Active Directory 复制错误 -2146893022 (0x80090322) ：目标主体名称不正确

本文介绍如何排查 Active Directory 复制失败并生成错误的问题 (-2146893022：) 目标主体名称不正确。

适用于： Windows Server (所有受支持的版本)
原始 KB 编号： 2090913

摘要

当源域控制器不解密目标 (目标) 域控制器提供的服务票证时，会发生此错误。

首要原因

目标域控制器从 Kerberos 密钥分发中心 (KDC) 接收服务票证。 KDC 具有源域控制器的旧版密码。

最高分辨率

1. 停止目标域控制器上的 KDC 服务。 若要执行此操作，请在命令提示符处运行以下命令：

   net stop KDC
   

2. 从源域控制器在目标域控制器上启动复制。 使用 AD 站点和服务或 Repadmin。

   使用 repadmin：

   Repadmin /replicate destinationDC sourceDC DN_of_Domain_NC
   

   例如，如果在 上 ContosoDC2.contoso.com复制失败，请在 上 ContosoDC1.contoso.com运行以下命令：

   Repadmin /replicate ContosoDC2.contoso.com ContosoDC1.contoso.com "DC=contoso,DC=com"
   

3. 运行以下命令，在目标域控制器上启动 Kerberos KDC 服务：

   net start KDC
   

如果它不能解决问题，请参阅 解决方法 部分，了解使用 netdom resetpwd 命令重置源域控制器的计算机帐户密码的替代解决方案。 如果这些步骤无法解决问题，请查看本文的其余部分。

症状

出现此问题时，会出现以下一个或多个症状：

• DCDIAG 报告 Active Directory 复制测试失败并返回错误 -2146893022：目标主体名称不正确。

  [复制检查、<DC 名称>] 最近的复制尝试失败：
  从 <源 DC> 到 <目标 DC>
  命名上下文： <目录分区的 DN 路径>
  复制生成错误 (-2146893022) ：
  目标主体名称不正确。
  失败发生在 <日期><时间>。
  上次成功发生在 <日期><时间>。
  <自上次成功以来，发生了 X> 失败。

• Repadmin.exe 报告复制尝试失败，并报告状态 -2146893022 (0x80090322) 。

  Repadmin 通常指示 -2146893022 (0x80090322) 状态的命令包括但不限于以下命令：

  • REPADMIN /REPLSUM

  • REPADMIN /SHOWREPL

  • REPADMIN /SHOWREPS

  • REPADMIN /SYNCALL

    和 REPADMIN /SHOWREPSREPADMIN /SYNCALL 的示例输出指示 目标主体名称不正确 ，错误如下所示：

    c:\> repadmin /showreps  
    <site name>\<destination DC>
    DC Options: IS_GC
    Site Options: (none)
    DC object GUID: <NTDS settings object object GUID>
    DChttp://bemis/13/Pages/2090913_en-US.aspx invocationID: <invocation ID string>
    
    ==== INBOUND NEIGHBORS ======================================
    
    DC=<DN path for directory partition>
         <site name>\<source DC via RPC
             DC object GUID: <source DCs ntds settings object object guid>
             Last attempt @ <date> <time> failed, result -2146893022 (0x80090322):
    The target principal name is incorrect.
             <X #> consecutive failure(s).
             Last success @ <date> <time>.
    
    c:\> repadmin /syncall /Ade
    Syncing all NC's held on localhost.
    Syncing partition: DC=<Directory DN path>
    CALLBACK MESSAGE: Error contacting server CN=NTDS Settings,CN=<server name>,CN=Servers,CN=<site name>,CN=Sites,CN=Configuration,DC=<forest root domain> (network error): -2146893022 (0x80090322):
    

• Active Directory 站点和服务中的 “立即复制 ”命令返回以下错误消息：
  目标主体名称不正确

  右键单击源 DC 中的连接对象，然后选择“ 复制”现在 失败。 屏幕上的错误消息如下所示：

  对话框标题文本：立即复制
  对话框消息文本：尝试联系域控制器 <源 DC 名称>期间发生以下错误：
  目标主体名称不正确
  对话框中的按钮：确定

  • NTDS 知识一致性检查器 (具有 -2146893022 状态的 KCC) 、NTDS 常规或 Microsoft-Windows-ActiveDirectory_DomainService 事件记录在目录服务事件日志中。

    通常引用 -2146893022 状态的 Active Directory 事件包括但不限于以下事件：

    事件源	事件 ID	事件字符串
    NTDS 复制	1586	使用 PDC 模拟器主机的 Windows NT 4.0 或更低版本的复制检查点失败。 如果在下一个成功检查点之前将 PDC 模拟器主角色转移到本地域控制器，则可能会将安全帐户管理器 (SAM) 数据库完全同步到运行 Windows NT 4.0 及更早版本的域控制器。
    NTDS KCC	1925	尝试为以下可写目录分区建立复制链接失败。
    NTDS KCC	1308	知识一致性检查器 (KCC) 检测到连续尝试使用以下域控制器进行复制时一直失败。
    Microsoft-Windows-ActiveDirectory_DomainService	1926	尝试建立指向具有以下参数的只读目录分区的复制链接失败
    NTDS 站点间消息传送	1373	站点间消息传送服务无法通过以下传输接收以下服务的任何消息。 消息查询失败。

