52CE 我爱测NETWORK OBSERVATORY 网络诊断 · 技术资料 · 运维工具
首页/信息库/域与目录服务
域与目录服务

排查复制错误 8614 - Windows Server

· 52CE 我爱测

本文提供对 Active Directory 复制错误 8614 进行故障排除的步骤。 原始 KB 数： 2020053 注意 家庭用户： 本文仅适用于技术支持代理和 IT 专业人员。 如果你正在寻找有关问题的帮助，请 询问Microsoft社区(https://answers.microsoft.com)。 现象 1. DCDIAG 报告 Active Directory 复制测试失败，错误代码为 8614：Active Directory 无法使用此服

本文提供对 Active Directory 复制错误 8614 进行故障排除的步骤。

原始 KB 数： 2020053

注意

家庭用户： 本文仅适用于技术支持代理和 IT 专业人员。 如果你正在寻找有关问题的帮助，请 询问Microsoft社区。

现象

  1. DCDIAG 报告 Active Directory 复制测试失败，错误代码为 8614：Active Directory 无法使用此服务器进行复制，因为自上次使用此服务器的复制超过逻辑删除生存期以来的时间。

    Testing server: <site name><destination dc name>  
Starting test: Replications  
* Replications Check  
[Replications Check,<destination DC name] A recent replication attempt failed:  
From <source DC> to <destination DC>  
Naming Context: <directory partition DN path>  
 The replication generated an error (8614):
 Active Directory cannot replicate with this server because the time since the last replication with this server has exceeded the tombstone lifetime.  
The failure occurred at <date> <time>.  
The last success occurred at <date> <time>.  
3 failures have occurred since the last success.

  2. REPADMIN.EXE报告上次复制尝试失败，状态为 8614。 通常引用 8614 状态的 REPADMIN 命令包括但不限于：

    • REPADMIN /REPLSUM
    • REPADMIN /SHOWREPL
    • REPADMIN /SHOWREPS
    • REPADMIN /SYNCALL

    下面显示了描述从 CONTOSO-DC2 到 CONTOSO-DC1 的入站复制失败且复制访问被拒绝错误的示例输出REPADMIN /SHOWREPS：

     efault-First-Site-Name\CONTOSO-DC1  
 DSA Options: IS_GC  
 Site Options: (none)  
 DSA object GUID:  
 DSA invocationID:  

==== INBOUND NEIGHBORS ======================================  

DC=contoso,DC=com  
Default-First-Site-Name\CONTOSO-DC2 via RPC  
DSA object GUID:  
Last attempt @ <date> <time> failed, result 8614(0x21a6):
The Active Directory cannot replicate with this server because the time since the last replication with this server has exceeded the tombstone lifetime.  
<#> consecutive failure(s).  
Last success @ <date> <time>.

  3. NTDS KCC、NTDS 常规或 Microsoft-Windows-ActiveDirectory_DomainService 事件在目录服务事件日志中记录了五个状态。

    通常引用 8524 状态的 Active Directory 事件包括但不限于：

    事件源 ID 事件字符串
    NTDS KCC 1925 尝试为以下可写目录分区建立复制链接失败。

  4. NTDS 复制事件 2042 可能在目录服务事件日志中记录：

    Event Type: Error
Event Source: NTDS Replication
Event Category: Replication
Event ID: 2042
User: NT AUTHORITY\ANONYMOUS LOGON
Computer: <name of DC that logged event>

Description:  
It has been too long since this machine last replicated with the named source
machine. The time between replications with this source has exceeded the tombstone
lifetime. Replication has been stopped with this source.

The reason that replication is not allowed to continue is that the two machine's views of deleted objects may now be different. The source machine may still have copies of objects that have been deleted (and garbage collected) on this machine. If they were allowed to replicate, the source machine might return objects which have already been deleted.

Time of last successful replication: YYYY-MM-DD HH:MM:SS
Invocation ID of source: <32 character GUID for source DC>
Name of source: <fully qualified cname record of source DC>
Tombstone lifetime (days): <current TSL value. Default = 60 or 180 days>

The replication operation has failed.

