本文提供了对 DCPROMO（域控制器提升程序）发生的访问被拒绝错误的解决方案。
原始 KB 数： 2002413
现象
将 Windows Server 2008 或更高版本成员计算机升级到副本域控制器的 DCPROMO 失败，并出现以下错误：
标题：Windows 安全 消息文本：网络凭据 操作失败，因为：Active Directory 域服务安装向导无法将计算机帐户<主机名>$ 转换为Active Directory 域控制器帐户。 “访问被拒绝”
DCPROMO 降级可能会失败，并出现相同的错误：
标题：Windows 安全 消息文本：网络凭据 操作失败，因为：Active Directory 域服务无法将计算机帐户<主机名>$ 配置为远程Active Directory 域控制器帐户<完全限定的帮助程序 DC> 名称。 “访问被拒绝”
原因
用于执行 DCPROMO 的用户帐户尚未被授予“启用计算机和用户帐户以信任委派”用户权限。
解决方法
-
验证 Active Directory 中是否存在默认域控制器策略。
如果域控制器策略不存在，请评估该条件是由于简单的复制延迟、Active Directory 复制失败还是策略已从 Active Directory 中删除。 如果策略已删除，请联系Microsoft 支持部门使用默认策略 GUID（全局唯一标识符）重新创建缺少的策略。 不要使用与默认值相同的名称和设置手动重新创建策略。
如果某些域控制器上的 Active Directory 中存在默认域控制器策略，但不存在于其他域控制器上，则评估不一致是由于简单的复制延迟还是复制失败。 根据需要解决。
-
验证服务器帐户是否不受意外删除的保护。
为此，请转到 Active Directory 管理中心，在域中的计算机列表下找到服务器，打开属性。 在第一部分中，在操作系统信息下，确保 未选中“防止意外删除 ”复选框。
在提升到域控制器的过程中，删除服务器的计算机帐户，并重新添加为域控制器。 如果单击此复选框，则无法执行此操作。
-
验证用户帐户是否为默认域控制器策略中的“启用计算机和用户帐户信任委派”用户权限授予 DCPROMO 操作。
运行
whoami /all以验证用户安全令牌中是否存在“要信任的计算机和用户帐户进行委派”用户权限。注意
默认情况下，此权限授予目标域中管理员安全组的成员。 内置管理员帐户是此安全组的成员，但可能已被删除。
- 如果内置管理员组以外的用户正在执行 DCPROMO 升级，请将该用户帐户添加到管理员安全组，或者将用户帐户添加到默认域控制器策略中的“启用计算机和用户帐户以信任委派”用户权限。
- 最近修改了“为委派启用计算机和用户帐户”，或者授予 DCPROMO 用户帐户的策略存在于域中的某些域控制器上，而不是其他域控制器上，检查 Active Directory 和文件系统复制（FSR）/分布式文件系统复制（DFSR）中的简单复制延迟或复制失败。
- 如果最近修改了策略，请让 DCPROMO 用户帐户注销并登录。
-
验证默认域控制器策略是否已链接到域控制器 OU，并且所有 DC 计算机帐户都保留在该 OU 中。
如果 DC 计算机帐户保留在备用 OU 容器中，请将所有 DC 计算机帐户移动到域控制器 OU，或将默认域控制器策略链接到备用 OU 容器。
-
验证默认域控制器策略的文件系统部分是否存在于 DC 的 SYSVOL 共享中，该共享用于在正在升级或降级的计算机上应用策略。
如果不存在，则可能是因为以下一个或多个原因：
- FRS/DFSR 中的复制延迟
- FRS/DFSR 中的复制失败
- 策略已从 SYSVOL 中删除。 如果策略已删除，请联系Microsoft 支持部门使用默认策略 GUID 重新创建缺少的策略。 不要使用与默认值相同的名称和设置手动重新创建策略。
-
默认域策略或策略通常不适用于已登录用户
若要检查策略继承、Windows Management Instrumentation （WMI） 筛选或可能阻止策略应用的安全描述符问题，请运行以下命令：
gpresult /h result.html
详细信息
-
表 1。 来自升级的日志（示例）
DCPROMO。日志 DCPROMOUI。日志 [INFO]在远程 AD DC <helperDC.contoso.com> 上为此Active Directory 域控制器创建 NTDS 设置对象...[INFO]复制架构目录分区...[INFO]复制了架构容器。[INFO]Active Directory 域服务更新架构缓存。[INFO]复制配置目录分区...[INFO]复制了配置容器。[INFO]错误 - Active Directory 域服务安装向导无法将正在升级>的计算机帐户 <DC 转换为Active Directory 域控制器帐户。 (5)[INFO]EVENTLOG （错误）： NTDS 常规/内部处理：1168内部错误：Active Directory 域服务出错。其他数据错误值（十进制）：-1073741823错误值（十六进制）：c0000001内部 ID：300162a[INFO]EVENTLOG （信息性）： NTDS 常规/服务控制：1004已成功关闭 Active Directory 域服务。