Один контроллер домена не работает

Как восстановили контроллер домена

Сказ о том что SystemState сделанный NTBackup не такой уж и помощник при восстановлении DC.

Начну с далека.
Устроился и на место админа, ранее работал разрабом, но тут платили существенно больше, поэтому решил пока сменить сферу деятельности.

Было 4 сервера в моей компетенции:
dc — контроллер домена
fs — файловый + принт сервер
av — сервер с антивирусом + местный чат
db — для базы

Через месяцок приехало 2 новых сервера: один пошел для одного спецпроекта вне моей компетенции, и один для нужд инфраструктуры, т.е. для меня.

Ранее я уже работал с hyper-v, поэтому решил не заморачиваться и развернул его, а не vmware, хоть тоже пробовал и ее.
Завел еще один контроллер домена dc2, wsus, новый fs, принт сервер и т.д.
Списали старые сервера: av, db с помощью Acronis True Image Universal Restore перенесли на hyper-v, старый fs просто убрали.
И так у нас было: dc1 (старый dc физический), под hyper-v крутилось dc2, новый fs и т.д. что надо для жизни.

Через годика полтора приехало еще много оборудования и решили существующий сервер hyper-v отдать для других задач, а развернуть кластер из двух сервер hyper-v. Потиху перекидывали сервера со старого hyper-v на кластер. Решили пока контроллеры домена не трогать.

Сервер dc1 стал хереть и мы решили что надо бы от него избавится. Сделали копию с помощью disk2vhd и был свеженький SystemState, делавшийся ежедневно с помощью NTBackup.
Решаем начать с vhd файл dc1. Создали виртуальную машину с этим vhd — при старте получаем BSOD. C помощью Acronis True Image Universal Restore добились чтобы сервер запускался, но AD ругается, что ему плохо и AD фактически не пашет. В инете отыскали, что нельзя с DC так поступать: снимать образы разделов.

Привалило работы и немного отвлеклись. dc2 выполнял функции DC.

Напарник решил перекинуть со старого hyper-v сервер dc2 на кластер. Просто перекинул vhd файл, создал новую виртуальную машину с этим файлом и запустил сервер. ОС загрузилась, но оказалась новая сетевая карта и AD работать не будет.
Случайно xml файл описания виртуальной машины на старом hyper-v он удалил. Теперь и на старом hyper-v сервере dc2 ругалось аналогично.

Решили восстановить dc1 из SystemState на кластере hyper-v, т.к. физический сервер dc1 не поддерживает загрузку с cd, а сама ОС уже перестала загружаться. Ставлю такую же Windows Server 2003. Восстанавливаю SystemState, но после ребута BSOD *** Stop: 0x0000007B.
Находим на technet как можно попробовать оживить dc2.

Создаем новую виртуальную машину, подключаем к ней vhd файл dc2, грузимся в нее. В ней добавляем переменную окружения DEVMGR_SHOW_NONPRESENT_DEVICES со значением 1. Потом в device manager показываем скрытые устройства, находим старую сетевую и сохраняем GUID устройства. У созданной виртуальной машины удаляем vhd файл и делаем экспорт ее (без vhd файла это проходит быстрее 🙂 ). В эскортированном xml файле правим GUID сетевой карты. Потом импортируем виртуальную машину и подключаем нетронутый vhd файл от dc2.

Грузимся в Directory Services Restore Mode (надо пароль пользователя administrator, мы сбрасывали, т.к. пользователь был заблокирован и т.д.), добавляем описанные здесь technet.microsoft.com/en-us/library/virtual_active_directory_domain_controller_virtualization_hyperv(WS.10).aspx параметры в реестр.
Система загружается, но оснастки AD при запуске сообщают — проблемы со службой workstation. Сервер находится в состоянии уже не рядового сервера, но еще и не контроллера домена. Порывшись по technet находим в одной ветке обсуждение схожей проблемы. Там правильные ответы подсвечиваются и все они гласят, что надо было юзать ntbackup и т.д. (да уж, помог этот ntbackup), но в самом низу был пост, где товарищ посоветовал: удалить Client for Microsoft Networks в TCI/IP свойствах сетевой карты, а потом сразу установить.

