AD reparieren

[chris4711 10]

Tagchen zusammen,

da ich ehrlich gesagt nicht mehr so wirklich weiter weiß hoffe ich das mir vielleicht jemand helfen kann.

 

Ich habe einen Server 2003 RC2 mit einer defekten Active Directory und wollte eine semantische Datenbankanalyse durchführen.

Nun hatte ich mich für die Reparatur strikt ans Handbuch, sprich die KB gehalten um die Reparatur durchzuführen.

 

Was habe ich getan/probiert:

den Server gebootet und über F8 in Verzeichnisdienst wiederherstellen.

Sobald die Windowsanmeldung kommt versucht das Administratorpasswort einzugeben, allerdings wird dies nicht angenommen.

 

Dann Server neu gebootet und über ntdsutil und set DSRM password ein neues Passwort gesetzt.

Wieder Reboot und in die Verzeichnisdienst Wiederherstellung, allerdings akzeptiert er das Paswort schon wieder nicht und ich kann mich am Server nicht anmelden.

Nun stehe ich vor dem Problem, dass ich die AD nicht reparieren kann.

 

Kann es vielleicht sein, dass das DSRM Passwort nicht leer sein oder Sonderzeichen enthalten darf?

Wenn nein, wie könnte ich noch daran kommen, dass ich mich im Verzeichnisdienst Wiederherstellungsmodus anmelden kann?

 

Danke schon mal für Tipps.

 

Gruß

Chris

[randy 10]

hast du mal ältere Kennwörter probiert ?!

Leer darf das Kennwort sicher nicht sein.

 

Ich würde um Probleme mit Sonderzeichen oder so zu vermeiden in der Situation ein ganz einfaches Passwort verwenden.

[chris4711 10]

nö bringt leider nichts.

Ich komm so nicht in die Verzeichnisswiederherstellung rein *grml*

 

Was extrem seltsam ist, das nach dem Drücken von F8 er automatisch schreibt das er was repariert, man aber nicht sieht was er macht, nichts eintippen oder auswählen kann, sondern danach einfach nur die Anmeldung bringt.

 

..und dort komme ich leider auch nicht weiter.

[NilsK 2.789]

Moin,

 

faq-o-matic.net Warum passiert bei der Verzeichnisdienstwiederherstellung nichts?

 

Das DSRM-Kennwort gilt für den DSRM-Administrator mit dem Kontennamen "Administrator". Es ist nicht der Domänenadmin.

 

Gruß, Nils

[chris4711 10]

Moin moin,

keine Ahnung obs überlesen worden ist/wird:

 

Dann Server neu gebootet und über ntdsutil und set DSRM password ein neues Passwort gesetzt.

Wieder Reboot und in die Verzeichnisdienst Wiederherstellung, allerdings akzeptiert er das Paswort schon wieder nicht und ich kann mich am Server nicht anmelden.

 

Das Passwort habe ich schon mehrmals geändert mit und ohne Sonderzeichen, 6-8 Zeichen lang.

 

Aber warum auch immer sagt er mir, dass das Passwort falsch wäre.

Ich hab keine Ahnung mehr was ich mit der Kiste in diese Richtung noch machen soll, da ja alle Befehle von ntdsutil, welche die Reparatur betreffen, nur in der Verzeichnisdienst Wiederherstellung funktionieren.

 

Gruß

Chris

[NilsK 2.789]

Moin,

 

ich habe das wohl gelesen. Es ist nach deinen bisherigen Schilderungen aber nicht auszuschließen, dass der Kontenname falsch ist. Daher mein Hinweis. (Trivialitäten wie das Keyboard-Layout hast du hoffentlich geprüft?)

 

Handelt es sich um den einzigen DC der Domäne? Gibt es eine aktuelle Datensicherung?

 

Gruß, Nils

[chris4711 10]

moin moin,

ist bis jetzt alles geprüft worden.

 

Es ist nach deinen bisherigen Schilderungen aber nicht auszuschließen, dass der Kontenname falsch ist.

Was soll an administrator falsch sein? Der Name ist vorgegeben.

 

 

Handelt es sich um den einzigen DC der Domäne? Gibt es eine aktuelle Datensicherung?

