Контроллер домена работает неправильно

Утянуто отсюда: http://troublehooting.narod.ru/win/dc2k.html

  Список продуктов, к которым относится данная статья:

•	Microsoft Windows Server 2003 Standard Edition
•	Microsoft Windows Server 2003 Enterprise Edition
•	Microsoft Windows Server 2003 Datacenter Edition
•	Microsoft Windows 2000 Datacenter Server
•	Microsoft Windows 2000 Advanced Server
•	операционная система Microsoft Windows 2000 Server

Внимание! Решение проблемы связано с внесением изменений в системный реестр. Перед внесением изменений рекомендуется создать архивную копию системного реестра и изучить процедуру его восстановления. Дополнительные сведения об архивировании, восстановлении и изменении реестра см. в следующей статье базы знаний Майкрософт:
256986(http://support.microsoft.com/kb/256986/) Описание реестра Microsoft Windows

Проблема

После запуска средства Dcdiag на контроллере домена под управлением Windows 2000 или Windows Server 2003 появляется следующее сообщение об ошибке.

DC Diagnosis
Performing initial setup:
[DC1] LDAP bind failed with error 31

Если запустить команду REPADMIN /SHOWREPS на контроллере домена в локальном режиме, появляется следующее сообщение об ошибке:

[D:\nt\private\ds\src\util\repadmin\repinfo.c, 389] Ошибка LDAP 82 (Локальная ошибка).

При попытке получить с контроллера домена доступ к сетевому ресурсу (включая ресурсы с именами в формате UNC и подключенные сетевые диски) появляется следующее сообщение об ошибке:

Отсутствуют серверы, которые могли бы обработать запрос на вход в сеть (c000005e = "STATUS_NO_LOGON_SERVERS")
После запуска с консоли контроллера домена одного из средств администрирования Active Directory, включая оснастки «Active Directory — сайты и службы» и «Active Directory — пользователи и компьютеры», появляется одно из следующих сообщений об ошибках.

Не удалось найти сведения об именах по следующей причине: Невозможно обратиться за проверкой подлинности в орган сертификации. Обратитесь к администратору и проверьте правильность настройки домена и что домен работает.

Не удалось найти сведения об именах по следующей причине: Конечная учетная запись указана неверно. Обратитесь к администратору и проверьте правильность настройки домена и что домен работает.

Клиенты Microsoft Outlook, подключающиеся к серверу Exchange, который использует данный контроллер домена для проверки подлинности, получают запрос на указание учетных данных, даже если проверка подлинности при входе на других контроллерах домена прошла успешно.

Средство Netdiag отображает следующие сообщения об ошибках.

DC list test . . . . . . . . . . . : Failed
[WARNING] Cannot call DsBind to . (). [ERROR_DOMAIN_CONTROLLER_NOT_FOUND]
Kerberos test. . . . . . . . . . . : Failed
[FATAL] Kerberos does not have a ticket for krbtgt/.
[FATAL] Kerberos does not have a ticket for .
LDAP test. . . . . . . . . . . . . : Passed
[WARNING] Failed to query SPN registration on DC \

В журнале системных событий на контроллере домена регистрируется следующая запись.

Тип: Ошибка
Источник: Диспетчер служб
Код (ID): 7023
Описание: Служба «Центр распространения ключей Kerberos» завершена из-за ошибки: Диспетчер защиты (SAM) или локальный сервер (LSA) не смог выполнить требуемую операцию. 

Решение

 Далее в этой статье расположен список способов устранения таких ошибок. После списка для каждого способа представлен подробный перечень подлежащих выполнению действий. Используйте способы по очереди до полного устранения проблем. В конце статьи приведен перечень статей базы знаний Майкрософт, в которых описаны менее распространенные способы устранения подобных проблем.

