오래된 글로벌 카탈로그 서버를 다시 온라인 상태로 만든 후에도 남아 있는 개체가 남아 있을 수 있습니다.

아티클
02/19/2024

이 문서에서는 오프라인 DC를 다시 온라인 상태로 전환한 후 AD에 다시 도입되는 개체를 정리하는 절차를 설명합니다.

적용 대상: Windows Server 2019, Windows Server 2016, Windows Server 2012 R2
원본 KB 번호: 314282

증상

도메인 컨트롤러(DC) 또는 글로벌 카탈로그 서버가 오랫동안 오프라인 상태가 된 후 온라인 상태로 전환합니다. 온라인 상태가 되면 다음 문제 중 하나 이상을 관찰합니다.

전자 메일 메시지는 사용자 개체가 도메인 간에 이동된 사용자에게 배달되지 않습니다. 오래된 DC 또는 글로벌 카탈로그 서버를 다시 온라인 상태로 설정하면 사용자 개체의 두 인스턴스가 모두 글로벌 카탈로그에 표시됩니다. 두 개체 모두 전자 메일 주소가 같으므로 전자 메일 메시지를 배달할 수 없습니다.
더 이상 존재하지 않는 사용자 계정이 여전히 전역 주소 목록에 표시됩니다.
더 이상 존재하지 않는 범용 그룹이 여전히 사용자의 액세스 토큰에 표시됩니다.
EventID 1084와 같은 다른 DC 또는 글로벌 카탈로그 서버 로그 이벤트, 서버에 이러한 개체가 없습니다. 영향을 받는 DC 또는 글로벌 카탈로그 서버에서 추가 복제가 차단됩니다.

원인

DC 또는 글로벌 카탈로그 서버가 사용자 개체의 Tombstone-Lifetime 특성 값보다 오랫동안 오프라인 상태인 경우 이러한 문제가 발생할 수 있습니다.

Tombstone-Lifetime 특성에 대한 자세한 내용은 Tombstone-Lifetime 특성을 참조하세요.

삭제 표시-수명 특성은 삭제된 개체가 디렉터리 서비스에서 제거되기까지의 일 수를 정의합니다. 이렇게 하면 복제된 서버에서 개체를 제거하고 복원에서 삭제된 개체를 다시 도입하지 못하도록 방지할 수 있습니다. 기본값은 180일입니다. 그 후 Active Directory는 더 이상 변경 사항을 기억할 필요가 없습니다.

DC 또는 글로벌 카탈로그 서버가 Tombstone-Lifetime 특성 값보다 오랫동안 오프라인 상태인 경우 Active Directory(또는 글로벌 카탈로그)의 복사본에 다른 DC에서 삭제된 개체가 포함될 수 있습니다. 그러나 다른 DC는 더 이상 개체가 삭제되었음을 기억하지 않습니다. 오프라인 DC를 온라인 상태로 전환하면 Active Directory의 복사본을 나머지 도메인과 동기화합니다. 삭제에 대한 정보가 삭제되었으므로 DC는 영향을 받는 개체(느린 개체라고 함)를 도메인의 나머지 부분에 다시 복제합니다.

일반적으로 AD DS는 느슨한 일관성 복제 모델을 사용하며, 일부 명명 컨텍스트(디렉터리 파티션이라고도 함)는 읽기/쓰기가 가능하고 다른 명명 컨텍스트는 읽기 전용입니다. 읽기/쓰기 명명 컨텍스트에 속하고 해당 개체가 DIT(디렉터리 정보 트리)의 로컬 복사본에 아직 없는 복제된 개체를 수신하는 DC가 개체를 만듭니다. 복제 프로세스가 계속되면 개체가 도메인의 모든 DC에 다시 나타납니다.

DC 및 글로벌 카탈로그 서버는 엄격한 복제 일관성 모델을 사용할 수도 있습니다. 이 모델에서 DC가 로컬 DIT에 아직 없는 복제된 개체를 받으면 DC는 복제된 데이터 수신 또는 전송을 중지하고 이벤트 ID 1084와 같은 이벤트를 기록합니다. "서버에는 이러한 개체가 없습니다." DC가 이 모델을 기본적으로 사용할 수 있는 상황을 포함하여 엄격한 복제 일관성에 대한 자세한 내용은 KB 910205, Windows Server Active Directory 포리스트의 느린 개체에 대한 정보를 참조하세요. 삭제 표시 문제에 대한 자세한 내용은 KB216993 Active Directory의 시스템 상태 백업의 유용한 사용 기한을 참조하세요.

