Keine Active-Directory Replikation

[Howard 10]

Hallo zusammen,

 

wir haben am Wochenende an einem entferntem Standort den DC ausgetauscht. Leider läuft die Replikation des Active Directory nicht durch. Der KCC-Dienst wirft 15-minütig einige Fehlermeldung aus:

 

NTDS KCC, Konsistenzprüfung, ID 1311, nicht genügend Sitekonnektivitätsinformationen

 

NTDS KCC, Konsistenzpürung, ID 1925, 8453 Replikationszugriff verweigert

 

Ich habe dann mit DCDIAG /test:CheckSecurityError herausgefunden, dass das Computerkonto des neuen DC's im AD als "Arbeitsstation oder Server", nicht aber als "Domänencontroller" aufgeführt wird ("The account "servername" ist not a DC account. It cannot replicate.").

 

Nun suche ich nach einer Möglichkeit, die UserAccountControl auf Domänencontroller zu ändern, bzw. die AD-Replikation wieder zu laufen zu bringen ohne das der Server langen Downzeiten unterliegt (er ist nämlich auch File- und Printserver). Oder liegt das Problem noch ganz woanders?

 

EDIT:

Reicht es evtl. aus, wenn ich mit ADSIEdit den Wert für userAccountControl ändere?

 

Additional Infos:

OS: Windows Server 2003 Standard (32-bit), SP2

Dienste: DHCP, DNS, File, Print (läuft alles sauber)

Domänenfunktionsebene: Windows 2003 Server

 

Bin für jeden Tipp dankbar!

[jiminio 10]

Hi Howard.....

 

Schau mal auf allen DC`s in -> Active Directory Benutzer und Computer ob der "neue DC" im Container Domain-Controllers ist.

wenn nicht verschiebe ihn da rein....

 

ansonsten hat MS noch diese Tipps:

 

Fehlermeldung "ob Replikationszugriff verweigert wurde" treten auf, nachdem Sie einen Server für Domäne-Controller heraufstufen

 

hasta pronto

 

Jiminio

[woiza 10]

Was genau heißt ausgetauscht? Wie bist du vorgegangen?

[Howard 10]

Hi,

 

erstmal danke für die Antworten. Der neue DC ist im AD in der Gruppe Domänencontroller, auch in der entsprechenden OU. Ich habe nun mit ADSIEdit den Wert für userAccountControl geändert, nun wird in den Eigenschaften des Computerkontos der DC auch als Funktion: Domänencontroller angezeigt, hat sich auch auf die weiteren Standort schon repliziert.

 

Laut MS soll ich noch den folgenden Befehl ausführen:

 

nltest /sc_change_pwd:"domäne" und den Server neustarten (muss ich noch machen, ist halt auch ein File-Server, daher muss ich vorher den Leuten in der Niederlassung Bescheid sagen).

 

@woiza

Ich habe den bestehenden DC gegen einen neuen DC ersetzt. Den neuen DC habe ich vorab komplett installiert und konfiguriert, schon als DC promoted etc. Dann habe ich vor Ort den alten DC zum normalen Memberserver runtergestuft und ihn anschließend abgeschaltet. Der neue Server hat einen anderen FQDN als der alte DC. DNS etc. repliziert sauber, nur der KCC halt nicht.

[Howard 10]

Abschlussmeldung:

 

Nach nem Neustart hat sich das AD wie gewünscht repliziert! Jetzt läuft alles wieder :D

 

Danke für die Hilfe!

[jiminio 10]

ein neustart des "netlogon" Dienstes hätte es dann wohl auch getan ;-)

 

aber Hauptsache es lauft alles wieder.. :-)

 

hasta pronto

 

jiminio

[Howard 10]

Vermutlich, war aber ne gute Gelegenheit ein Update für die Sicherungssoftware nachzuinstallieren. Veritas will ja auch für jeden Dateiaustausch nen Neustart ;)