Nein ist nicht der einzigste DC und eine Datensicherung ist auch vorhanden.

Wobei ein Rückspielen der Datensicherung so ziehmlich das letzte wäre was ich vorhabe.

 

Gruß

Chris

[Daim 12]

Buenos dias,

 

wenn noch weitere DCs in der Domäne existieren und es mit dem Kennwort für den DSRM nicht funktioniert (aus welchen Gründen auch immer), hast du folgende Möglichkeiten:

 

1. Versuche den DC mit DCPROMO herunterzustufen. Dann stufst du ihn erneut mit DCPROMO zum DC. Evtl. solltest du eine Neuinstallation des Servers in Erwägung ziehen. Es handelt sich schließlich um einen wichtigen Infrastrukturserver.

 

2. Wenn man den DC wegen seiner defekten AD-Datenbank nicht mit DCPROMO herunterstufen kann, versuche es mit Gewalt. Dazu entfernst du zum einen die AD-Informationen lokal auf dem DC [1] und zum anderen, bereinigst du das AD [2]. Auch in diesem Fall würde ich eine Neuinstallation des Betriebssystems in Erwägung ziehen. Danach stufst du den Server als zusätzlichen DC zur Domäne hinzu.

 

3. Wenn du mit dem Vorgang eines Restores vertraut bist, kannst du auch eine "non authoritiy" Wiederherstellung des AD durchführen. Du stellst das AD von der Sicherung wieder her und startest den DC neu. Den aktuellen Stand erhält der DC durch die AD-Replikation.

 

 

[1] LDAP://Yusufs.Directory.Blog/ - Das Active Directory gewaltsam vom DC entfernen

 

[2] LDAP://Yusufs.Directory.Blog/ - Die Metadaten des Active Directory unter Windows Server 2008 bereinigen

[NilsK 2.789]

... genau. Das ist ja der Witz an der AD-Replikation: Wenn mir einer von mehreren DCs ausfällt, brauche ich überhaupt kein Recovery, sondern ich installiere den DC neu.

 

Gruß, Nils

[Daim 12]

... genau. Das ist ja der Witz an der AD-Replikation: Wenn mir einer von mehreren DCs ausfällt, brauche ich überhaupt kein Recovery, sondern ich installiere den DC neu.

 

Kooorrrrrrekt. Das mit dem non authority Restore macht vielleicht Sinn, wenn der defekte DC alleine an einem anderen Standort steht und keine Flat WAN-Verbindung zwischen den Standorten besteht. Aber das sollte in unseren Hämisphären kein Thema sein.

 

Man könnte dann noch ab "Windows Server 2003" die IFM-Funktion nutzen, um die Erstreplikation gering zu halten.

[chris4711 10]

Ja wunderbar, das ist doch mal ne Aussage :)

 

Werd ich dann doch so in Angriff nehmen.

 

Danke.

[Robi-Wan 10]

Hallo,

 

nur nochmal als Einwurf/Frage: das Kennwort zur Verzeichniswiederherstellung gebe ich doch beim Hochstufen eines Servers zum DC separat ein und ist somit nicht das Kennwort des Domäne\Admninistrator, richtig? Ich meine, dass das so bei mir war...

 

Grüße, Robert

[NorbertFe 1.812]

Hallo,

 

nur nochmal als Einwurf/Frage: das Kennwort zur Verzeichniswiederherstellung gebe ich doch beim Hochstufen eines Servers zum DC separat ein und ist somit nicht das Kennwort des Domäne\Admninistrator, richtig? Ich meine, dass das so bei mir war...

 

Grüße, Robert

 

Korrekt. Und es sollte sicherheitshalber auch nicht das vom Domadmin sein. Und ja, solange der DC läuft kann man es jederzeit ändern. ;)

 

Bye

Norbert

[Daim 12]

Als Ergänzung: Ab Windows Server 2008 lässt sich das Kennwort für den DSRM mit einem Benutzerkonto synchronisieren. Somit hat man es mit der Verwaltung des DSRM-Kennworts einfacher.

 

Siehe:

 

LDAP://Yusufs.Directory.Blog/ - Das Kennwort vom DSRM synchronisieren