Способ 1. Исправление ошибок в службе доменных имен (DNS)

Способ 2. Синхронизация времени компьютеров

Способ 3. Проверка наличия права Доступ к компьютеру из сети

Способ 4. Проверка значения атрибута userAccountControl на контроллере домена

Способ 5. Исправление сферы Kerberos (параметры реестра PolAcDmN и PolPrDmN совпадают)

Способ 6. Сброс пароля учетной записи компьютера и получение нового билета Kerberos

Способ 1. Исправление ошибок в DNS

1.	В командной строке введите netdiag -v. В папке, из которой был произведен запуск, эта команда создает журнал Netdiag.log.
2.	Перед тем как перейти к выполнению последующих действий, устраните все ошибки DNS, содержащиеся в файле Netdiag.log. Средство Netdiag входит в состав средств поддержки Windows 2000 Server на компакт-диске Windows 2000 Server. Кроме того, загрузить средства поддержки Windows 2000 Server можно с веб-узла корпорации Майкрософт по следующему адресу: http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/supporttools.asp
3.	Проверьте конфигурацию DNS. Одна из наиболее распространенных ошибок DNS: контроллер домена указывает для разрешения имен DNS на сервер поставщика услуг Интернета, а не на самого себя или на другой DNS-сервер, который поддерживает динамическое обновление и записи SRV. Оптимальной является конфигурация, при которой контроллер домена указывает на самого себя или на другой DNS-сервер, который поддерживает динамическое обновление и записи SRV. Рекомендуется настроить серверы пересылки на разрешение имен в Интернете через поставщика услуг Интернета

Дополнительные сведения о настройке DNS для службы каталогов Active Directory см. в следующих статьях базы знаний Майкрософт.

291382 (http://support.microsoft.com/kb/291382/) Вопросы и ответы о службе DNS в Windows 2000 и Windows Server 2003

237675 (http://support.microsoft.com/kb/237675/) Настройка службы доменных имен (DNS) для Active Directory

254680 (http://support.microsoft.com/kb/254680/) Планирование пространства имен DNS

255248 (http://support.microsoft.com/kb/255248/) Как создать дочерний домен в Active Directory и делегировать ему пространство имен DNS

Способ 2. Синхронизация времени компьютеров

Убедитесь, что время правильно синхронизировано между контроллерами домена, а также между клиентскими компьютерами и контроллерами домена.

Дополнительные сведения о настройке службы времени Windows см. в следующих статьях базы знаний Майкрософт.

258059 (http://support.microsoft.com/kb/258059/) Как синхронизировать время на компьютерах с Microsoft Windows 2000 в домене Microsoft Windows NT 4.0

216734 (http://support.microsoft.com/kb/216734/) Настройка основного сервера времени в Windows 2000

Способ 3. Проверка наличия права «Доступ к компьютеру из сети»

Проверьте файл Gpttmpl.inf и убедитесь, что соответствующим пользователям предоставлено право Доступ к компьютеру из сети на контроллере домена. Для этого выполните следующие действия.

