AD復(fù)制故障

復(fù)制故障的常見癥狀

表明存在站點內(nèi)部復(fù)制故障的常見癥狀包括：

要解決這些問題，請使用下列實用工具：

下表介紹了在嘗試解決此類問題時需要遵循的基本步驟：

特定的癥狀及故障排除步驟

注意：在下列各節(jié)中，將報告問題的域控制器稱為“目的服務(wù)器”。將目的服務(wù)器嘗試從中復(fù)制內(nèi)容的域控制器稱為“源服務(wù)器”。

“Access Denied”（拒絕訪問）錯誤

當(dāng)您將 Repadmin.exe 工具與 /showreps 開關(guān)配合使用時，所返回的復(fù)制狀態(tài)信息中會列出一條或多條“Access Denied”（拒絕訪問）錯誤信息。這表明域控制器上次嘗試與其他域控制器聯(lián)系時沒有成功。因為域控制器是 Enterprise Domain Controllers 組的成員，它有權(quán)調(diào)用其他域控制器上的任何函數(shù)。如果您發(fā)現(xiàn)域控制器之間的調(diào)用導(dǎo)致“Access_Denied”（拒絕訪問）錯誤，則問題不在于缺少正確的憑據(jù)，而在于其中一個域控制器未正確配置。

Repadmin.exe 或 Replmon.exe 對特定目錄分區(qū)報告“Access Denied”（拒絕訪問）

此問題通常表明存在 Kerberos 身份驗證故障，盡管有一些例外。在此情況下，要解決復(fù)制故障，請先解決身份驗證故障，然后再嘗試解決復(fù)制問題。要解決此問題，請按照下列步驟操作：

“The DSA Operation Is Unable to Proceed Because of a DNS Lookup Failure”（由于存在 DNS 查找故障，DSA 操作無法繼續(xù)）錯誤

要排除此錯誤，請執(zhí)行以下操作：

操作被排隊或者沒有顯示任何復(fù)制鏈接

當(dāng)您運行 Repadmin.exe 或 Replmon.exe 實用工具時，沒有報告任何復(fù)制鏈接。要解決此問題，請啟動 KCC，并查看目錄服務(wù)日志中是否有與 KCC 相關(guān)的事件。這通常表明在與域控制器進行通信時發(fā)生了故障。

復(fù)制訪問被拒絕或者正在刪除名稱上下文

當(dāng)您嘗試啟動復(fù)制操作時，收到下列消息之一：

Replication access is denied.

- 或者 -

The naming context is in the process of being deleted.

如果使用“Active Directory 站點和服務(wù)”管理單元在域控制器上啟動復(fù)制操作的用戶沒有啟動復(fù)制操作所需的適當(dāng)權(quán)限，則可能發(fā)生此問題。請檢查執(zhí)行此操作的用戶的憑據(jù)。

站點之間存在重復(fù)的連接對象

要解決此問題，請按照下列步驟操作： 警告：注冊表編輯器使用不當(dāng)可導(dǎo)致嚴(yán)重問題，可能需要重新安裝操作系統(tǒng)。Microsoft 不能保證您可以解決因注冊表編輯器使用不當(dāng)而導(dǎo)致的問題。使用注冊表編輯器需要您自擔(dān)風(fēng)險。

多個域控制器中所應(yīng)用的組策略不一致

您可以使用以下示例腳本來確保組策略已正確復(fù)制到您所在域的所有域控制器中。 Microsoft 提供的編程示例只是為了進行說明，沒有任何明示或暗示保證，包括（但不限于）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用于創(chuàng)建和調(diào)試過程的工具。Microsoft 的專業(yè)支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構(gòu)建過程以滿足您的特殊需求。如果您的編程經(jīng)驗不夠豐富，您可能需要與 Microsoft 認(rèn)證伙伴聯(lián)系或者撥打 Microsoft 收費咨詢電話 (800) 936-5200。有關(guān) Microsoft 認(rèn)證伙伴的更多信息，請訪問下面的 Microsoft Web 站點：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有關(guān) Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

使用 chkpolicy所在域的名稱 命令來運行此腳本：

@echo off

REM /logs/chkpolicydomain_name

set filename=sysvol/%dom_name%/Policies/{6AC1786C-016F-11D2-945F-00C04fB984F9}/Machine/Microsoft/Windows NT/SecEdit/GPTTMPL.INF

nltest /dclist:%dom_name% > dclist.tmp

del dclist1.tmp

FOR /F "eol=; tokens=1 delims=, " %%i in (dclist.tmp) do (

     @echo %%i >> dclist1.tmp

)

FOR /F "eol=. tokens=1 delims=. " %%i in (dclist1.tmp) do (

      @echo %%i

     dir  //%%i/%filename%

)