해결 방법 1: Active Directory에 느린 개체가 있는지 여부를 확인하고 나중에 남아 있는 개체를 방지합니다.

KB 910205 Active Directory 시스템에 느린 개체가 누적되었는지 여부를 확인하는 여러 가지 방법을 설명합니다. 또한 KB 910205 느린 개체가 누적되지 않도록 하기 위해 수행할 수 있는 단계에 대해서도 설명합니다.

해결 방법 2: 느린 개체 삭제

개체가 Active Directory에 전혀 없어야 하는 경우(예: 오래된 도메인 컨트롤러에 의해 개체가 다시 도입된 경우) 표준 도구(예: ADSIEdit 또는 Active Directory 사용자 및 컴퓨터 스냅인)를 사용하여 개체를 삭제할 수 있습니다.

읽기/쓰기 명명 컨텍스트에 대해 느린 개체를 쉽게 제거할 수 있습니다. Windows Server 2003 이상 버전에서는 명령을 repadmin /removelingeringobjects사용하여 느린 개체를 제거할 수 있습니다. RepAdmin을 사용하는 방법에 대한 자세한 내용은 Active Directory 복제 이벤트 ID 1388 또는 1988: 느린 개체가 검색됨을 참조하세요.

이 문서에서는 전역 카탈로그 서버의 디렉터리 파티션 또는 RODC(도메인 컨트롤러)Read-Only 같은 읽기 전용 명명 컨텍스트에 이미 표시된 느린 개체를 제거하는 방법을 설명합니다. 추가 정보 섹션에서 설명하는 기능은 최신 운영 체제에 계속 존재하며 예기치 않은 RepAdmin 동작 문제를 해결하는 데 유용할 수 있습니다.

추가 정보

이 프로시저에는 개체의 읽기/쓰기 복사본이 있는 DC의 objectGUID 와 개체 자체의 objectGUID 가 필요합니다. 둘 이상의 개체를 제거해야 하는 경우 개체가 부모/자식 관계에 있는지 확인합니다(개체의 고유 이름에서 확인할 수 있음). 이 경우 모든 자식 개체가 부모 개체 앞에 삭제되도록 삭제 순서를 지정합니다.

이 절차에는 포리스트에 대한 액세스 권한이 있는 컴퓨터에서 수행해야 하는 세 가지 기본 단계가 있습니다(포리스트에 대한 관리 권한이 있는 사용자 계정을 사용해야 함).

느린 개체의 고유 이름 및 ObjectGUID를 가져옵니다.
개체 도메인에서 DC를 식별합니다.
느린 개체를 삭제합니다. 다음 방법 중 하나를 선택합니다.
- 몇 가지 느린 개체를 삭제합니다.
- 많은 수의 느린 개체를 삭제합니다.

중요

삭제 작업을 실행하려는 각 글로벌 카탈로그 서버(3단계)에는 식별한 도메인 컨트롤러에 대한 네트워크 연결이 있어야 합니다(2단계).

문제 해결 정보는 다음 섹션을 참조하세요.

환경에서 많은 느린 개체를 수정하기 위해 Walkservers.cmd 실행할 때 오류 메시지입니다.
환경에서 느린 개체를 제거할 때 오류 메시지 87입니다.

느린 개체의 고유 이름 및 ObjectGUID를 가져옵니다.

개체가 있는 도메인을 식별하는 가장 좋은 방법은(그리고 개체의 읽기/쓰기 복사본이 있는 DC의 이름을 확인하기 위해) 개체의 고유 이름을 검색하는 것입니다. Ldp.exe 도구를 사용하여 개체의 이름(또는 이름 일부)을 검색할 수 있습니다. 이렇게 하려면 다음과 같이 하십시오.

Ldp.exe 시작합니다.