User Action:

Determine which of the two machines was disconnected from the forest and is now out of date. You have three options:

1. Demote or reinstall the machine(s) that were disconnected.
2. Use the repadmin /removelingeringobjects tool to remove inconsistent deleted objects and then resume replication.
3. Resume replication. Inconsistent deleted objects may be introduced. You can continue replication by using the following registry key. Once the systems replicate once, it's recommended that you remove the key to reinstate the protection.

  5. Active Directory 站点和服务中的“立即 复制”命令将返回以下消息：

Active Directory 无法使用此服务器进行复制，因为自上次使用此服务器复制以来的时间已超过逻辑删除生存期。

右键单击源 DC 中的连接对象，并选择 **立即** 在 Active Directory 站点和服务（DSSITE）中复制。MSC） 不成功。 会收到以下消息：

Active Directory 无法使用此服务器进行复制，因为自上次使用此服务器复制以来的时间已超过逻辑删除生存期。

屏幕上的错误消息文本如下所示：

对话框标题文本：立即复制 对话框消息文本：尝试将命名上下文 &lt;%directory 分区名称 %&gt; directory 分区名称从域控制器 &lt;源 DC&gt; 同步到域控制器 &lt;目标 DC&gt; 期间发生以下错误：

Active Directory 无法使用此服务器进行复制，因为自上次使用此服务器复制以来的时间已超过逻辑删除生存期。 操作不会继续

对话框中的按钮：确定

原因

Active Directory 域控制器支持多主数据库复制。 保存可写分区的任何域控制器都可以产生对象或属性（值）的创建、修改或删除。 对象/属性删除的知识在逻辑删除生存期天数持续存在。 （请参阅 有关在 Windows Server Active Directory 林中徘徊对象的信息。

Active Directory 需要从所有分区持有者进行端到端复制，以便将目录分区的所有原始删除都复制到所有分区持有者。 在滚动 TSL 天数中无法入站复制目录分区会导致对象挥之不去。 挥发对象是至少一个 DC 有意删除的对象，但目标 DC 上错误地存在，这些 DC 无法入站复制所有唯一删除的暂时性知识。

错误 8614 是运行 Windows Server 2003 或更高版本的域控制器中添加的逻辑示例。 它隔离延迟对象的传播，并识别导致目录分区不一致的长期复制失败。

错误 8614 和 NTDS 复制事件 2042 的根本原因包括：

  1. 记录 8614 错误的目标 DC 未能从一个或多个源 DC 入站复制目录分区，导致逻辑删除生存期天数。

  2. 自上次成功复制以来，目标 DC 上的系统时间移动或跳转了一个或多个天数的逻辑删除生存期。 它向 复制引擎提供的外观 ，即目标 DC 未能入站复制目录分区，以用于逻辑删除生存期已用天数。

    如果满足以下条件，可能会发生时间跳跃：

    • 目标 DC 已成功入站复制，采用 错误的 系统时间 TSL 或将来的天数。
    • 然后，目标 DC 会尝试从上次从 TSL 复制的源进行入站复制，或者过去多次复制。

    或

    时间从当前时间跳转到过去日期/时间逻辑删除生存期或更多天，成功进行入站复制。 然后，它会尝试在采用 TSL 或将来更多天数后进行入站复制。

基本上，复制错误 8614 的原因和解决方法同样适用于 NTDS 复制事件 2042 的原因和解决方法。

解决方案

注意

有两个行动计划用于恢复 Active Directory 域控制器，这些域控制器记录错误状态为 8614 或 NTDS 复制事件 2042。 可以强制降级域控制器，也可以使用下面的操作计划： 检查所需的修补程序、查找时间跳转、检查是否存在挥之不去的对象，并删除它们（如果存在）、删除任何复制隔离区、解决复制失败，然后将 DC 放回服务。 强制降级此类 DC 可能更容易、更快，但可能会导致域控制器上正在强制降级的源更新（即数据丢失）丢失。 Active Directory 按照以下步骤从此条件中正常恢复。 为方案选择最佳解决方案。 不要假设强制降级是唯一可行的解决方案，尤其是在复制失败易于解决或位于 Active Directory 外部时。