И это помогло: оснастки AD стали открываться без проблем. Произвели захват ролей.
По совету брата, тоже админ, решил поднять dc3 на кластере, чтобы проверить будет ли все нормально реплицироваться. Все было нормально и уже по методике описанной здесь www.petri.co.il/delete_failed_dcs_from_ad.htm почистили упоминания о dc1.
После на кластере был поднят новый dc1, со старыми ip и переносом ролей на него, т.к. так нужно для местной инфраструктуры.

Вывод

1 — С самого начала надо было развернуть еще один дополнительный dc, понизить d1, а потом пересоздать его
2 — не удалять ничего раньше времени: надо просто выключить dc2 на старом hyper-v и воспользоваться экспортом виртуальной машины
3 — Советоваться и обсуждать действия перед началом работ

Источник

Один контроллер домена не работает

Есть 2 контроллера домена, оба Windows Server 2012 R2 на виртуалках.

На одном такая проблема: На самом контроллере не удаётся запустить оснастки администрирования MMC, типа DNS, DHCP, AD Users&Computers и т.д.

При этом если запустить оснастки на рабочей станции (Windows 7) и «зацепиться» ими за этот контроллер, то оснастки работают.

На втором контроллере всё ОК.

В логае Directory Service МНОГО событий 1655:

Попытки обращения доменных служб Active Directory к следующему глобальному каталогу завершились неудачно.
Глобальный каталог:
\\dir1.ingeos.local
Продолжение выполнения текущей операции невозможно. Доменные службы Active Directory при помощи локатора контроллеров домена попытаются найти сервер глобального каталога.

МНОГО ошибок 1126:

Доменным службам Active Directory не удается подключиться к глобальному каталогу.

Дополнительные данные
Значение ошибки:
10054 Удаленный хост принудительно разорвал существующее подключение.
Внутренний идентификатор:
3200daf
Действие пользователя:
Убедитесь, что глобальный каталог находится в лесу и доступен для контроллера домена. Для диагностики можно использовать программу NLTEST.

Есть ошибка 2087:

Доменные службы Active Directory не могут разрешить следующее DNS-имя исходного контроллера домена в IP-адрес. Эта ошибка препятствует репликации добавлений, удалений и изменений в доменные службы Active Directory с одного или нескольких контроллеров домена в этом лесу. Пока эта ошибка не будет устранена, информация о группах безопасности, групповой политике, пользователях и компьютерах и их паролях будет не согласована между контроллерами домена, что может нарушить проверку подлинности при входе или доступ к сетевым ресурсам.

Исходный контроллер домена:
bserv
Ошибочное имя узла DNS:
2cd6d1be-34c6-4969-ba48-6eaab1a103a1._msdcs.ingeos.local

Примечание: по умолчанию для любого 12-часового периода отображаются до 10 ошибок DNS, даже если их произошло больше. Чтобы записывать в журнал отдельные ошибки, установите следующее диагностическое значение реестра равным 1:

Раздел реестра:
HKLM\System\CurrentControlSet\Services\NTDS\Diagnostics\22 DS RPC Client
Действие пользователя:
1) Если исходный контроллер домена больше не функционирует или его операционная система была переустановлена с использованием другого имени компьютера или другого GUID объекта NTDSDSA, удалите метаданные исходного контроллера домена с помощью NTDSUTIL.EXE, выполнив шаги, перечисленные в статье 216498 базы знаний MSKB.
2) Убедитесь, что исходный контроллер домена несет доменные службы Active Directory и доступен в сети, введя команду «net view \\ » или «ping «.
3) Проверьте, что исходный контроллер домена использует правильный DNS-сервер для служб DNS и что запись узла и запись CNAME исходного контроллера домена правильно зарегистрированы, воспользовавшись расширенной для DNS версией программы DCDIAG.EXE, имеющейся на http://www.microsoft.com/dns
dcdiag /test:dns
4) Проверьте, что конечный контроллер домена использует правильный DNS-сервер для служб DNS, воспользовавшись расширенной для DNS версией программы DCDIAG.EXE на консоли конечного контроллера домена, выполнив следующую команду:
dcdiag /test:dns
5) Для дальнейшего анализа ошибок DNS ознакомьтесь со статьей базы знаний 824449:
http://support.microsoft.com/?kbid=824449
Дополнительные данные
Значение ошибки:
11001 Этот хост неизвестен.