原因

-2146893022\0x80090322\SEC_E_WRONG_PRINCIPAL 错误代码不是 Active Directory 错误。 对于不同的根本原因，以下下层组件可能会返回它：

• RPC
• Kerberos
• SSL
• Lsa
• NTLM

Windows 代码映射到 -2146893022 0x80090322\SEC_E_WRONG_PRINCIPAL\的 Kerberos 错误包括：

• KRB_AP_ERR_MODIFIED (0x29/41 个小数/KRB_APP_ERR_MODIFIED)
• KRB_AP_ERR_BADMATCH (0x24h/36 decimal/“票证和验证器不匹配”)
• KRB_AP_ERR_NOT_US (0x23h/35 小数/“票证不适合我们”)

-2146893022 0x80090322\SEC_E_WRONG_PRINCIPAL\的一些特定根本原因包括：

• DNS、WINS、HOST 或 LMHOST 文件中的名称到 IP 映射错误。 它导致目标域控制器连接到不同 Kerberos 领域的错误源域控制器。

• KDC 和源域控制器具有不同版本的源域控制器的计算机帐户密码。 因此，Kerberos 目标计算机 (源域控制器) 无法解密 Kerberos 客户端 (目标域控制器) 发送的 Kerberos 身份验证数据。

• KDC 找不到要查找源域控制器的 SPN 的域。

• Kerberos 加密帧中的身份验证数据由硬件 (包括网络设备) 、软件或攻击者修改。

解决方案

• dcdiag /test:checksecurityerror在源 DC 上运行

  由于简单的复制延迟（尤其是在升级或复制失败之后），SPN 可能缺失、无效或重复。

  重复的 SPN 可能会导致名称映射出现错误 SPN。

  DCDIAG /TEST:CheckSecurityError对于缺少或重复的 SPN 和其他错误，可以检查。

  在出站复制失败并出现 SEC_E_WRONG_PRINCIPAL 错误的所有源域控制器的控制台上运行此命令。

  可以使用以下语法针对特定位置检查 SPN 注册：

  dcdiag /test:checksecurityerror replsource:<remote dc>
  

• 验证 Kerberos 加密的网络流量是否已到达预期的 Kerberos 目标 (名称到 IP 的映射)

  请考虑以下情况：

  • 入站复制 Active Directory 目标域控制器在目录的本地副本中搜索源域控制器 NTDS 设置对象的 objectGUID。

  • 域控制器在活动 DNS 服务器中查询匹配的 DC GUIDED CNAME 记录。 然后，它映射到包含源域控制器的 IP 地址的主机 A/AAAA 记录。

    在此方案中，Active Directory 运行名称解析回退。 它包括在 DNS 中查询完全限定的计算机名称或 WINS 中的单标签主机名。

    注意

    DNS 服务器还可以在回退方案中执行 WINS 查找。

以下情况都可能导致目标域控制器将 Kerberos 加密的流量提交到错误的 Kerberos 目标：

• 过时的 NTDS 设置对象
• DNS 和 WINS 主机记录中的名称到 IP 映射错误
• HOST 文件中的过时条目

若要针对这种情况检查，请进行网络跟踪或手动验证名称 DNS/NetBIOS 名称查询是否解析为目标计算机。

方法 1：网络跟踪方法 (网络监视器 3.3.1641 通过启用完全默认分析程序)

下表显示了目标 DC1 入站从源 DC2 复制 Active Directory 目录时发生的网络流量的概要。

方法 2：名称到 IP 映射验证 (而不使用网络跟踪)

在源域控制器的控制台中：

从目标 DC 的控制台：

由于密码不匹配，Kerberos 目标无法解密经过 Kerberos 身份验证的数据。

如果源域控制器的密码在 KDC 和源域控制器的 Active Directory 目录副本之间不同，则可能会出现此问题。 如果目标域控制器未将自身用作 KDC，则源域控制器计算机帐户密码的副本可能已过时。

复制失败可能会阻止域控制器具有给定域中域控制器的当前密码值。

每个域控制器为其域运行 KDC 服务。 对于同一领域事务，目标域控制器倾向于从自身获取 Kerberos 票证。 但是，它可能会从远程域控制器获取票证。 引荐用于从其他领域获取 Kerberos 票证。

在 NLTEST /DSGETDC:<DNS domain of target domain> /kdc 靠近 SEC_E_WRONG_PRINCIPAL 错误的提升命令提示符下运行的命令可用于快速识别 Kerberos 客户端的目标 KDC。