  1. 检查逻辑删除生存期的非默认值。

    默认情况下，逻辑删除生存期使用 60 或 180 天，具体取决于林中部署的 Windows 版本。 Microsoft 支持部门定期看到那些时间段内入站复制失败的 DC。 墓碑生存期也可能配置为短时间内，例如两天。 如果是这样，未进行入站复制的 DC（例如，五天）将失败以下测试：

    所有 DC 都必须使用滚动 TSL 天数进行复制

    用于repadmin /showattr查看是否已配置 TombstoneLifetime** 属性的非默认值**。

    repadmin /showattr <DC_name> "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=<forest root domain>,DC=<top level domain>"

    如果输出中 showattr 不存在该属性，则使用内部默认值。

  2. 检查 TSL 天数的入站复制失败的 DC。

    使用在“验证成功复制到域控制器”部分中指定的Excel 运行repadmin /showrepl * /csv分析。 按从最小到最当前日期和时间的顺序，对 Excel 中最后一个复制成功列的 replsum 输出进行排序。

  3. 检查时间跳跃。

    若要确定是否发生时间 跳转 ，请检查目标 DC 上的事件和诊断日志（repadmin /showreps、dcdiag 日志），这些 DC 记录了以下时间戳的 8614 错误：

    • 早于操作系统版本的日期戳。 例如，Windows Server 2008 中发布的 OS 的 Windows Server 2003 日期戳。
      • 在林中安装操作系统之前使用的日期戳。
      • 将来的日期戳。
      • 未在给定日期范围内记录任何事件。

    Microsoft 支持部门团队在生产域控制器上看到系统时间在过去和将来错误地跳转小时、天、周、年甚至数十年。

    如果系统时间发现不准确，请更正它。 然后尝试确定时间跳跃的原因，以及可以做些什么来防止不准确的时间前进与纠正错误的时间。 要调查的可能领域包括：

    • 林根 PDC 是否已使用外部时间源进行配置？
      • 引用时间源是否联机、在网络上可用并在 DNS 中可解析？
      • Microsoft还是第三方时间服务正在运行且处于无错误状态？
      • DC 角色计算机是否配置为使用 NT5DS 层次结构到源时间？
      • 时间回滚保护在 如何针对到位的时间偏移 量配置 Windows 时间服务时进行了说明？
      • 系统时钟在 BIOS 中是否有良好的电池和准确的时间？
      • 虚拟主机和来宾计算机是否根据托管制造商的建议配置为源时间？

    本文 介绍如何针对大型时间偏移 文档步骤配置 Windows 时间服务，以帮助保护域控制器侦听无效的时间样本。 Windows 时间服务中提供了有关 MaxPosPhaseCorrection 和 MaxNegPhaseCorrection 的详细信息。

  4. 检查并删除挥发对象（如果存在）。

    8614 错误复制隔离点是检查是否存在延迟对象，并在每个本地保留分区中删除它们，然后再将“允许复制与目标 DC 的分化伙伴**”设置为 **1，即使你认为林中的所有目标 DC 都在严格复制一致性下运行。

    删除挥发对象超出了本文的范围。 有关详细信息，请参阅以下文章：

    Repadmin 语法如下所示：

    语法 联机帮助 （Windows Server 2008 及更高版本）
    c:\>repadmin /removelingeringobjects <Dest_DSA_LIST> <Source DSA GUID> <NC> [/advisory_mode] c:\>repadmin /help:removelingeringobject

  5. 评估目标 DC 上的严格复制设置。

    严格模式复制可防止在使用垃圾回收创建、删除和回收有意删除的对象的目标 DC 上重新调整对象。

    严格复制的注册表项：

    • 路径：HKEY_LOCAL_MACHINE\system\ccs\services\ntds\parameters
    • 设置：严格复制一 <致性 - 不区分大小写>
    • 类型：reg_dword
    • 值：0 |1