대부분의 Windows 버전에서 실행 시작을> 선택하고 ldp.exe를 입력합니다. 이전 버전의 Windows(예: Windows Server 2003 SP1)에서는 이 도구를 지원 도구 중 하나로 사용할 수 있습니다.
연결>연결을 선택합니다. 서버 상자에 전역 카탈로그 서버의 이름을 입력합니다. 포트 상자에 3268을 입력한 다음 확인을 선택합니다.
연결바인딩을> 선택합니다. 현재 자격 증명이 모든 글로벌 카탈로그 콘텐츠를 쿼리하기에 충분하지 않은 경우 유효한 자격 증명을 입력합니다. 확인을 선택합니다.
트리 보기를> 선택합니다. 포리스트 루트의 고유 이름을 입력한 다음 확인을 선택합니다.
트리 목록에서 포리스트 루트를 마우스 오른쪽 단추로 클릭한 다음 검색을 선택합니다.
필터 상자에 특성 = <값> 형식을 사용하는 필터를<> 입력합니다.

필터 텍스트 <에서 특성> 은 검색할 개체 특성을 나타내고 <값> 은 검색할 조건을 나타냅니다. 값에서 ***** 와일드카드 문자로 사용할 수 있으며 식을 사용할 수 있습니다.

LDAP(Lightweight Directory Access Protocol) 필터 구문에 대한 자세한 내용은 필터 구문 검색을 참조하세요.

예를 들어 sAMAccountName 특성에 testuser 값이 있는 개체를 찾으려면 필터 상자에 (sAMAccountName = testuser)를 입력합니다. 사용자 개체를 검색하려면 다음 특성이 가장 유용합니다.
- Cn
- userPrincipalName
- sAMAccountName
- 이름
- 메일
- Sn
그룹 개체를 검색하려면 다음 특성이 가장 유용합니다.
- Cn
- sAMAccountName
- 이름
범위에서 하위 트리를 선택합니다.
특성 상자를 선택한 다음 특성 문자열의 끝을 선택합니다. 형식 ; 문자열의 끝에 있는 objectGUID 입니다.

일부 버전의 Ldp에서는 특성을 보려면 옵션을 선택해야 합니다.
쿼리를 실행하려면 실행을 선택합니다.

결과는 기본 Ldp 창에 표시됩니다.
결과에 나열된 개체 중 전역 카탈로그에서 제거할 개체가 있는 경우 결정합니다. 잘못된 개체를 발견했다는 한 가지 징후는 명명 컨텍스트의 읽기/쓰기 복사본에 개체가 없다는 것입니다.
찾고 있는 개체가 쿼리 결과에 포함되지 않은 경우 필터를 다시 사용하고 검색을 다시 실행합니다.
느린 개체를 식별한 경우 DN 및 objectGUID 특성의 값을 확인합니다. 나중에 이러한 값이 필요합니다.

개체 도메인에서 DC 식별

개체의 DN 특성 값에는 개체의 도메인이 포함됩니다. 도메인을 알고 있는 경우 도메인 내에서 DC 또는 글로벌 카탈로그 서버를 식별할 수 있습니다. 이를 위해 다음 작업을 수행하십시오.

DN 값의 dc= 부분을 확인합니다. dc= 부분을 결합하여 도메인 이름을 가져옵니다.

예를 들어 개체의 DN 값이 cn=FirstName LastName,cn=Users,dc=name1,dc=name2,dc=com인 경우 개체는 도메인에 name1.name2.com 있습니다.
이 도메인에서 DC(또는 글로벌 카탈로그 서버)를 찾으려면 Active Directory 사용자 및 컴퓨터 열고 도메인 컨테이너를 연 다음 도메인 컨트롤러 컨테이너를 엽니다.
관리자 권한 명령 프롬프트 창을 열고 를 입력합니다 repadmin /showreps dc-name.

참고

이 명령에서 dc-name 은 2단계에서 식별한 DC의 컴퓨터 이름을 나타냅니다.

이전 버전의 Windows(예: Windows Server 2003 SP1)에서는 RepAdmin을 지원 도구 중 하나로 사용할 수 있습니다.

Repadmin은 다음과 유사한 결과를 생성합니다.

Default-First-Site-Name\WS2016-DC-01 DSA 옵션: IS_GC 사이트 옵션: (없음) DSA 개체 GUID: <GUID> DSA invocationID: <invocationID>
DSA 개체 GUID의 값을 확인합니다. DC의 objectGUID 값입니다.