Есть событие 2092:

Этот сервер является владельцем роли FSMO, но не считает ее действительной. Для раздела, содержащего FSMO, этот сервер не выполнил успешной репликации ни с одним из партнеров репликации с момента своего перезапуска. Ошибки репликации мешают выполнению проверки этой роли.
Операции, требующие обращения к хозяину операций FSMO, не смогут выполняться, пока это состояние не будет исправлено.
Роль FSMO: DC=ingeos,DC=local
Действие пользователя:
1. Начальная синхронизация является самой первой репликацией, выполняемой системой при запуске. Ошибка при выполнении начальной синхронизации может быть причиной того, что роль FSMO не может быть проверена. Описание этого процесса содержится в статье базы знаний 305476.
2. У этого сервера есть один или несколько партнеров репликации, и репликация завершается ошибкой для всех этих партнеров. Используйте команду «repadmin /showrepl» для отображения ошибок репликации. Исправьте соответствующую ошибку. Например, это могут быть проблемы связи IP, разрешения DNS-имен или проверки подлинности, которые мешают успешному выполнению репликации.
3. В редких случаях, когда отключение всех партнеров репликации является ожидаемым (возможно, для обслуживания или восстановления после ошибки), проверку роли можно выполнить принудительно. Это можно сделать с помощью программы NTDSUTIL.EXE, выполнив захват этой роли для того же самого сервера. Пошаговые инструкции содержатся в статьях базы знаний 255504 и 324801 на веб-сайте http://support.microsoft.com.
Могут быть затронуты следующие операции:
Схема: нельзя будет изменять схему для этого леса.
Именование доменов: нельзя будет добавлять или удалять домены из этого леса.
PDC: нельзя будет выполнять операции на основном контроллере домена, такие как обновление групповой политики и сброс паролей для учетных записей, не принадлежащих к доменным службам Active Directory.
RID: нельзя будет выделять новые идентификаторы безопасности для новых учетных записей пользователей, учетных записей компьютеров и групп безопасности.
Инфраструктура: междоменные ссылки на имена, такие как членство в универсальных группах, не будут правильно обновляться в случае перемещения или переименования конечных объектов.

В журнале DFS ReplicationМНОГО событий 1202:

Службе репликации DFS не удалось связаться с контроллером домена , чтобы получить сведения о конфигурации. Репликация остановлена. Служба вновь попытается это сделать во время следующего цикла опроса, который произойдет через 60 мин. Это событие может быть вызвано проблемами с подключением TCP/IP, брандмауэром, доменными службами Active Directory или DNS.
Дополнительные сведения:
Ошибка: 160 (Неверны один или несколько аргументов.)

Правда, я не уверен, что эти записи как-то связаны с моей проблемой.

Источник

Контроллер домена работает неправильно

Внимание! Эта статья содержит решения, связанные с изменениями реестра. Перед внесением изменений в реестр рекомендуется создать его резервную копию и изучить процедуру его восстановления в случае возникновения проблем. Сведения о создании резервной копии, восстановлении и изменении реестра см. в следующей статье базы знаний Майкрософт:

256986 Описание реестра Microsoft Windows

После запуска средства Dcdiag на контроллере домена под управлением Windows 2000 Server или Windows Server 2003 появляется следующее сообщение об ошибке.

Диагностика контроллера домена
Выполнение начальной настройки:
[DC1] Сбой привязки LDAP с ошибкой 31

Если запустить служебную программу REPADMIN /SHOWREPS на контроллере домена в локальном режиме, может появиться одно из следующих сообщений об ошибке:

[D:\nt\private\ds\src\util\repadmin\repinfo.c, 389] Ошибка LDAP 82 (Локальная ошибка).

Последняя попытка в ГГГГ-ММ-ДД ЧЧ:ММ.СС завершилась с ошибкой, результат 1753: В системе отображения конечных точек не осталось доступных конечных точек.

Последняя попытка в ГГГГ-ММ-ДД ЧЧ:ММ.СС завершилась с ошибкой, результат 5: Отказано в доступе.

При активации репликации с помощью оснастки «Active Directory — сайты и службы Active Directory», может появиться сообщение об отказе в доступе.

При попытке получить с консоли контроллера домена доступ к сетевым ресурсам, включая ресурсы в формате UNC и сопоставленные сетевые диски, может появиться следующее сообщение об ошибке:

Нет доступных серверов входа (c000005e = «STATUS_NO_LOGON_SERVERS»)

После запуска с консоли контроллера домена одного из средств администрирования Active Directory, включая оснастки «Active Directory — сайты и службы» и «Active Directory — пользователи и компьютеры», может появиться одно из следующих сообщений об ошибках:

Не удалось найти сведения об именах по следующей причине: Невозможно обратиться за проверкой подлинности в орган сертификации. Обратитесь к администратору и проверьте правильность настройки домена и что домен работает.