[INFO]a.com 的 NtdsInstall 返回 5[INFO]DsRolepInstallD 返回 5[ERROR]无法安装到目录服务 （5）[INFO]启动服务 NETLOGON[INFO]将服务 NETLOGON 配置为 2 返回 0[INFO]尝试的域控制器操作已完成[INFO]DsRolepSetOperationDone 返回 0 调用 DsRoleGetDcOperationResults错误0x0 （！0 => error）操作结果：OperationStatus：0x5 ！0 => 错误DisplayString：Active Directory 域服务安装向导无法将正在提升>的计算机帐户 <DC 转换为Active Directory 域控制器帐户。ServerInstalledSite： （null）OperationResultsFlags：0x0输入 ProgressDialog：：UpdateText Active Directory 域服务安装向导无法将正在升级>的计算机帐户 <dc 转换为Active Directory 域控制器帐户。输入 State：：SetOperationResultsMessage Active Directory 域服务安装向导无法将正在升级>的计算机帐户 <dc 转换为Active Directory 域控制器帐户。输入 State：：SetOperationResultsFlags 0x0捕获异常catch completed处理异常输入 State：：ClearHiddenWhileUnattended输入 EnableConsoleLockingEnter RegistryKey：：Create SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon输入 RegistryKey：：SetValue-DWORD DisableLockWorkstation输入 State：：SetOperationResults 结果 FAILURE输入 ProgressDialog：：UpdateText输入 State：：IsOperationRetryAllowed是凭据无效，hr=0x80070005输入 GetErrorMessage 80070005输入 State：：GetOperationResultsMessage Active Directory 域服务安装向导无法将正在提升>的计算机帐户 <dc 转换为Active Directory 域控制器帐户。输入 State：：GetOperation REPLICA输入 State：：GetReplicaDomainDNSName <目标 dns 域名> -
表 2. 降级中的日志（示例）
DCPROMO。日志 DCPROMOUI。日志 [INFO]卸载目录服务[INFO]调用 NtdsDemote...[INFO]从远程Active Directory 域控制器 <DNS 域>中删除引用本地Active Directory 域控制器的Active Directory 域服务对象...[INFO]错误 - Active Directory 域服务无法配置远程Active Directory 域控制器<帮助程序 DC 上正在降级>的计算机帐户 <dc>。<DNS 域>。 (5)[INFO]NtdsDemote 返回 5[INFO]DsRolepDemoteDs 返回 5[ERROR]无法降级目录服务 （5）.... ....OperationStatus：0x5 ！0 => 错误DisplayString：Active Directory 域服务无法在远程Active Directory 域控制器<帮助程序 DC> 上配置计算机帐户 <dc name>$ 。<dns 域>。ServerInstalledSite： （null）OperationResultsFlags：0x0输入 ProgressDialog：：UpdateText Active Directory 域服务无法在远程Active Directory 域控制器 VM1-W7.a.com 上配置计算机帐户 <dc name>$ 。输入 State：：SetOperationResultsMessage Active Directory 域服务无法在远程Active Directory 域控制器<帮助程序 DC 上配置计算机帐户 <dc> name>$ 。<DNS 域>。输入 State：：SetOperationResultsFlags 0x0...凭据无效，hr=0x80070005输入 GetErrorMessage 80070005输入 State：：GetOperationResultsMessage Active Directory 域服务无法在远程Active Directory 域控制器<帮助程序 DC 上配置计算机帐户 <dc> name>$ 。<DNS 域>。输入 State：：GetOperation DEMOTE输入 State：：GetParentDomainDnsName