不会复制孤立的子域控制器 - Windows Server

本文提供了一个解决方案，用于解决无法将孤立的子域控制器复制到其他域控制器的问题。

适用于： 所有受支持的 Windows Server 版本原始 KB 编号： 887430

现象

基于 Windows Server 的子域从林的其余部分孤立Microsoft。 此子域可以接收父（根）域中域控制器复制的更改，但根域中的域控制器或任何其他子域中的域控制器都不知道受影响的子域中的域控制器。

当管理员尝试从另一个域中查看孤立子域中的域控制器时，不会显示任何域控制器。 例如，以下配置命名上下文中未显示任何域控制器： CN=Servers，CN=Site_Name，CN>=Sites，CN=Configuration，DC=<Domain_Name，DC>=com<

在这种情况下，<Site_Name>是孤立域控制器所在的站点，<**Domain_Name>**是林根域的名称。

原因

如果子域从父域孤立，则可能会出现此问题。

解决方法

重要

请认真遵循本部分所述的步骤。 如果注册表修改不正确，可能会发生严重问题。 在修改注册表之前，请备份注册表，以便在出现问题时可以还原。

若要解决此问题，必须创建复制链接，然后启用单向身份验证，而不是双向身份验证。 为此，请按照下列步骤进行操作：

1. 在根域中的域控制器上，添加 复制器允许 SPN 回退 注册表值。 为此，请对域控制器执行以下步骤。

   1. 选择“开始**>运行”**，然后输入 regedt32。
   2. 选择以下注册表子项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
   3. 选择“编辑>新> DWORD 值”。
   4. 输入 复制器允许 SPN 回退。
   5. 在右窗格中，双击复制器“允许 SPN 回退”，在“值”数据框中键入 1，然后选择“确定”。
   6. 重新启动域控制器。

2. 打开命令提示符窗口，并运行以下命令：

   repadmin /options fully_qualified_domain_name_(FQDN)_of_the_root_domain_controller +DISABLE_NTDSCONN_XLATE  
   repadmin /add CN=Configuration,DC=Domain_Name,DC=Domain_Name FQDN_of_the_root_domain_controller FQDN_of_the_child_domain_controller  
   repadmin /showreps
   

   应为子域控制器中的配置命名上下文显示成功的传入连接。

   注意

   有关Repadmin.exe工具的信息，请参阅 使用 Repadmin 监视和排查 Active Directory 复制问题。

3. 在命令提示符处运行以下命令： repadmin /options FQDN_of_the_root_domain_controller -DISABLE_NTDSCONN_XLATE

4. 删除复制程序允许 SPN 回退注册表项。 为此，请按照下列步骤进行操作：

   1. 启动注册表编辑器，然后选择以下注册表子项：

      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

   2. 右键单击复制程序“允许 SPN 回退”，选择“删除**”**，然后选择“确定”。

5. 强制在根域中的所有域控制器之间进行复制。 为此，请按照下列步骤进行操作：

   1. 在根域中的域控制器上，选择“启动>程序>管理工具> Active Directory 站点和服务”。

   2. 展开**“站点**>服务器”，展开Server_Name文件夹，然后选择**“NTDS 设置”。**

   3. 如果环境中还有其他要复制的域控制器，它们将列在右窗格中。 右键单击列表中的第一个域控制器，选择“ 所有任务”，然后选择“ 检查复制拓扑 ”以启动知识一致性检查器（KCC）。

      将显示来自一个或多个子域控制器的传入连接对象。 可能需要按 F5 更新显示。

   4. 对根域中的每个域控制器重复步骤 3。

6. 允许在整个林中进行复制。 然后，在 repadmin /showreps 根域控制器和子域控制器上运行命令。 此步骤确保 Active Directory 目录服务（AD DS）复制成功。

复制允许 SPN 回退注册表项使域控制器能够在无法将服务主体名称（SPN）解析为计算机帐户而无法执行双向身份验证时使用单向身份验证。

数据收集

如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。