Не удалось найти сведения об именах по следующей причине: Конечная учетная запись указана неверно. Обратитесь к администратору и проверьте правильность настройки домена и что домен работает.

Клиенты Microsoft Outlook, подключенные к компьютерам с Microsoft Exchange Server, которые использует данные контроллеры домена для проверки подлинности, могут получить запрос на ввод учетных данных, даже если проверка подлинности входа в систему на других контроллерах домена прошла успешно.

Средство Netdiag может отобразить следующие сообщения об ошибках:

DC list test . . . . . . . . . . . : Сбой
[ПРЕДУПРЕЖДЕНИЕ] Не удается вызвать DsBind для . ( ). [ERROR_DOMAIN_CONTROLLER_NOT_FOUND]
Kerberos test. . . . . . . . . . . : Сбой
[FATAL] Kerberos does not have a ticket for krbtgt/ .

[FATAL] Kerberos does not have a ticket for .
LDAP test. . . . . . . . . . . . . : Успешно
[ПРЕДУПРЕЖДЕНИЕ] Failed to query SPN registration on DC \

В журнале системных событий на контроллере домена может быть зарегистрировано следующее событие:

Проблема

Ниже представлен список некоторых способов решения этих проблем. После него приводятся действия, подлежащие выполнению для каждого решения. Используйте способы по очереди, пока проблема не будет устранена. В конце статьи приводится перечень статей базы знаний Майкрософт, в которых описаны менее распространенные способы устранения подобных проблем.

Способ 1. Исправление ошибок в службе доменных имен (DNS).

Способ 2. Синхронизация времени компьютеров.

Способ 3. Проверка наличия права Доступ к компьютеру из сети.

Способ 4. Установка значения 532480 для атрибута userAccountControl на контроллере домена.

Способ 5. Исправление сферы Kerberos (разделы реестра PolAcDmN и PolPrDmN должны совпадать).

Способ 6. Сброс пароля учетной записи компьютера и получение нового билета Kerberos.

Способ 1. Исправление ошибок в DNS

Введите в командной строке команду netdiag -v. В папке, в которой был выполнен запуск, эта команда создает файл Netdiag.log.

Перед тем как перейти к выполнению дальнейших действий, устраните все ошибки DNS, содержащиеся в файле Netdiag.log. Средство Netdiag входит в состав средств поддержки Windows 2000 Server на компакт-диске Windows 2000 Server. Кроме того, средства поддержки Windows 2000 Server можно загрузить с веб-узла корпорации Майкрософт по следующему адресу:

http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/supporttools.mspx (эта ссылка может указывать на содержимое полностью или частично на английском языке)

Проверьте конфигурацию DNS. Одна из наиболее распространенных ошибок DNS заключается в том, что контроллер домена указывает для разрешения DNS-имен на сервер поставщика услуг Интернета, а не на самого себя или на другой DNS-сервер, поддерживающий динамическое обновление и SRV-записи. Оптимальной является конфигурация, при которой контроллер домена указывает на самого себя или на другой DNS-сервер, поддерживающий динамическое обновление и SRV-записи. Рекомендуется настроить серверы пересылки на разрешение имен в Интернете через поставщика услуг Интернета

Дополнительные сведения о настройке DNS для службы каталогов Active Directory см. в следующих статьях базы знаний Майкрософт:

291382 Вопросы и ответы о службе DNS в Windows 2000 и Windows Server 2003

237675 Настройка службы доменных имен (DNS) для Active Directory

254680 Планирование пространства DNS-имен (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

255248 Создание дочернего домена в Active Directory и делегация пространства DNS-имен (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

Способ 2. Синхронизация времени компьютеров

Убедитесь, что время правильно синхронизировано между контроллерами домена, а также между клиентскими компьютерами и контроллерами домена.

