事件識別碼16650:帳戶識別碼分配器無法在 Windows Server 中初始化

本文提供解決錯誤的解決方案,當您將物件新增至 Active Directory 或從系統狀態備份還原網域控制站時,就會發生錯誤。

原始產品版本:   Windows Server 2019,Windows Server 2016,Windows Server 2012 R2
原始 KB 編號:   839879

徵狀

本文適用于 Windows 2000 和所有更新的版本。 當您嘗試將新的使用者、群組、電腦、信箱、網域控制站或其他物件新增至 Microsoft Windows Server 電腦上的 Active Directory 時,可能會收到下列錯誤訊息:

無法建立物件,因為目錄服務無法指派相對識別碼。

當您從系統狀態備份還原網域控制站時,系統記錄檔可能會包含下列錯誤訊息:

事件類型:錯誤

事件來源: SAM 事件
類別:無

事件 ID: 16650

帳戶識別碼分配器無法正確初始化。 記錄資料包含導致失敗的 NT 錯誤碼。 Windows 將會重試初始化,直到成功為止;直到這段時間之後,此網域控制站上的帳戶建立會遭到拒絕。 尋找可能指出失敗之確切原因的其他 SAM 事件記錄檔。

您也可以搭配使用 Dcdiag 命令和詳細資訊參數來尋找其他錯誤。 若要執行此動作,請依照下列步驟執行:

  1. 依序按一下 [開始]、[執行],在 [開啟] 方塊中輸入 cmd ,然後按一下 [確定]
  2. 在命令提示字元中輸入 DCdiag /v ,然後按 enter 鍵。

當您輸入時 Dcdiag /v ,可能會看到類似下列的錯誤訊息:

開始測試: RidManager

* 網域的可用 RID 集區為2355至1073741823

*dc01.contoso.com 是 RID 主機

* DsBind 與 RID 主機成功

* rIDAllocationPool 為1355至1854

* rIDNextRID: 0 DS 的資料損毀: rIDPreviousAllocationPool 值無效

* rIDPreviousAllocationPool 為0到0未分配 rid--請檢查 eventlog。
.........................DC01 失敗的測試 RidManager

警告: rid 集參考已刪除。

ldap_search_sW CN = RID SetDEL: cfe0828c-8842-4cb1-a642-6d9991d0516d,CN=Deleted 物件,DC = contoso,DC = com 的 RID 資訊失敗,2:系統找不到指定的檔案。

.........................DC01 失敗的測試 RidManager

開始測試: RidManager

* 網域的可用 RID 集區為3104至1073741823

警告:已刪除 FSMO 角色擁有者。

*dc01.contoso.com 是 RID 主機

* DsBind 與 RID 主機成功

警告: rid 集參考已刪除。

ldap_search_sW CN = RID SetDEL:5a128cf2-f365-47bc-a883-8ff9561ff545,CN=Deleted 物件,DC=contoso,DC=com 的 RID 資訊失敗,2:系統找不到指定的檔案。 .........................DC01 失敗的測試 RidManager

開始測試: KnowsOfRoleHolders

角色 Rid 擁有者 = CN = "NTDS Settings DEL: fd615439-1ebb-4652-b16f-3f8517d25593",CN = dc01,CN = Servers,CN = Default-First-Site-Name,CN = "Sites,CN=Configuration,DC=contoso,DC=com 警告: CN =" NTDS Settings DEL: fd615439-1ebb-4652-b16f-3f8517d25593 ",CN = dc01,CN = Servers,CN = Default-First-Site-Name,cn =,cn = Servers,cn =,,但已刪除。 CN=Configuration

您也可以在系統事件記錄檔中收到其他錯誤,以協助您進行問題的疑難排解:

事件 ID: 16647

事件來源: SAM

描述:網域控制站正在啟動新帳戶識別碼集區的要求。

事件類型:錯誤

事件來源: SAM 事件類別:無

事件 ID: 16645

描述:已指派給此網域控制站的帳戶識別碼上限。 網域控制站無法取得新的識別碼集區。 這可能是因為網域控制站無法連絡網域主控站。 在指派新集區之前,此控制器上的帳戶建立會失敗。 網域中可能有網路或連線問題,或網域主控站可能已離線或無法從網域中遺失。 確認網域主控站是否正在執行中並已連線至網域。

原因

下列其中一個案例會發生此問題:

  • 從備份還原 (RID) 主圖形的相對識別碼時,它會嘗試與其他網域控制站同步,以驗證沒有其他 RID 主機線上。 不過,如果沒有可用於同步處理的網域控制站,或複寫無法運作,則同步處理常式會失敗。

    注意

    如果網域永遠只包含一個網域控制站,RID 主機不會嘗試與其他網域控制站同步。 網域控制站沒有任何其他的網域控制站的知識。

  • RID 集區已耗盡,或 Active Directory 中與 RID 分配相關的物件使用錯誤值或遺失。

解決方案

在 Windows 2000 和更新版本中,您可以還原第二個網域控制站,以完成初始同步處理。 如果您無法還原第二個網域控制站,您必須在不存在的網域控制站上執行中繼資料清除,或刪除 Active Directory 命名內容的複寫連結。 如果您想要稍後還原其他的網域控制站,您必須刪除複寫連結,而不是執行中繼資料清除。

在您可以刪除 Active Directory 命名內容的複寫連結之前,您必須使用命令來識別 objectGUID 值 Repadmin 。 若要執行此動作,請依照下列步驟執行:

  1. 依序按一下 [開始]、[執行],在 [開啟] 方塊中輸入 cmd ,然後按一下 [確定]

  2. 在命令提示字元下輸入 repadmin /showreps 。 您會看到類似下列的輸出:

    CN = Schema,CN=Configuration,DC = contoso,DC = comDefault-First-Site-Name\DC02 via RPC objectGuid: <GUID> 上次嘗試 @ <DateTime> 成功。

    CN=Configuration,請透過 RPC objectGuid DC=contoso,DC=com Default-First-Site-Name\DC02: <GUID> 上次嘗試 @ <DateTime> 成功。

    透過 RPC objectGuid DC=contoso,DC=com Default-First-Site-Name\DC02: <GUID> 上次嘗試 @ <DateTime> 成功。

  3. repadmin /delete若要刪除複寫連結,請輸入。 指定命名內容和 objectGUID,如下列範例所示:

    repadmin /delete CN=Schema,CN=Configuration,DC=contoso,DC=com DC01 <GUID>._msdcs.contoso.com /localonly  
    repadmin /delete CN=Configuration,DC=contoso,DC=com DC01 <GUID>._msdcs.contoso.com /localonly  
    repadmin /delete DC=contoso,DC=com DC01 <GUID>._msdcs.contoso.com /localonly
    
  4. 重新開機 RID 主機電腦。 RID 主機會正確初始化。

移除網域中所有其他網域控制站的網域控制站中繼資料

您可以還原或連接第二個網域控制站,以完成初始同步處理。 如果您無法新增第二個網域控制站,您必須在不存在的網域控制站上執行中繼資料清除,以永久將其從網域中移除,或刪除 Active Directory 命名內容的複寫連結。 如需如何移除中繼資料的詳細資訊,請按一下下列文章編號,以查看清理伺服器中繼資料的文章。

若要驗證與 RID 分配相關的 Active Directory 物件是否有效,請遵循下列步驟:

  1. 確認 [所有人] 群組都具有 [從網路存取這部電腦] 使用者許可權。 設定可以在群組原則物件編輯器的下列位置進行設定: Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment

  2. 安裝 Windows 2000 支援工具。 這些工具可在 Windows 2000 和 Windows Server 2003 光碟上的支援資料夾中取得。 當您已安裝這些工具時,請啟動 ADSI Edit 。 若要執行此動作,請依照下列步驟執行:

    1. 按一下 [ 開始],按一下 [ 執行],在 [ 開啟 ] 方塊中輸入 Mmc,然後按一下 [確定]
    2. 在 [Windows 2000] 中,按一下 [ 主控台],然後按一下 [ 新增/移除嵌入式管理單元]。 在 [Windows Server 2003] 中,按一下 [檔案],**然後按一下 [**新增/移除嵌入式管理單元]。
    3. 在 [ 新增/移除 嵌入式管理單元] 中,按一下 [ 新增],按一下 [ ADSIEdit],然後按一下 [ 新增]。
    4. 按一下 [關閉],然後按一下 [確定]
  3. 在 MMC 中,以滑鼠右鍵按一下 [ ADSIEdit],然後按一下 [連線到]

  4. 在 [連線 設定] 的 [ 連接點] 底下,按一下 [ 選取知名的命名內容]。 在下拉式清單中,按一下 [ 網域],然後按一下 [確定]

  5. 展開 [ 網域],然後展開 [網域] 的辨識名稱。 例如,展開 [ dc = Contoso ,DC = com * * * *]。

  6. 展開 [ OU = 網域控制站]。

  7. 以滑鼠右鍵按一下您要檢查的網域控制站,然後按一下 [ 屬性]。

  8. 按一下 [ 選取要查看的屬性 ] 功能表,然後按一下 [ userAccountControl]。

  9. 確認 userAccountControl 的值為532480。 若要變更 userAccountControl 值,請按一下 [網域控制站屬性] 對話方塊中的 [ 編輯 ]。

  10. 在 [整數屬性編輯器] 的 [] 欄位中,輸入 532480 ,然後按一下 [確定]

確認 RID 主機是否與另一個網域控制站進行複製

如果新提升的網域控制站會產生事件16650,則網域控制站可能從另一個不是 RID 主複本的網域控制站取得複寫資訊。 在升級期間,會修改新網域控制站的電腦帳戶。 如果這些變更尚未複寫至保留 RID 主機角色的網域控制站,當新提升的網域控制站嘗試取得 RID 集區時,要求將會失敗。

若要確認 RID 主機是否至少有一個直接夥伴進行複製,請遵循下列步驟:

  1. 請確認 CN = RID Set 物件存在。

    當您在左窗格的 [ OU = 網域控制站] 底下選取網域控制站時, CN = RID Set 物件會位於 ADSI Edit 的右窗格中。

    如果沒有 CN = RID Set 物件存在,您必須降級該網域控制站,然後再將它重新提升,以建立物件。

  2. 如果 CN = Rid Set 物件存在,請確定網域控制站的電腦帳戶物件上的 RIDSetReferences 屬性指向 RID 集 物件的辨別名稱,如下列範例所示: CN = RID Set,cn = DC01,OU = DOMAIN controller,cn = contoso,DC = local

    如果 rIDSetReferences 屬性沒有指向 RID 集 物件的辨識名稱,請與 Microsoft 產品支援服務聯繫以取得詳細資訊。

狀態

產生此錯誤是系統刻意為之。

參考

822053 錯誤訊息: "Windows 無法建立物件,因為目錄服務無法指派相對識別碼"