelleştirmeler yaptıklarında iyi durumdaki bir etki alanı denetleyicisini tercih eder.

Bir etki alanı denetleyicisinde, aşağıdaki koşullar doğruysa aşağıdakine benzer olay iletileri kaydedilir:

  • Kaynak etki alanı denetleyicisi, hedef etki alanı denetleyicisine önceden kabul edilmiş bir USN numarası gönderir.
  • Çağırma kimliğinde karşılık gelen bir değişiklik yok.

Bu olaylar Dizin Hizmeti olay günlüğünde yakalanabilir. Ancak, bir yönetici tarafından gözlemlenmeden önce bunların üzerine yazılabilir.

USN geri alma işleminin gerçekleştiğini tahmin edebilirsiniz. Ancak Dizin Hizmeti olay günlüğünde bağıntı olaylarını görmezsiniz. Bu senaryoda, Dsa Yazılamaz kayıt defteri girdisini denetleyin. Bu girdi, USN geri alma işleminin gerçekleştiğine dair adli kanıt sağlar.

  • Kayıt defteri alt anahtarı: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
  • Kayıt defteri girdisi: Dsa Yazılamaz
  • Değer: 0x4

Dsa Yazılamaz kayıt defteri girdi değerinin silinmesi veya el ile değiştirilmesi, geri alma etki alanı denetleyicisini kalıcı olarak desteklenmeyen bir duruma getirir. Bu nedenle, bu tür değişiklikler desteklenmez. Özellikle, değerin değiştirilmesi USN geri alma algılama kodu tarafından eklenen karantina davranışını kaldırır. Geri alma etki alanı denetleyicisindeki Active Directory bölümleri, aynı Active Directory ormanındaki doğrudan ve geçişli çoğaltma iş ortaklarıyla kalıcı olarak tutarsız olacaktır.

USN geri alma işlemiyle kurtarma

USN geri alma işleminin kurtarılması için üç yaklaşım vardır.

Başvurular