本文介绍如何恢复在故障转移群集中支持网络名称资源的已删除计算机对象。
原始 KB 数： 950805
总结
Windows Server 故障转移群集中的安全模型包括 Kerberos 身份验证。 若要实现此安全模型，在故障转移群集中创建的每个客户端接入点（CAP）都包含网络名称资源。 当资源首次联机时，网络名称资源具有在 Active Directory 目录服务中创建的相应计算机帐户。
默认情况下，计算机帐户在计算机容器中创建。 但是，计算机帐户可以重新定位到另一个组织单位（OU）。 在创建 CAP 之前，计算机帐户也可以在 OU 中预先暂存。 如果从 Active Directory 中删除这些计算机帐户，网络名称资源的可用性将减少。
在 Active Directory 中创建的计算机帐户表示故障转移群集中的网络名称资源。 这些帐户具有以下不同类型：
-
表示群集名称的计算机帐户称为群集名称对象（CNO）。 此帐户是群集的主要安全上下文。
-
属于同一群集中的网络名称资源的其他计算机帐户称为“虚拟计算机对象”（VCO）。 这些帐户由 CNO 创建。 如果其中任一帐户从 Active Directory 中删除，则下次网络名称尝试联机时，网络名称会失败，并且系统日志中记录事件 ID 1207：
Event Level: Error Event Source: FailoverClustering Event ID: 1207 Description: Cluster network name resource <ResourceName> cannot be brought online. The computer object associated with the resource could not be updated in domain <DomainName> for the following reason: The text for the associated error code is: There is no such object on the server. The cluster identity <CNO$Name> may lack permissions required to update the object. Work with your domain administrator to ensure the cluster identity can update computer objects in the domain.群集日志中记录了以下消息：
WARN [RES] Network Name <FSCAP01>: Trying to remove credentials for LocalSystem returned status C0000225, STATUS_NOT_FOUND is a non-critical failure for a remove operation INFO [RES] Network Name <FSCAP01>: Initiating the Network Name operation: 'Verifying computer object associated with network name resource FSCAP01' INFO [RES] Network Name <FSCAP01>: Trying to find computer account FSCAP01 object GUID(d66e09dd8857e84da1f3a26fb1903e38) on any available domain controller. WARN [RES] Network Name <FSCAP01>: Search for existing computer account failed. status 80072030 WARN [RES] Network Name <FSCAP01>: Search for existing computer account failed. status 80072030 INFO [RES] Network Name <FSCAP01>: Trying to find object d66e09dd8857e84da1f3a26fb1903e38 on a PDC. WARN [RES] Network Name <FSCAP01>: Search for existing computer account failed. status 80072030 INFO [RES] Network Name <FSCAP01>: Unable to find object d66e09dd8857e84da1f3a26fb1903e38 on a PDC. INFO [RES] Network Name <FSCAP01>: GetComputerObjectViaGUIDEx() failed, Status 80072030. WARN [RES] Network Name <FSCAP01>: Trying to remove credentials for LocalSystem returned status C0000225, STATUS_NOT_FOUND is a non-critical failure for a remove operation WARN [RHS] Resource FSCAP01 has indicated that it cannot come online on this node. WARN [RCM] HandleMonitorReply: ONLINERESOURCE for 'FSCAP01', gen(8) result 5015.注意
状态80072030 = 服务器上没有此类对象。
但是，即使在网络名称资源脱机和联机循环之前，也会出现问题。 例如，当无法获取表示 Active Directory 中的群集计算机对象的安全令牌时，用户或高度可用的应用程序可能无法访问资源。
若要从删除与群集网络名称资源关联的计算机对象进行恢复，CNO 与从 VCO 的计算机对象删除中恢复不同。
若要恢复与 CNO 对应的已删除计算机对象，请执行以下步骤：
-
与域管理员协调，以先从 Active Directory 回收站恢复已删除的计算机对象（如果已启用）。
注意
如果未启用 Active Directory 回收站，则恢复已删除的 CNO 的唯一支持方法是删除并重新创建群集。
-
验证计算机对象是否已还原到正确的位置，然后启用帐户。
-
强制进行域复制，或等待配置的复制间隔。
-
在故障转移群集管理Microsoft管理控制台（MMC）管理单元中，右键单击与群集名称对应的失败网络名称，指向 “更多操作”，然后选择“ 修复 Active Directory 对象”。
注意
故障转移群集管理 MMC 管理单元中执行这些步骤的用户还必须在域中具有“重置密码”权限。
若要恢复与 VCO 对应的已删除计算机对象，请执行以下步骤：
- 与域管理员协调，以先从 Active Directory 回收站恢复已删除的计算机对象（如果已启用）。
- 验证计算机对象是否已还原到正确的位置，然后启用帐户。
- 查看计算机对象的安全设置，然后验证 CNO 是否仍有权访问该对象。
- 强制域复制，或等待配置的复制间隔。
- 在故障转移群集管理 MMC 管理单元中，右键单击失败的网络名称资源，然后选择“ 使此资源联机”。 如果 Active Directory 回收站中不再存在已删除的计算机对象，则对象永远不会存在，或者该对象在会议后删除并垃圾回收，或者超过逻辑删除生存期。 从早于逻辑删除生存期的备份中还原 AD。 这可能会导致将对象挥之不去到环境中。