KDS root key auf Windows Server 2016 DC

[Werotex 10]

Hallo,

 

ich möchte gerne in meinem AD auf meinem (Primary) DC mit Windows Server 2016 gmsa Accounts anlegen.

 

Es scheitert aber bereits an der "Vorbereitung", genauer der Erstellung eines KDS root keys, denn da erhalte ich (auf deutsch) die Fehlermeldung: 

 

The process cannot access the file because it is being used by another process. ( Exception from HRESULT: 0x80070020 )

 

 

Es gibt einen MS KB Eintrag dazu mit einer Begründung und einem Fix / Update welches das Problem beseitigt ...

 

This issue occurs because KDS assumes that the domain controllers are in the Domain Controllers OU instead of a child OU of the Domain Controllers.

 

Klingt logisch. Aber da geht es immer nur um Windows 2012 (R2), ich finde aber KEIN Pendant für den Windows Server 2016 ...

 

 

Und hier direkt die Lösung:

 

Oh Mann,

 

na, gut dass das so mal "ans Licht" kam: Meine 3 DC's sind NICHT (mehr) in der OU "Domain Controllers" gewesen - nicht gut. Zurück verschoben, da ging es direkt und ich wette auch einige andere kleinere "Problemchen" sind somit plötzlich aus der Welt 🙈

 

bearbeitet 27. Mai 2021 von Werotex

[NorbertFe 2.277]

vor einer Stunde schrieb Werotex:

NICHT (mehr) in der OU "Domain Controllers" gewesen - nicht gut.

Ja und eigentlich ist das bekannt, dass man sowas nicht tut. Gut, dass du den Fehler gefunden hast, denn sowas im Forum zu lösen wird leicht sehr anstrengend. ;)

[daabm 1.428]

Trägt zwar nichts zur Situation bei, aber warum sollte eine Lösung, die für 2012R2 gilt, bei 2016 plötzlich "aus der Welt" sein? An AD hat sich seit 2008 nicht so viel grundlegendes verändert...

[Werotex 10]

Moin,

 

weil da NICHT (alternativ) irgendwelche Einstellungen / Registry Einträge etc. zu bearbeiten sind für diese Lösung sondern ein Download gemacht werden muss mit einem (KB) Update / Fix. Beim Update selbst steht dann, geeignet für 2012 (R2), nichts von späteren Serverversionen, obwohl diese ja anscheinend immer noch NICHT (optional) außerhalb der OU "domain controllers" nach eben diesen suchen.

 

Da ist man am DC bzw. mit dem AD dann schon etwas vorsichtig, da nicht noch mehr zu verbasteln ?? Zugegeben, die "Vorsicht" war auch NICHT gegeben als man die Server aus der OU verschoben hat ...

 

Ansonsten klar, ganz ausgeschlossen ist es auch NICHT, dass das Update dennoch auch für spätere Serverversionen funktioniert ...

 

 

[NorbertFe 2.277]

vor 34 Minuten schrieb Werotex:

Ansonsten klar, ganz ausgeschlossen ist es auch NICHT, dass das Update dennoch auch für spätere Serverversionen funktioniert ...

Doch, sonst stünde da die entsprechende Version dabei. ;)

[daabm 1.428]

vor 9 Stunden schrieb Werotex:

weil da NICHT (alternativ) irgendwelche Einstellungen / Registry Einträge etc. zu bearbeiten sind für diese Lösung sondern ein Download gemacht werden muss mit einem (KB) Update / Fix.

 

 

Aaah - sorry, mea culpa. Ich hab nur registriert "ok, DCs nicht in DC-OU -> zurückschieben, gelöst". Ich hab nicht mehr realisiert, daß MS da tatsächlich einen Fix dafür gebaut hat :-(