Дополнительные сведения о настройке службы времени Windows см. в следующих статьях базы знаний Майкрософт:

258059 Как синхронизировать время на компьютерах под управлением Microsoft Windows 2000 в домене Microsoft Windows NT 4.0

216734 Настройка основного сервера времени в Windows 2000

Способ 3. Проверка наличия права «Доступ к компьютеру из сети»

Проверьте файл Gpttmpl.inf и убедитесь, что соответствующие пользователи имеют право Доступ к компьютеру из сети на контроллере домена. Для этого выполните указанные ниже действия.

Внесите изменения в файл Gpttmpl.inf используемой по умолчанию политики контроллеров домена. По умолчанию права пользователей на контроллере домена определяются используемой по умолчанию политикой контроллеров домена. По умолчанию файл Gpttmpl.inf используемой по умолчанию политики контроллеров домена расположен в указанной ниже папке.

Примечание. Папка Sysvol может иметь другое расположение, однако путь к файлу Gpttmpl.inf остается неизменным.

Контроллеры домена под управлением Windows Server 2003:

C:\WINDOWS\Sysvol\Sysvol\ \Policies\<6ac1786c-016f-11d2-945f-00c04fb984f9>\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf

Контроллеры домена под управлением Windows 2000 Server:

C:\WINNT\Sysvol\Sysvol\ \Policies\<6ac1786c-016f-11d2-945f-00c04fb984f9>\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf

Справа напротив записи SeNetworkLogonRight добавьте идентификаторы безопасности групп «Администраторы», «Прошедшие проверку» и «Все». См. перечисленные ниже примеры.

Контроллеры домена под управлением Windows Server 2003:

Контроллеры домена под управлением Windows 2000 Server:

Примечание. Группы «Администраторы» (S-1-5-32-544), «Прошедшие проверку» (S-1-5-11), «Все» (S-1-1-0) и «Контроллеры предприятия» (S-1-5-9) имеют хорошо известные, одинаковые для любого домена идентификаторы безопасности.

Удалите все данные справа от записи SeDenyNetworkLogonRight («Отказ в доступе к компьютеру из сети»). См. следующий пример:

Примечание. Этот пример применим как к Windows 2000 Server, так и к Windows Server 2003.

По умолчанию на компьютере под управлением Windows 2000 Server запись SeDenyNetworkLogonRight не содержит данных, а на компьютере под управлением Windows Server 2003 в ней указана только учетная запись Support_ произвольная_строка. (Учетная запись Support_ произвольная_строка используется удаленным помощником.) Так как учетная запись Support_ произвольная_строка имеет в каждом домене уникальный идентификатор безопасности, ее сложно отличить по идентификатору от обычной учетной записи пользователя. Скопируйте ИД безопасности в текстовый файл, а затем удалите его из записи SeDenyNetworkLogonRight (таким образом его можно будет скопировать обратно после устранения проблемы).

Свойства SeNetworkLogonRight и SeDenyNetworkLogonRight могут быть определены в составе любой политики. Если описанные выше действия не приводят к устранению проблемы, проверьте файл Gpttmpl.inf для других политик в папке Sysvol и убедитесь, что права пользователей не определены где-нибудь еще. Если в файле Gpttmpl.inf нет ссылок на свойства SeNetworkLogonRight и SeDenyNetworkLogonRight, значит они не определены с помощью политики и, следовательно, описанные проблемы не могут быть вызваны данной политикой. Если же такие записи существуют, убедитесь, что они соответствуют формату, который был приведен выше для используемой по умолчанию политики контроллеров домена.

Способ 4. Установка значения 532480 для атрибута userAccountControl на контроллере домена

В меню Пуск выберите команду Выполнить и введите adsiedit.msc.

Разверните узлы Domain NC, DC= domain и OU=Domain Controllers.

Щелкните правой кнопкой мыши контроллер домена и выберите пункт Свойства.

На компьютере под управлением Windows Server 2003 установите на вкладке Редактор атрибутов флажки Отображать обязательные атрибуты и Отображать дополнительные атрибуты. На компьютере под управлением Windows 2000 Server выберите в списке Выберите тип свойств для просмотра значение Оба.

На компьютере под управлением Windows Server 2003 выберите в списке Атрибуты атрибут userAccountControl. На компьютере под управлением Windows 2000 Server выберите в списке Выберите тип свойств для просмотра атрибут userAccountControl.

Если значение атрибута не равно 532480, в поле Изменить атрибут введите 532480 и последовательно нажмите кнопки Задать, Применить и ОК.

Закройте редактор ADSI.