    Repadmin 用于在单个或多个 DC 上启用和禁用严格复制的语法如下所示：

    语法 联机帮助 （Windows Server 2008 及更高版本） 在单个 DC 上启用 在林中的所有 DC 上启用 在林中的所有 GCS 上启用
    `repadmin /regkey <DSA_LIST> <{+ -}key> [value [/reg_sz]`] Repadmin /help:regkey repadmin /regkey <fully qualified computer name> +strict repadmin /regkey * +strict

  6. 在 8614 DC 上将 “允许复制”与分化和损坏的合作伙伴 设置为 1。

    删除任何挥之不去的对象后，禁用基于时间的复制隔离：

    注册表方法：

    • 注册表路径：HKEY_LOCAL_MACHINE\system\ccs\services\ntds\parameters
    • 注册表设置：允许使用分化和损坏的合作伙伴 <进行复制 - 不区分大小写”
    • 注册表值：0 = 禁止，1 = 允许

    Repadmin 方法：

    语法 联机帮助 （Windows Server 2008 及更高版本） 在单个 DC 上启用 在林中的所有 DC 上启用 在林中的所有 GCS 上启用
    `repadmin /regkey <DSA_LIST> <{+ -}key> [value [/reg_sz]`] Repadmin /help:regkey repadmin /regkey dc01.contoso.com +allowDivergent repadmin /regkey * +allowDivergent

  7. 解决 AD 复制失败（如果存在）。

    在目标 DC 上记录 8614 错误状态时，先前在 TSL 天数中记录的复制错误将被屏蔽。

    目标 DC 报告了 8614 错误的事实并不意味着复制错误驻留在目标 DC 上。 相反，复制失败的源可能在于网络或 DNS 名称解析。 或者，以下项之一可能存在问题：

    • 身份验证
    • jet 数据库
    • 拓扑
    • 源 DC 或目标 DC 上的复制引擎

    查看过去由源 DC、目标 DC 和备用复制伙伴生成的过去目录服务事件和诊断输出（dcdiag、 repadmin 日志），以确定阻止目标 DC 与源 DC 之间的复制的范围和失败状态。

  8. 删除允许复制与分化和损坏的伙伴，或者将“允许复制与分化伙伴和损坏的伙伴**”设置为**注册表中的 0。

  9. 今后每天监视 Active Directory 复制。

    使用 Active Directory 监视应用程序每天监视 Active Directory 林中的端到端复制。 一个廉价但有效的选择是在 Excel 中运行 repadmin /showrepl * /csv 并分析结果。 有关详细信息，请参阅 方法 2：使用命令行监视复制。

    确定接近 50% 和 90% 的逻辑删除生存期复制失败的 DC。 将它们放在监视列表中。 在 TSL 的 50% 处，进行强有力的推送来解决复制错误。 在 90% 时，请考虑降级导致复制错误的 DC（如有必要）。 为此，请使用 dcpromo /forceremoval 命令。

    同样，在目标 DC 上记录的复制错误可能是由以下问题引起的：

    • 源 DC
    • 目标 DC
    • 基础网络

    因此，请尝试在采取预防措施之前确定原因和故障的位置。

数据收集

如果需要Microsoft支持方面的帮助，建议按照使用 TSS 收集 Active Directory 复制问题的信息中所述的步骤收集信息。

参考

修复复制挥之不去对象问题（事件 ID 1388、1988、2042）

资料来源与适用范围

资料来源
微软官方中文故障文档
适用范围
适用于技术支持代理和 IT 专业人员。 如果你正在寻找有关问题的帮助，请 询问Microsoft社区(https://answers.microsoft.com)。
内容语言
中文；命令、路径和错误标识保留技术原文
本地收录日期
2026-10-26
授权说明
CC BY 4.0

正文与所需资源由本站本地存储。查看来源及更新记录 ↗

请按适用版本和实际日志确认原因；本站没有对每一种系统或设备逐项执行文中的操作。