O rebaixamento do DCPROMO falhará se não conseguir contatar a infraestrutura DNS master

Artigo
02/19/2024

Este artigo resolve um problema em que o rebaixamento de um computador Windows Server que hospeda o Active Directory Domain Services (AD DS) ou a função de servidor do controlador de domínio falha.

Aplica-se a: Windows Server 2012 R2
Número de KB original: 2694933

Sintomas

O rebaixamento gracioso de um computador Windows Server que hospeda a função de servidor do AD DS ou controlador de domínio falha. Você vê o seguinte erro na tela:

Texto da barra de título: assistente de instalação Active Directory Domain Services
Texto da mensagem:
A operação falhou porque:
Active Directory Domain Services não foi possível transferir os dados restantes na partição de diretório
Nome domjain> DC=DomainDNSZones,DC=<DNS para Domínio do Active Directory Controller
\\<DNS nome do auxiliar DC usado para o rebaixamento de serviço>
"O serviço de diretório não tem informações de configuração obrigatórias e não consegue determinar a propriedade de funções flutuantes de operação de master único."

A parte relevante do DCPROMO. O arquivo LOG contém o seguinte texto:

<date> <time> [INFO] Transferring operations master roles owned by this Active Directory Domain Controller in directory partition  
DC=DomainDnsZones,DC=contoso,DC=com to Active Directory Domain Controller \\<DNS name of helper DC...  
<date> <time>  [INFO] EVENTLOG (Warning): NTDS Replication / Replication : 2091

Uma revisão do objeto de infraestrutura e atributos para a partição de aplicativo DNS referenciada no erro DCPROMO na tela e DCPROMO. LOG:

Expanding base 'CN=Infrastructure,DC=DomainDnsZones,DC=contoso,DC=com'...  
Getting 1 entries:  
Dn: CN=Infrastructure,DC=DomainDnsZones,DC=contoso,DC=com  
cn: Infrastructure;  
distinguishedName: CN=Infrastructure,DC=DomainDnsZones,DC=contoso,DC=corp,DC=microsoft,DC=com;  
dSCorePropagationData: 0x0 = (  );  
fSMORoleOwner: CN=NTDS Settings\0ADEL:<NTDS Settings objet GUID>,CN=\<hostname of last DC to host the partition infrastructure role>,CN=Servers,CN=<active directory site name>,CN=Sites,CN=Configuration,DC=contoso,DC=com;  
instanceType: 0x4 = ( WRITE );  
isCriticalSystemObject: TRUE;  
name: Infrastructure;  
objectCategory: CN=Infrastructure-Update,CN=Schema,CN=Configuration,DC=contoso,DC=com;  
objectClass (2): top; infrastructureUpdate;  
objectGUID: <object guid>;  
showInAdvancedViewOnly: TRUE;  
systemFlags: 0x8C000000 = ( DISALLOW_DELETE | DOMAIN_DISALLOW_RENAME | DOMAIN_DISALLOW_MOVE );  
uSNChanged: <some USN #>;  
uSNCreated: <some USN #>;  
whenChanged: <date> <time>;  
whenCreated: <date> <time>;

Onde os elementos de distinção na saída LDAP retirados do domínio CONTOSO.COM de exemplo incluem:

O fSMORoleOwner atributo contém a cadeia de caracteres 0ADEL indicando que a função que possui o objeto Configurações NTDS da DC foi excluída.
O fSMORoleOwner atributo contém um GUID alfa-numérico de 32 caracteres do objeto DCs NTDS Settings no formato xxxxxxxx-xxxx-xxxx-xxxx-xxxx-xxxx-xxxxxxx.
O nome da partição de aplicativo DNS padrão para a qual o fSMORoleOwner atributo é atribuído a um DC com um objeto NTDS Settings excluído. Nesse caso, o erro fez referência ao DomainDNSZones. Esse mesmo erro também pode ocorrer para a partição do aplicativo ForestDNSZones.

Motivo

O erro ocorre quando o controlador de domínio que está sendo rebaixado não pode replicar alterações de saída no DC que possui o FSMO de infraestrutura ou função operacional para a partição referenciada no erro DCPROMO [log].

Especificamente, a tentativa de rebaixamento é anulada para proteger contra perda de dados. No caso de partições de aplicativo DNS, o rebaixamento é bloqueado para garantir que os seguintes dados sejam replicados:

registros DNS ao vivo e excluídos
ACLS dos registros DNS
metadados, como datas de registro e exclusão

Os caminhos DN para partições em que o erro na seção Sintomas pode ocorrer incluem:

CN=Infrastructures,DC=DomainDNSZones....
CN=Infrastructures,DC=ForestDNSZones....

Resolução

Observação

Quando a infraestrutura master é atribuída a um NTDSA excluído em uma partição de aplicativo DNS, como DomainDNSZones, ela também pode estar ausente para partição ForestDNSZones ou vice-versa. Recomendamos verificar se as partições DomainDNSZones e ForestDNSZones são atribuídas a controladores de domínio do Windows Server 2003 ou posteriores que hospedam a função e a partição do Servidor DNS em questão.

Para resolver esse problema, use um dos seguintes métodos:

Use ADSIEDIT.MSC para atribuir o caminho DN para o fsMORoleOwner atributo a um DC ao vivo que era um parceiro de replicação direto do proprietário da função FSMO original. Em seguida, aguarde que essa alteração seja replicada de entrada para o DC que está sendo rebaixado.
Execute o script na seção Resolução do KB949257 para a partição em questão.
Se o DC que está sendo rebaixado não puder replicar alterações de entrada para a partição de diretório em questão, execute o DCPROMO /FORCEREMOVAL comando para rebaixar com força o controlador de domínio.

Mais informações

O DCPromo tenta replicar alterações de saída em cada NC realizada localmente para que as alterações exclusivas não sejam perdidas. Se os dados forem armazenados em zonas DNS, o DCPROMO tentará sair replicando o conteúdo das zonas DNS para a infraestrutura master para a partição DNS em questão.

Problema relacionado:

KB949257 descreve um problema em que o comando falha quando a ADPREP /RODCPREP infraestrutura master para uma ou mais partições de aplicativo DNS é atribuída a um NTDSA excluído.

Share via