Active Directory 安装在创建 NTDS 设置对象阶段停止

  • 项目

本文提供了 Active Directory 安装失败并出现错误的问题的解决方案：在远程 AD DC 上为此Active Directory 域控制器创建 NTDS 设置对象。

适用于：Windows Server 2012 R2、Windows Server 2016、Windows Server 2019
原始 KB 编号： 2737935

症状

使用 服务器管理器 或 AddsDeployment Windows PowerShell 模块在 Windows Server 中启动 Active Directory 安装后，安装会在收到以下消息的阶段停止：

在远程 AD DC dc1-full.corp.contoso.com 上为此Active Directory 域控制器创建 NTDS 设置对象

无论等待多长时间，安装都不会超过此时间点。 此外，检查目录服务事件日志时，会看到以下重复事件：

  • 事件 1

    日志名称：目录服务
    来源：Microsoft-Windows-ActiveDirectory_DomainService
    日期： <DateTime>
    事件 ID： 1963
    任务类别：DS RPC 客户端
    级别：错误
    关键字：经典
    用户：匿名登录
    计算机：dc2-full
    说明:
    内部事件：以下本地目录服务收到来自远程过程调用的异常， (RPC) 连接。 请求了大量 RPC 信息。 这是中间信息，可能不包含可能的原因。

    进程 ID： 556 报告的错误信息：
    错误值：
    找不到此域的域控制器。 (1908)
    目录服务：
    dc1-full.corp.contoso.com

    大量错误信息：
    错误值：
    发生特定于安全包的错误。 1825
    目录服务：
    DC2-FULL

    其他数据内部 ID：5000dfc

  • 事件 2

    日志名称：目录服务
    来源：Microsoft-Windows-ActiveDirectory_DomainService
    日期： <DateTime>
    事件 ID： 1962
    任务类别：DS RPC 客户端
    级别：错误
    关键字：经典
    用户：匿名登录
    计算机：dc2-full
    说明:
    内部事件：本地目录服务从远程过程调用收到异常， (RPC) 连接。 扩展错误信息不可用。

    目录服务：
    dc1-full.corp.contoso.com

    其他数据
    错误值：
    找不到此域的域控制器。 (1908)

  • 事件 3

    日志名称：目录服务
    来源：Microsoft-Windows-ActiveDirectory_DomainService
    日期： <DateTime>
    事件 ID： 1125
    任务类别：设置
    级别：错误
    关键字：经典
    用户：匿名登录
    计算机：dc2-full
    说明:
    Active Directory 域服务安装向导 (Dcpromo) 无法与以下域控制器建立连接。

    域控制器：
    dc1-full.corp.contoso.com

    其他数据
    错误值：
    1908 找不到此域的域控制器。

原因

出现此问题的原因有以下一个或多个：

  • 服务器的内置管理员帐户的密码与内置域管理员帐户相同。
  • 未提供 NetBIOS 域前缀或 UPN 作为安装凭据。 相反，仅提供了用户名 Administrator 。

解决方案

若要解决此问题，请按照下列步骤操作：

  1. 重启无法安装 Active Directory 的服务器。
  2. 在现有域控制器上使用 Dsa.msc 或 Dsac.exe 删除失败服务器的计算机帐户。 (域控制器尚不是域控制器对象，而只是成员 server。) 然后，让 Active Directory 复制聚合。
  3. 在发生故障的服务器上，使用系统属性控制面板项或 netdom.exe 强行从域中删除服务器。
  4. 在发生故障的服务器上，使用 服务器管理器 或 Uninstall-WindowsFeature删除 Active Directory 域服务 (AD DS) 角色。
  5. 重启失败的服务器。
  6. 安装 AD DS 角色，然后再次尝试升级。 执行此操作时，请确保以域\user 或 user@domain.tld的形式提供促销凭据。

更多信息

这是Windows Server 2012和后期的代码缺陷。

如果在两个管理员帐户上设置了不同的密码，但未提供域，则会收到错误密码错误。

不建议使用内置管理员进行域管理。 相反，我们建议为环境中的每个管理员创建新的域用户。 然后，可以单独审核管理员的操作。

我们强烈建议你不要在成员服务器和域管理员帐户上使用匹配的管理员密码。 本地密码比 AD DS 帐户更容易泄露，并且知道匹配的管理员密码会授予完全的企业管理访问权限。