느린 개체 삭제

다음 메서드를 사용하여 느린 개체를 삭제합니다.

몇 가지 글로벌 카탈로그 서버에서 몇 가지 느린 개체 삭제

몇 개의 개체와 전역 카탈로그만 있는 경우 다음 단계에 따라 Ldp.exe 사용하여 개체를 삭제합니다.

엔터프라이즈 관리자 자격 증명을 사용하여 느린 개체의 복사본이 포함된 각 글로벌 카탈로그 서버에 로그인합니다.
Ldp.exe 시작하고 로컬 도메인 컨트롤러의 포트 389에 연결합니다( 서버 상자를 비워 둡니다).
연결바인딩을> 선택합니다. 모든 상자를 비워 둡니다(이미 엔터프라이즈 관리자로 로그인됨).
수정 찾아보기를> 선택합니다.
수정 대화 상자에서 다음 항목을 구성합니다.
1. Dn 상자를 비워 둡니다.
2. 특성 상자에 RemoveLingeringObject를 입력합니다.
3. 값 상자에 다음 형식을 사용하는 값을 입력합니다.
  
  <GUID=dcGUID>: <GUID=objectGUID>
  
  이 값에서 dcGUID 는 이 섹션의 2단계에서 식별한 DC의 GUID를 나타내고 objectGUID 는 이 섹션의 1단계에서 식별한 느린 개체의 GUID를 나타냅니다.
  
  값은 다음과 유사합니다.
  
  <GUID=<GUID>>: <GUID=<GUID>>
  
  중요
  
  값에서 콜론 앞과 뒤의 공백을 생략하지 마세요.
4. 작업>바꾸기를 선택한 다음, Enter 키를 선택합니다.
  
  항목 목록 상자에 전체 명령이 표시됩니다.
5. 실행을 선택합니다.
  
  결과는 기본 Ldp 창에 표시되며 다음과 유사합니다.
  
  수정 호출... ldap_modify_s(ld, '(null)',[1] attrs); 수정된 ""입니다.

여러 글로벌 카탈로그 서버에서 많은 수의 느린 개체를 삭제합니다.

많은 수의 느린 개체를 삭제해야 하는 경우 스크립트를 수동으로 삭제하는 것보다 더 효율적으로 삭제할 수 있습니다. 이러한 스크립트를 빌드하려면 다음 단계를 사용합니다.

새 폴더를 만들고 해당 폴더에서 다음 이름을 가진 새 파일을 만듭니다.
- Walkservers.cmd
- Walkobjects.cmd
- Modifyrootdse.vbs
- Server-list.txt
- Object-list.txt 파일
다음 텍스트를 Walkservers.cmd 붙여넣습니다.
```
for /f %%j in (server-list.txt) do walkobjects %%j
```

다음 텍스트를 Walkobjects.cmd 붙여넣습니다.

for /f "delims=@" %%i in (object-list.txt) do cscript //NoLogo MODIFYROOTDSE.VBS %1 "%%i" >>update-%1.log

다음 텍스트를 Modifyrootdse.vbs 붙여넣습니다.

'********************************************************************
'*
'* File: MODIFYROOTDSE.VBS
'* Created: January 2002
'* Version: 1.0
'*
'* Main Function: Writes Active Directory information to clean up
'* objects as per: Q314282.
'* Usage: Modifyrootdse.vbs <TargetServer> <GUID PAIR>
'* Parameter are fed into the script using a pair of batch files.
'*
'* Copyright (C) 2002 Microsoft Corporation '*
'********************************************************************
OPTION EXPLICIT
ON ERROR RESUME NEXT

Dim objDomain
Dim ObjValue, strServerName, adsLdapPath
Dim i

'Get the command-line arguments

if Wscript.arguments.count <> 2 Then
    Print "Invalid Number of Parameters. Use with WalkServers.CMD and WalkObjects.CMD"
    WScript.quit
End If

strServerName = Wscript.arguments.item(0)
ObjValue = Wscript.arguments.item(1)

adsLdapPath = "LDAP://" & strServerName & "/RootDSE"

Set objDomain = GetObject(adsLdapPath)
    If Err.Number <> 0 Then
    WScript.Echo "Error opening ROOTDSE. Error number is: " & Err.Number & ". Error description is: " & Err.Description & "."
    Set objDomain = Nothing
    WScript.quit
End If

objDomain.Put "RemoveLingeringObject", ObjValue
objDomain.Setinfo

If Err.Number = 0 Then
    WScript.Echo "Object " & ObjValue & " was removed."
Else
    WScript.Echo "Object " & ObjValue & " could not be removed. Error number is: " & Err.Number & ". Error description is: " & Err.Description & "."
End If

WScript.Quit

참고

Modifyrootdse.vbs 수동으로 시작하는 경우 공백이 포함된 매개 변수를 따옴표로 묶습니다.