目錄服務(wù)因太忙而無法完成操作

您可能收到錯誤 8438 ERROR_DS_DRA_BUSY：“The directory service is too busy to complete the replication operation at this time”（目錄服務(wù)目前因太忙而無法完成復(fù)制操作）。如果目錄服務(wù)正在刪除名稱上下文（已刪除 500 個對象），但需要在不阻礙復(fù)制隊列的前提下一遍完成太多的對象，則會出現(xiàn)此錯誤。如果全局編錄清理操作使得復(fù)制無法成功，您可以創(chuàng)建一個批處理文件來加快該進程的速度。然后，您可以重新提升該計算機以充當(dāng)全局編錄服務(wù)器。下面的示例腳本提供了此功能： Microsoft 提供的編程示例只是為了進行說明，沒有任何明示或暗示保證，包括（但不限于）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用于創(chuàng)建和調(diào)試過程的工具。Microsoft 的支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構(gòu)建過程以滿足您的特殊需要。如果您的編程經(jīng)驗不夠豐富，您可能需要與 Microsoft 認(rèn)證伙伴聯(lián)系或者撥打 Microsoft 收費咨詢電話 (800) 936-5200。有關(guān) Microsoft 認(rèn)證伙伴的更多信息，請訪問下面的 Microsoft Web 站點：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有關(guān) Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

setlocal

set destgc=__setgcnamehere__.site1.forest1.com

:domain1

repadmin /delete DC=domain1,DC=site1,DC=forest1,DC=com %destgc% /nosource

if %errorlevel% == 8438 goto :domain2

:domain2

repadmin /delete DC=domain2,DC=Site1,DC=forest1,DC=com %destgc% /nosource

if %errorlevel% == 8438 goto :domain3

REM ...

endlocal

高級故障排除技巧

知識一致性檢查器和 ISTG

您可以為知識一致性檢查器創(chuàng)建一個包含更多診斷信息的事件日志。為此，請在出現(xiàn)重復(fù)連接的站點的 ISTG 上執(zhí)行下列步驟：

要獲取新的基準(zhǔn)度量，請按照下列步驟操作：

在調(diào)整站點鏈接復(fù)制時間間隔后，請等待配置更改復(fù)制到其他網(wǎng)絡(luò)中心服務(wù)器，然后重新啟動各個網(wǎng)絡(luò)中心服務(wù)器以清除復(fù)制隊列。您可以使用“repadmin/sync”命令或“Active Directory 站點和服務(wù)器”管理單元來強行復(fù)制配置名稱上下文，以便在重新啟動各個網(wǎng)絡(luò)中心服務(wù)器之前，能夠在這些服務(wù)器上看到更新后的站點鏈接。使用 Dcdiag.exe 實用工具來評估各個站點的復(fù)制是否完好。該工具可以通過腳本遠程運行，并且分析輸出中是否存在“fail”。您可以使用下面的示例腳本作為示例： Microsoft 提供的編程示例只是為了進行說明，沒有任何明示或暗示保證，包括（但不限于）針對特定用途的適銷性和/或適用性的暗示保證。本文假定您熟悉所演示的編程語言以及用于創(chuàng)建和調(diào)試過程的工具。Microsoft 的支持人員可以幫助解釋某個特定過程的功能，但是他們不會修改這些示例以提供額外的功能或構(gòu)建過程以滿足您的特殊需要。如果您的編程經(jīng)驗不夠豐富，您可能需要與 Microsoft 認(rèn)證伙伴聯(lián)系或者撥打 Microsoft 收費咨詢電話 (800) 936-5200。有關(guān) Microsoft 認(rèn)證伙伴的更多信息，請訪問下面的 Microsoft Web 站點：

http://www.microsoft.com/partner/referral/ (http://www.microsoft.com/partner/referral/)

有關(guān) Microsoft 提供的支持選項的其他信息，請訪問下面的 Microsoft Web 站點：

http://support.microsoft.com/default.aspx?scid=fh;EN-US;CNTACTMS (http://support.microsoft.com/default.aspx?scid=fh;en-us;cntactms)

REM check replications in sitesite1dcdiag /s:dc1 /test:replications /a /n:domain1dcdiag /s:dc1 /test:replications /a /n:domain2dcdiag /s:dc1 /test:replications /a /n:domain3REM check replications in sitesite2REM continue Dcdiag statements for domains insite2

文件復(fù)制服務(wù) (FRS)

@echo off

REM FRS_CHECK.CMD - Records the state of FRS

SETLOCAL ENABLEEXTENSIONS

SET FRSCK=C:/FRS_CHECK

if NOT EXIST %FRSCK% (md %FRSCK%)

REM  run dcdiag

dcdiag  >  %FRSCK%/dcdiag.txt

REM For FRS

ntfrsutl  ds  > %FRSCK%/ntfrs_ds.txt
ntfrsutl  sets  > %FRSCK%/ntfrs_sets.txt
ntfrsutl  inlog  > %FRSCK%/ntfrs_inlog.txt
ntfrsutl  outlog  > %FRSCK%/ntfrs_outlog.txt
ntfrsutl  version  > %FRSCK%/ntfrs_version.txt
regdmp HKEY_LOCAL_MACHINE/system/currentcontrolset/services/NtFrs/Parameters > %FRSCK%/ntfrs_reg.txt
dir //./sysvol /s > %FRSCK%/ntfrs_sysvol.txt

REM scan the frs debug logs for errors.

findstr /i ":SO: error invalid fail abort warn" %windir%/debug/ntfrs_*.log   |  findstr /v "IO_PEND ERROR_SUCCESS FrsErrorSuccess" > %FRSCK%/ntfrs_errscan.txt

REM For DS replication

repadmin /showreps  >  %FRSCK%/ds_showreps.txt
repadmin /showconn  >  %FRSCK%/ds_showconn.txt