确定 Kerberos 客户端从哪个域控制器获取票证的最终方法是进行网络跟踪。 网络跟踪中缺少 Kerberos 流量可能表示：

• Kerberos 客户端已获取票证。
• 它从自己网上取票。
• 网络跟踪应用程序未正确分析 Kerberos 流量。

可以使用 命令在提升的命令提示符下清除已登录用户帐户的 KLIST purge Kerberos 票证。

可以使用 清除 Active Directory 复制所使用的系统帐户的 Kerberos 票证，而无需重启 KLIST -li 0x3e7 purge。

域控制器可以通过停止本地或远程域控制器上的 KDC 服务来使用其他域控制器。

用于REPADMIN /SHOWOBJMETA检查源域控制器的 dBCSPwd、UnicodePWD、NtPwdHistory、PwdLastSet、lmPwdHistory) 源域控制器和目标域控制器 Active Directory 目录副本中与密码相关的 (属性的明显版本号差异。

C:\>repadmin /showobjmeta <source DC> <DN path of source DC computer account>

C:\>repadmin /showobjmeta <KDC selected by destination DC> <DN path of source DC computer account>

在需要密码重置的域控制器主机上，在提升的命令提示符下运行的 netdom resetpwd /server:<DC to direct password change to> /userd:<user name> /passwordd:<password> 命令可用于重置域控制器计算机帐户密码。

排查特定方案问题

• 重现导致目标域控制器从错误源中拉取的错误主机到 IP 映射的步骤。

  1. 在contoso.com域中升级 \\dc1 + \\DC2 + \\DC3。 端到端复制不会出错。

  2. 停止 \\DC1 和 \\DC2 上的 KDC，以强制在网络跟踪中观察到的开箱即用 Kerberos 流量。 端到端复制不会出错。

  3. 为 \\DC2 创建一个主机文件条目，该条目指向远程林中 DC 的 IP 地址。 它是在主机 A/AAAA 记录中模拟错误的主机到 IP 映射，或者可能是目标域控制器的 Active Directory 目录副本中过时的 NTDS Settings 对象。

  4. 在 \\DC1 的控制台上启动 Active Directory 站点和服务。 在 \\DC2 中右键单击 \\DC1 的入站连接对象 ，并注意 目标帐户名称不正确 复制错误。

• 重现 KDC 与源域控制器之间源域控制器密码不匹配的步骤。

  1. 在contoso.com域中升级 \\dc1 + \\DC2 + \\DC3。 端到端复制不会出错。

  2. 停止 \\DC1 和 \\DC2 上的 KDC，以强制在网络跟踪中观察到的开箱即用 Kerberos 流量。 端到端复制不会出错。

  3. 在 KDC \\DC3 上禁用入站复制以模拟 KDC 上的复制失败。

  4. 在 \\DC2 上重置计算机帐户密码三次或多次，以便 \\DC1 和 \\DC2 都具有 \\DC2 的当前密码。

  5. 在 \\DC1 的控制台上启动 Active Directory 站点和服务。 从 \\DC2 右键单击 \\DC1 的入站连接对象，并注意 目标帐户名称不正确 复制错误。

• DS RPC 客户端日志记录

  设置 NTDS\Diagnostics Loggings\DS RPC Client = 3。 触发复制。 查找任务类别事件 1962 + 1963。 请注意目录服务字段中列出的完全限定cname的 。 目标域控制器应能够 ping 此记录，并将返回的地址映射到源 DC 的当前 IP 地址。

• Kerberos 工作流

  Kerberos 工作流包括以下操作：

  • 客户端计算机调用 IntializeSecurityContext 函数 ，并指定协商安全支持提供程序 (SSP) 。

  • 客户端使用其 TGT 联系 KDC，并请求目标域控制器的 TGS 票证。

  • KDC 在全局编录中搜索目标域控制器领域的源 (351 或主机名) 。

  • 如果目标域控制器位于目标域控制器的域中，则 KDC 会向客户端提供服务票证。

  • 如果目标域控制器位于其他领域，KDC 会向客户端提供引荐票证。

  • 客户端联系目标域控制器域中的 KDC 并请求服务票证。

  • 如果源域控制器的 SPN 在域中不存在，则会收到 KDC_ERR_S_PRINCIPAL_UNKNOWN 错误。

  • 目标域控制器联系目标并出示其票证。

  • 如果目标域控制器拥有票证中的名称并可以对其进行解密，则身份验证有效。

  • 如果目标域控制器托管 RPC 服务器服务 UUID，则在线 Kerberos KRB_AP_ERR_NOT_US 或 KRB_AP_ERR_MODIFIED 错误将重新映射到以下错误：

    -2146893022 decimal / 0x80090322 / SEC_E_WRONG_PRINCIPAL / “目标主体名称不正确”

数据收集

如果需要 Microsoft 支持方面的帮助，建议按照 使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。