Способ 5. Исправление сферы Kerberos (разделы реестра PolAcDmN и PolPrDmN должны совпадать)

Примечание. Этот способ применим только к Windows 2000 Server.
Внимание! Неправильное использование редактора реестра может привести к серьезным проблемам, для решения которых может потребоваться переустановка операционной системы. Корпорация Майкрософт не гарантирует возможность решения проблем, вызванных неправильным использованием редактора реестра. Ответственность за изменение реестра несет пользователь.

Откройте редактор реестра.

На левой панели разверните узел Security.

В меню Security выберите пункт Разрешения, чтобы предоставить локальной группе «Administrators» полный доступ к кусту SECURITY, а также дочерним контейнерам и объектам.

Найдите раздел HKEY_LOCAL_MACHINE\SECURITY\Policy\PolPrDmN.

На правой панели редактора реестра один раз щелкните запись : REG_NONE.

В меню Вид выберите Вывод двоичных данных. В разделе Формат выберите 1 байт.

В правой части диалогового окна Двоичные данные отобразится имя домена в виде строки. Имя домена является сферой Kerberos.

Найдите раздел HKEY_LOCAL_MACHINE\SECURITY\Policy\PolACDmN.

На правой панели двойным щелчком выберите : REG_NONE.

В диалоговом окне Редактор двоичных данных вставьте значение из раздела PolPrDmN. (Значение из раздела PolPrDmN — это NetBIOS-имя домена.)

Перезагрузите контроллер домена.

Способ 6. Сброс пароля учетной записи компьютера и получение нового билета Kerberos

Остановите службу центра распространения ключей Kerberos и выберите для нее тип запуска «Вручную».

С помощью средства Netdom (входит в состав средств поддержки Windows 2000 Server и Windows Server 2003) выполните для контроллера домена сброс пароля учетной записи компьютера:

netdom resetpwd /server: другой контроллер домена /userd:domain\administrator /passwordd: пароль администратора

Убедитесь, что появилось сообщение об успешном выполнении команды netdom (в противном случае это означает, что команда не привела к ожидаемым результатам). Для домена Contoso, в котором контроллер домена, подверженный ошибкам, называется DC1, а работающий контроллер домена — DC2, с консоли DC1 необходимо выполнить команду netdom следующего вида:

netdom resetpwd /server:DC2 /userd:contoso\administrator /passwordd: пароль администратора

Перезагрузите контроллер домена, подверженный ошибкам.

Запустите службу центра распространения ключей Kerberos и выберите для нее тип запуска Авто.

Дополнительные сведения об этой проблеме см. в следующей статье базы знаний Майкрософт:

325322 При попытке открыть диспетчер Exchange появляется сообщение об ошибке «Сервер неработоспособен» (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

284929 Не удается запустить оснастки Active Directory: появляется сообщение об ошибке «Невозможно обратиться за проверкой подлинности в орган сертификации» (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

257623 После обновления операционной системы основного контроллера домена Windows NT 4.0 до Windows 2000 DNS-суффикс контроллера домена не соответствует имени домена

257346 После отмены права «Доступ к компьютеру из сети» перестают работать некоторые средства (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

316710 Определенные службы Exchange не запускаются, если отключена служба центра распространения ключей Kerberos

329642 При открытии оснасток Active Directory и диспетчера Exchange появляются сообщения об ошибках (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

272686 После открытия оснастки «Active Directory — пользователи и компьютеры» появляются сообщения об ошибке (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

323542 Не удается запустить оснастку «Active Directory — пользователи и компьютеры», так как сервер неработоспособен (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

329887 Не удается воспользоваться оснастками Active Directory из состава консоли управления MMC (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

325465 Для использования средств администрирования Windows 2003 Server на контроллере домена Windows 2000 требуется пакет обновления 3 (SP3) или более поздняя версия (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

322267 Удаление клиента для сетей Майкрософт приводит к удалению других служб (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

297234 Разница во времени между клиентским компьютером и сервером (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

247151 При запуске оснастки из состава консоли управления пользователи домена нижнего уровня могут получать сообщение об ошибке (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

280833 Если в прокси-клиенте указаны не все зоны DNS, в службе DNS возникают ошибки, которые трудно обнаружить (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

322307 После установки пакета обновления 2 (SP2) для Windows 2000 не удается запустить службы Exchange и оснастки Active Directory (Эта ссылка может указывать на содержимое полностью или частично на английском языке)

Источник