ドメインコントローラーが2か月以上オフラインになり、同期できなくなった

短縮版

ドメインコントローラーがセットアップされた後、トゥームストーンの制限を超えてオフラインにされました。今、それを再び複製させることはできません。

関連するエラーメッセージ

dc2で（exchangeとdc1の両方について同じエラーメッセージが存在します）：

The kerberos client received a KRB_AP_ERR_MODIFIED error from the server host/exchange.mydomain.local. The target name used was exchange$@MDOMAIN.LOCAL. This indicates that the password used to encrypt the kerberos service ticket is different than that on the target server. Commonly, this is due to identically named machine accounts in the target realm (MYDOMAIN.LOCAL), and the client realm. Please contact your system administrator.

別の関連エラー（イベントID 2042）：

知識整合性チェッカー（KCC）が、次のドメインコントローラーを使用してレプリケートする連続した試行が一貫して失敗したことを検出しました。試行：12ドメインコントローラー：CN = NTDS設定、CN = DC1、CN =サーバー、CN = MainSite、CN = Sites、CN = Configuration、DC = mydomain、DC = local期間（分）：105103の接続オブジェクトこのドメインコントローラーは無視され、新しい一時接続が確立されて、レプリケーションが続行されるようになります。このドメインコントローラーとのレプリケーションが再開すると、一時的な接続は削除されます。追加のデータエラー値：2148074274ターゲットプリンシパル名が正しくありません。

イベントID 1925： The attempt to establish a replication link for the following writable directory partition failed.

その他の情報

どちらのサイトもVPNを介して接続されています。メインサイトには2つのドメインコントローラーがあります（これをExchangeとdc1と呼びます）。どちらもServer 2003です。重要な場合、dc1はすべてのFSMOの役割を保持します。

リモートサイトを設定するための準備として、私のセットアップは、ドメインコントローラと呼ばれるDC2 Server 2003 R2を実行している、とからADサイトとサービスでは、別のサイト、および構成された複製を構成しDC1にDC2。ルーターを介して接続することで、リモートサイトに適切なサブネットを用意しました（これは、サイトがVPNに接続される前なので、IPの競合はありませんでした）。

すべてがうまく機能していたので、私はシャットダウンして、取り出す準備をしました。しかし、事態は2か月以上遅延し続け、現在dc2は適切に複製されません。

私が試したこと

ドメインコントローラーの役割の削除-次のエラーで失敗します： Managing the network session with DC1.mydomain.com failed "Logon Failure: The target account name is incorrect."

マシンパスワードのリセット：

Disable and stop KDC service

klist /purge

netdom resetpwd /s:dc1 /ud:domainadmin /pd:domainadminpassword

Reboot

Reenable KDC service

「ターゲットプリンシパル名が正しくありません」というエラーが原因でトゥームストーンライフに達した後、レプリケーションの修正について行ったほとんどのKB記事が行き詰まりました。

実際に最も簡単な方法は、Active Directoryを削除して再インストールすることであり、サーバー全体を消去することなく実行できます。これにより、サーバー上の他のものがそのまま残ります。ただし、Active Directoryを適切に削除できないため、サーバーから強制的に削除してから、適切なドメインコントローラーで手動でクリーンアップする必要があります。

• 問題のあるサーバーをネットワークから切断して、正常なサーバーのアクティブディレクトリが破損するのを防ぎます。

• 問題のあるサーバーで、を実行しdcpromo /forceremovalます。これにより、他のドメインコントローラー上のレコードをすべて削除せずに、システム上のActive Directoryを削除できます。

• 適切なドメインコントローラからntdsutilを使用して、問題のサーバーをActive Directoryから削除します。手順は、dcpromo / forceremovalを実行するときのヘルプリンク、またはここにあります。http：//technet.microsoft.com/en-us/library/cc736378%28WS.10%29.aspx

• ADサイトとサービスでサーバーオブジェクトを削除する

• それがまだ存在する場合は、ADユーザーとコンピューターでサーバーを削除します。

• DNSからサーバーを削除します。

• • 逆引き参照ゾーンのNSエントリを削除する
• • 前方参照ゾーンのAエントリを削除する
• • forward lookup \ domain_msdcsのCNAMEエントリを削除します
• • 問題のサーバーを参照している_msdcs、_sites、_tcp、および_udpの下の多数のSRVレコードを削除します

• 新しいDCと同じように、問題のあるサーバーを再プロモートし、サイト設定を構成します。

この時点で、ntdsutilを使用して新しいDCを作成し、ADからdc2を削除する方がおそらく簡単です。