느린 개체를 포함하는 전역 카탈로그 서버 및 DC의 모든 정규화된 도메인 이름 목록을 만든 다음 목록을 Server-list.txt 붙여넣습니다. DNS 접미사 검색을 방지하려면 정규화된 도메인 이름을 사용합니다.
느린 각 개체에 대해 느린 개체의 복사본이 없는 개체 도메인의 DC를 식별합니다. 일반적으로 느린 개체를 수동으로 삭제하는 읽기/쓰기 명명 컨텍스트가 있는 DC입니다. 이 문서의 다른 곳에서 설명한 대로 RepAdmin을 사용하여 각 DC의 objectGUID 값을 가져옵니다.
Object-list.txt 다음 형식을 사용하여 GUID 쌍 목록을 만듭니다.

<GUID=dcGUID>: <GUID=objectGUID>

참고

이 값에서 dcGUID 는 느린 개체의 복사본이 없는 DC의 GUID를 나타내고 objectGUID 는 느린 개체의 GUID를 나타냅니다.

각 쌍은 다음과 유사합니다.

<GUID=<GUID>>: <GUID=<GUID>>

중요

값에서 콜론 앞과 뒤의 공백을 생략하지 마세요.
Walk-servers.cmd 파일을 실행합니다.

Server-list.txt 나열된 각 DC 또는 글로벌 카탈로그 서버에 대해 스크립트는 Update-server-name.log 이라는 로그 파일을 생성합니다. 각 로그 파일에는 삭제할 각 개체에 대한 줄이 포함되어 있습니다.

나열된 모든 서버에 느린 개체가 없을 수 있으므로 로그 파일의 오류가 반드시 문제를 나타내는 것은 아닙니다. 그러나 양식 작업의 오류 메시지가 거부되거나작업 오류가 발생하면 GUID 또는 값 구문에 문제가 있음을 나타냅니다. 이러한 오류가 발생하면 다음을 확인합니다.

DC GUID가 개체를 포함하는 도메인의 읽기/쓰기 명명 컨텍스트를 포함하는 도메인 컨트롤러에 대한 올바른 GUID인지 확인합니다.
개체 GUID가 읽기 전용 명명 컨텍스트(글로벌 카탈로그 서버 또는 RODC)에서 느린 개체를 식별하는지 확인합니다.

환경에서 많은 느린 개체를 수정하기 위해 Walkservers.cmd 실행할 때 오류 발생

개체 <GUID=<GUID>> : <GUID=<GUID>> 를 제거할 수 없습니다. 오류 번호는 -2147016672. 오류 설명은 입니다.

이 오류의 원인

이 오류는 스크립트가 느린 개체를 포함하는 명명 컨텍스트에 해당하는 읽기/쓰기 명명 컨텍스트를 포함하지 않는 DC의 GUID에 대해 실행되는 경우에 발생합니다. Ldp.exe 도구에서 느린 개체의 위치를 확인합니다.

예제

다음 예제에서 제거할 느린 개체는 corp.company.local 도메인에 있습니다. 그러나 Objects-list.txt 파일의 <GUID=<GUID>> 항목은 company.local 도메인에 있는 DC와 연결됩니다. 이 DC에는 corp.company.local 도메인에 대한 읽기/쓰기 명명 컨텍스트가 없습니다.