1.	Внесите изменения в файл Gpttmpl.inf политики по умолчанию для контроллеров домена. Права пользователей на контроллере домена, как правило, определяются в составе политики по умолчанию для контроллеров домена. Файл Gpttmpl.inf политики по умолчанию для контроллеров домена располагается в следующей папке. Примечание. Папка Sysvol может находиться в другом месте, однако путь к файлу Gpttmpl.inf остается неизменным. Контроллеры домена под управлением Windows Server 2003: C:\WINDOWS\Sysvol\Sysvol\<имя_домена>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf Контроллеры домена под управлением Windows 2000 Server: C:\WINNT\Sysvol\Sysvol\<имя_домена>\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf
2.	Справа напротив записи SeNetworkLogonRight добавьте идентификаторы безопасности групп «Администраторы», «Прошедшие проверку» и «Все». См. следующие примеры. Контроллеры домена под управлением Windows Server 2003: SeNetworkLogonRight = *S-1-5-32-554,*S-1-5-9,*S-1-5-32-544,*S-1-1-0 Контроллеры домена под управлением Windows 2000 Server: SeNetworkLogonRight = *S-1-5-11,*S-1-5-32-544,*S-1-1-0 Примечание. Группы «Администраторы» (S-1-5-32-544), «Прошедшие проверку» (S-1-5-11), «Все» (S-1-1-0) и «Контроллеры домена предприятия» (S-1-5-9) имеют хорошо известные одинаковые для любого домена идентификаторы безопасности.
3.	Удалите все данные справа от записи SeDenyNetworkLogonRight (Отказ в доступе к компьютеру из сети). См. следующий пример. SeDenyNetworkLogonRight = Примечание. Этот пример применим как к Windows 2000 Server, так и к Windows Server 2003. По умолчанию на компьютере под управлением Windows 2000 Server запись SeDenyNetworkLogonRight не содержит данных, а на компьютере под управлением Windows Server 2003 в ней указана только учетная запись Support_произвольная_строка. (Учетная запись Support_произвольная_строка используется удаленным помощником.) Поскольку учетная запись Support_произвольная_строка имеет в каждом домене уникальный идентификатор безопасности (SID), ее сложно отличить по идентификатору от обычной учетной записи пользователя. Скопируйте идентификатор SID в текстовый файл, а затем удалите его из записи SeDenyNetworkLogonRight (его можно будет скопировать обратно после устранения проблемы). Свойства SeNetworkLogonRight и SeDenyNetworkLogonRight могут быть определены в составе любой политики. Если выполнение описанных выше действий не приводит к устранению проблемы, проверьте файл Gpttmpl.inf для других политик в папке Sysvol и убедитесь, что права пользователей не определены где-нибудь еще. Если в файле Gpttmpl.inf нет ссылок на свойства SeNetworkLogonRight и SeDenyNetworkLogonRight, значит они не определены с помощью политики и, следовательно, описанные проблемы не могут быть вызваны данной политикой. Если же такие записи существуют, убедитесь, что они соответствуют формату, который был приведен выше для политики по умолчанию для контроллеров домена.

Способ 4. Проверка значения атрибута userAccountControl на контроллере домена

1.	В меню Пуск выберите пункт Выполнить и введите команду adsiedit.msc.
2.	Последовательно разверните узлы Domain NC, DC=имя_домена и OU=Domain Controllers.
3.	Щелкните правой кнопкой мыши контроллер домена и выберите команду Properties.
4.	На компьютере под управлением Windows Server 2003 установите на вкладке Attribute Editor флажки Show mandatory attributes и Show optional attributes. На компьютере под управлением Windows 2000 Server выберите значение Both в списке Select which properties to view.
5.	На компьютере под управлением Windows Server 2003 выберите в списке Attributes атрибут userAccountControl. На компьютере под управлением Windows 2000 Server выберите атрибут userAccountControl в списке Select a property to view.
6.	Если значение атрибута не равно 532480, введите 532480 в поле Edit Attribute, и последовательно нажмите кнопки Set, Apply и OК.
7.	Закройте оснастку ADSI Edit.

Способ 5. Исправление сферы Kerberos (параметры реестра PolAcDmN и PolPrDmN совпадают)

Примечание. Этот способ применим только к Windows 2000 Server.
Внимание! Неправильное использование редактора реестра может привести к возникновению серьезных неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.

1.	Откройте редактор реестра.
2.	На левой панели разверните узел HKEY_LOCAL_MACHINE\SECURITY.
3.	В меню Безопасность выберите команду Разрешения, чтобы предоставить локальной группе «Администраторы» право полного доступа к кусту SECURITY, а также вложенным в него объектам и контейнерам.
4.	Найдите раздел HKEY_LOCAL_MACHINE\SECURITY\Policy\PolPrDmN.
5.	На правой панели один раз щелкните параметр <Без имени>: REG_NONE
6.	В меню Вид выберите команду Вывод двоичных данных. В разделе Формат выберите вариант 1 байт.
7.	В правой части диалогового окна Двоичные данные отобразится имя домена в виде строки. Имя домена является сферой Kerberos.
8.	Найдите раздел HKEY_LOCAL_MACHINE\SECURITY\Policy\PolACDmN.
9.	На правой панели два раза щелкните параметр <Без имени>: REG_NONE.
10.	В диалоговом окне Редактор двоичных данных вставьте значение из раздела PolPrDmN. (Значение из раздела PolPrDmN — это NetBIOS-имя домена).
11.	Перезагрузите контроллер домена.

