Что не так с репликацией AD?

Question

[Фрол Шмелев]

Здравствуйте, помогите пожалуйста разобраться с ошибкой репликации
есть лес kubstu.edu - в нем 2 домена - kubstu.edu и classes.kubstu.edu
в classes на одном из кд возникает ошибка репликации при запуске команды repadmin /syncall

Функция SyncAll сообщает о следующих ошибках:
Ошибка выдачи репликации: 8453 (0x2105):
    Доступ к репликации отвергнут.
    От: 9e895472-e19f-4eb8-a124-c0a83ae40777._msdcs.kubstu.edu
    Кому: b2681a2e-8e7e-4469-b1aa-57903ac8ed14._msdcs.kubstu.edu

причем dcdiag /q - не выдает никаких ошибок
9e895472-e19f-4eb8-a124-c0a83ae40777._msdcs.kubstu.edu - это id кд? в каком направлении двигаться? на остальных кд все норм....

Comments

[Alexey Dmitriev]

9e895472-e19f-4eb8-a124-c0a83ae40777._msdcs.kubstu.edu это DNS имя КД, состоящее из SID КД и "технического" домена.
Думаю вам надо просить вашего сисадмина решить проблему, он поймет - в каком направлении двигаться.

Answer 1

[MVV]

Про 9e895472-e19f-4eb8-a124-c0a83ae40777._msdcs.kubstu.edu. Репликация использует псевдонимы КД в DNS, завязанные на GUID их копии AD. Что это за КД - сморите в DNS, в зоне _msdcs.kubstu.edu на какое имя указывает этот псевдоним.

Для понимания, работает ли репликация реально, выполните на каждом КД из командной строки в режиме администратора команду repadmin /showrepl.

Причиной ошибки, которую вы видите, может быть то, что вы выполняете команду не в режиме администратора. Другая возможная причина - что вы выполняете команду из корневого домена под учетной записью, которая не имеет достаточных прав в дочернем домене: проверьте что она либо входит в группу Администраторы предприятия (она определена в корневом домене, но действует по всему лесу).

Comments

[Фрол Шмелев]

Спасибо за информацию, да действительно это алиасы доменов в днс...

ошибка говорит от том что dc-03.classes.kubstu.edu не получает доступ к репликации которая идет от dc-06.kubstu.edu к dc-01.kubstu.edu - наверное поддомену classes и не нужна эта репликация...
на все кд запускал из под Администратора - repadmin /showrepl - везде все успешно - на всех кд.

может на поддомене и не должна работать команда repadmun /syncall - может кд из поддомена не нужны все репликиции?

[Фрол Шмелев]

Вот что нашел но про 2000 сервер
SYMPTOMS
When you use the Active Directory Sites and Services snap-in from a child domain to force replication from a parent domain or another child domain at the same level, you may receive the following error message:
The following error occurred during the attempt to synchronize the Domain Controllers: Replication Access was denied
CAUSE
By default, administrators of child domains can only force replication within their own domain. Administrative permissions do not flow down; they need to be assigned. When a child domain is created, the Enterprise Admin global group is added to the built-in Administrators group of the child domain. This allows the administrator of the parent domain to administer and force replication from either the parent domain or the child domain. Administrators of child domains can only force replication within their own domain unless they are granted administrative permissions over the parent domain or another child domain.
RESOLUTION
To resolve this issue, give the administrator in the child domain permissions to the parent and/or child domain from which you want to force replication.

Note The following steps use the Microsoft Management Console (MMC) Active Directory Users and Computers snap-in from the domain on which you want to grant administrative permissions.
Expand the domain.com node within the snap-in.
Click the Built-in folder.
On the right-hand pane of the snap-in, right-click the Administrators group, and then click Properties.
On the Members tab, click Add.
In the Select Users, Contacts, Computers, or Groups dialog box, in the Look in box, click the domain that contains the administrator to whom you want to grant permissions.
Click the Administrator account, click Add, and then click OK.
Repeat these steps for each domain that you want to assign administrative permissions to.

[Фрол Шмелев]

получается команда repadmin /syncall - это force репликация и у админа дочернего домена нет на это прав
но вот вопрос, командную строку я запускаю из под имени администратора - получается из под имени администратора дочернего домена?

[MVV]

командную строку я запускаю из под имени администратора - получается из под имени администратора дочернего домена?

Фрол Шмелев, я недостаточно владею телепатией и ясновидением, чтобы прочитать, из под какой учетно записи вы запускаете. Смотрите сами имя пользователя командой whoami. А whoami /groups покажет, в какие группы он входит.

Вот что нашел но про 2000 сервер

Не важно, это должно работать и сейчас.

может на поддомене и не должна работать команда repadmun /syncall - может кд из поддомена не нужны все репликиции?

Таки нужны: нужно реплицировать разделы каталога, которые распространяются по всему лесу.

[Роман Безруков]

Фрол Шмелев, в вашем случае есть Enterprise Admins, которые могут (почти) все в лесе AD, и есть Domain Admins в каждом домене, которые могут все в рамках своего домена.
Если вы запускаете реплику от админа на контроллере в дочернем домене, то это, скорее всего, Domain Admin дочернего домена (вверх-вниз-вправо-влево он по умолчанию не умеет). А запускать надо от имени другого пользователя и указывать учетные данные Enterprise Admin (выше результат вашего поиска об этом и говорит).
Ну и не забудьте проверить настройки репликации в "Сайтах и службах"