다음 검색은 동일한 사용자(Joe)를 나타내는 여러 개체를 생성하고 해당 objectGUID 값을 나열합니다.

ldap_search_s(ld, "DC=company,DC=local", 2, "(cn=User*)", attrList, 0, &msg) 결과 <0>: (null)
일치하는 DN:
4개 항목 가져오기:
>> Dn: CN=User, Joe,OU=Exec,OU=Corporate Users,DC=corp,DC=company,DC=local
1> canonicalName: corp.company.local/Corporate Users/Exec/User, Joe;
1> cn: 사용자, 조; 1> 설명: CEO;
1> displayName: User, Joe; 1> distinguishedName: CN=User, Joe,OU=Exec,OU=Corporate Users,DC=corp,DC=company,DC=local; 4> objectClass: top; person; organizationalPerson; user;
1> objectGUID: <GUID>; 1> 이름: User, Joe;
>> Dn: CN=User, Joe,OU=Migration,DC=corp,DC=company,DC=local 1> canonicalName: corp.company.local/Migration/User, Joe;
1> cn: User, Joe;
1> 설명: 사용 안 함 계정; 1> displayName: User, Joe; 1> distinguishedName: CN=User, Joe,OU=Migration,DC=corp,DC=company,DC=local;
4> objectClass: top; person; organizationalPerson; user;
1> objectGUID: <GUID>;
1> 이름: User, Joe;

이 예제에서는 corp.company.local 도메인에 CORP-DC-01이라는 DC가 있다고 가정합니다. 명령을 repadmin /showreps CORP-DC-01 실행하면 objectGUID 값 <GUID>가 생성됩니다. 이 GUID는 Objects-list.txt 파일의 이전 GUID를 대체합니다. 이 느린 개체에 대한 항목은 이제 다음과 같이 표시됩니다.

<GUID=<GUID>> : <GUID=<GUID>>

첫 번째 GUID는 corp.company.local 도메인에 있는 도메인 컨트롤러의 GUID입니다. 두 번째 GUID는 느린 개체의 GUID입니다. 이 변경 후 Walk-servers.cmd 스크립트가 성공적으로 실행됩니다.

환경에서 느린 개체를 제거할 때 오류 메시지 87

이 오류는 개체가 명명 컨텍스트를 호스트하는 모든 DC에 실제로 나타나지 않지만 repadmin /removelingeringobjects 제거하지 않는 경우에 발생할 수 있습니다. 이는 허브 DC가 전역 카탈로그 서버를 사용하여 만든 새 개체를 복제하지만 자체 도메인의 읽기/쓰기 복제본(replica) DC를 사용하지 않는 상황이 될 수 있습니다.

이 오류는 다음 두 가지 경우에만 반환됩니다.

개체가 참조 DC에 있습니다.
개체가 너무 어리기 때문에(현재 TSL 값에 비해) 남아 있지 않습니다.

두 번째 사례의 예는 다음 메타데이터가 있는 글로벌 카탈로그 서버를 고려합니다.

Loc.USN 원본 DC Org.USN Org.Time/Date Ver 특성
======= =============== ========= ============= === =========
143543261 d20f71f3-6147-4f80-a0c2-470541ef09e6 104742409 <DateTime> objectClass
RW-복제본(replica) 최신 상태 벡터: d20f71f3-6147-4f80-a0c2-470541ef09e6 @ USN 104583382 @ Time <DateTime>
GC의 최신 상태 벡터: d20f71f3-6147-4f80-a0c2-470541ef09e6 @ USN 104762881 @ Time <DateTime>

이 경우 DC는 자체 도메인의 DC를 사용하여 복제가 실패하기 시작한 후에도 개체를 만들었지만 다른 도메인의 글로벌 카탈로그 서버와 함께 복제됩니다.

이 문제를 resolve 위해 이러한 개체가 실제 느린 개체(TSL 이후의 개체)가 되도록 한 다음, 이 문서의 스크립트를 사용하여 제거합니다. 데이터가 계속 복제되도록 하려면 포리스트의 모든 DC에서 분기 및 손상된 파트너와 복제 허용 을 설정합니다.

이러한 메서드를 사용하여 로그 파일의 오류를 resolve 수 없는 경우 다른 문제가 발생할 수 있습니다. 추가 지원을 받으려면 Microsoft 제품 지원 서비스에 문의하세요.

데이터 수집

Microsoft 지원의 지원이 필요한 경우 Active Directory 복제 문제에 TSS를 사용하여 정보 수집에 설명된 단계에 따라 정보를 수집하는 것이 좋습니다.