Способ 6. Сброс пароля учетной записи компьютера и получение нового билета Kerberos

1.	Остановите службу центра распространения ключей Kerberos и выберите для нее тип запуска «Вручную».
2.	С помощью средства Netdom (входит в состав средств поддержки Windows 2000 Server и Windows Server 2003) выполните для контроллера домена сброс пароля учетной записи компьютера: netdom resetpwd /server:другой контроллер домена /userd:domain\administrator /passwordd:пароль администратора Убедитесь, что появилось сообщение об успешном выполнении команды netdom (в противном случае ожидаемый результат достигнут не был). Для домена Contoso, в котором контроллер домена, где наблюдаются проблемы, называется DC1, а работающий контроллер домена — DC2, с консоли DC1 необходимо запустить команду netdom следующего вида: netdom resetpwd /server:DC2 /userd:contoso\administrator /passwordd:пароль администратора
3.	Перезагрузите контроллер домена, на котором наблюдаются проблемы.
4.	Запустите службу центра распространения ключей Kerberos и выберите для нее тип запуска Авто.

Дополнительные сведения

см. в следующих статьях базы знаний Майкрософт.

325322 (http://support.microsoft.com/kb/325322/) При попытке открыть диспетчер Exchange System Manager появляется сообщение об ошибке «The server is not operational»

284929 (http://support.microsoft.com/kb/284929/) Не удается запустить оснастки Active Directory и появляются сообщения об ошибке «Невозможно обратиться за проверкой подлинности в орган сертификации»

257623 (http://support.microsoft.com/kb/257623/) Суффикс DNS контроллера домена не соответствует имени домена

257346 (http://support.microsoft.com/kb/257346/) После отмены права «Сетевой доступ к этому компьютеру» перестают работать некоторые средства

316710 (http://support.microsoft.com/kb/316710/) Определенные службы Exchange не запускаются, если отключена служба центра распространения ключей Kerberos

329642 (http://support.microsoft.com/kb/329642/) При открытии оснасток Active Directory и диспетчера Exchange System Manager появляются сообщения об ошибках

272686 (http://support.microsoft.com/kb/272686/) После открытия оснастки «Active Directory — пользователи и компьютеры» появляется сообщение об ошибке

323542 (http://support.microsoft.com/kb/323542/) Не удается открыть оснастку «Active Directory — пользователи и компьютеры», поскольку сервер неработоспособен

329887 (http://support.microsoft.com/kb/329887/) Не удается воспользоваться оснастками Active Directory из состава консоли управления MMC

325465 (http://support.microsoft.com/kb/325465/) Для использования средств администрирования Windows 2003 Server на контроллере домена Windows 2000 требуется пакет обновления 3 (SP3)

322267 (http://support.microsoft.com/kb/322267/) Удаление клиента для сетей Microsoft приводит к удалению других служб

297234 (http://support.microsoft.com/kb/297234/) Разница во времени между клиентским компьютером и сервером

247151 (http://support.microsoft.com/kb/247151/) Сообщение об ошибке при запуске оснастки из состава консоли управления пользователями домена нижнего уровня

280833 (http://support.microsoft.com/kb/280833/) Если при установке клиента WinSock Proxy указаны не все зоны DNS, в службе DNS возникают ошибки, которые трудно обнаружить

322307 (http://support.microsoft.com/kb/322307/) После установки пакета обновления 2 (SP2) для Windows 2000 не удается запустить службы Exchange и оснастки Active Directory