berkut_174
05-03-2019, 11:21
Всем привет!
Основная статья https://wiki.samba.org/index.php/Joining_a_Windows_Server_2008_/_2008_R2_DC_to_a_Samba_AD
Следуя ей, Windows Server 2008 R2 нормально добавляется в качестве DC, сама репликация работает.
Но есть несколько моментов, во-первых в оснастке "Роли", с красным крестиком показывается роль "DNS-сервер", во-вторых роль "Доменные службы Active Directory" показывается с восклицательным знаком.
В журналах такие ошибки:
DNS-серверу не удалось инициализировать интерфейсы безопасности Active Directory. Убедитесь, что Active Directory функционирует нормально и перезапустите DNS-сервер. Данные о событии содержат сведения об ошибке.
DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.
Безопасность данного сервера каталогов можно существенно повысить, если настроить его на отклонение привязок SASL (согласование, Kerberos, NTLM или выборка), которые не запрашивают подписи (проверки целостности) и простых привязок LDAP, которые выполняются для подключения LDAP с открытым (не зашифрованным SSL/TLS) текстом. Даже если никто из клиентов такие привязки не использует, настройка сервера на их отклонение улучшит безопасность этого сервера.
В данный момент некоторые клиенты могут рассчитывать на неподписанные привязки SASL или простые привязки LDAP для подключения без SSL/TLS и могут перестать работать, если будет сделано такое изменение конфигурации. Чтобы помочь выявить клиенты, у которых появляются такие привязки, данный сервер каталогов один раз каждые 24 часа будет регистрировать итоговое событие, указывающее, сколько таких привязок произошло. Рекомендуется настроить такие клиенты так, чтобы они не использовали эти привязки. Как только соответствующие события перестанут регистрироваться в течение достаточно продолжительного периода, рекомендуется настроить сервер на отклонение таких привязок.
Дополнительные сведения о том, как сделать соответствующие изменения в конфигурации сервера, см. в статье по адресу: http://go.microsoft.com/fwlink/?LinkID=87923.
Можно включить дополнительную регистрацию для фиксации события каждый раз, когда клиент выполняет такую привязку, включая сведения о том, на каком клиенте она сделана. Для этого следует поднять параметр для категории регистрации событий "События интерфейса LDAP" до уровня 2 или выше.
Также вот такую информацию выдаёт dcdiag:
C:\Users\administrator>dcdiag
Диагностика сервера каталогов
Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = DC2
* Идентифицирован лес AD.
Сбор начальных данных завершен.
Выполнение обязательных начальных проверок
Сервер проверки: Default-First-Site-Name\DC2
Запуск проверки: Connectivity
......................... DC2 - пройдена проверка Connectivity
Выполнение основных проверок
Сервер проверки: Default-First-Site-Name\DC2
Запуск проверки: Advertising
Внимание: DsGetDcName вернул сведения для \\dc1.base.ru при попытке
получения доступа к DC2.
СЕРВЕР НЕ ОТВЕЧАЕТ или НЕ СЧИТАЕТСЯ ПРИЕМЛЕМЫМ.
......................... DC2 - не пройдена проверка Advertising
Запуск проверки: FrsEvent
......................... DC2 - пройдена проверка FrsEvent
Запуск проверки: DFSREvent
......................... DC2 - пройдена проверка DFSREvent
Запуск проверки: SysVolCheck
......................... DC2 - пройдена проверка SysVolCheck
Запуск проверки: KccEvent
......................... DC2 - пройдена проверка KccEvent
Запуск проверки: KnowsOfRoleHolders
......................... DC2 - пройдена проверка KnowsOfRoleHolders
Запуск проверки: MachineAccount
......................... DC2 - пройдена проверка MachineAccount
Запуск проверки: NCSecDesc
......................... DC2 - пройдена проверка NCSecDesc
Запуск проверки: NetLogons
Не удается подключиться к общему ресурсу NETLOGON. (\\DC2\netlogon)
[DC2] Сбой операции net use или LsaPolicy с ошибкой 67,
Не найдено сетевое имя..
......................... DC2 - не пройдена проверка NetLogons
Запуск проверки: ObjectsReplicated
......................... DC2 - пройдена проверка ObjectsReplicated
Запуск проверки: Replications
......................... DC2 - пройдена проверка Replications
Запуск проверки: RidManager
......................... DC2 - пройдена проверка RidManager
Запуск проверки: Services
......................... DC2 - пройдена проверка Services
Запуск проверки: SystemLog
Возникло предупреждение. Код события (EventID): 0x000003F6
Время создания: 03/05/2019 12:09:48
Строка события:
Разрешение имен для имени base.ru истекло после отсутствия ответа от
настроенных серверов DNS.
......................... DC2 - пройдена проверка SystemLog
Запуск проверки: VerifyReferences
Проблемы у некоторых объектов, относящихся к DC DC2:
[1] Проблема: Отсутствует ожидаемое значение
Базовый объект:
CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sit
es,CN=Configuration,DC=base,DC=ru
Описание базового объекта: "Объект DSA"
Имя атрибута объекта значения: serverReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862
[1] Проблема: Отсутствует ожидаемое значение
Базовый объект: CN=DC2,OU=Domain Controllers,DC=base,DC=ru
Описание базового объекта: "Объект учетной записи DC"
Имя атрибута объекта значения: frsComputerReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862
......................... DC2 - не пройдена проверка VerifyReferences
Выполнение проверок разделов на: ForestDnsZones
Запуск проверки: CheckSDRefDom
В разделе каталога приложений DC=ForestDnsZones,DC=base,DC=ru
отсутствует домен ссылок дескрипторов безопасности. Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=493c74fe-c326-40e7-8a7e-107b2fbe71b7,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
......................... ForestDnsZones - не пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... ForestDnsZones - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: DomainDnsZones
Запуск проверки: CheckSDRefDom
В разделе каталога приложений DC=DomainDnsZones,DC=base,DC=ru
отсутствует домен ссылок дескрипторов безопасности. Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=a018ba96-2db0-432c-9543-a903297091a6,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
......................... DomainDnsZones - не пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... DomainDnsZones - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: Schema
Запуск проверки: CheckSDRefDom
......................... Schema - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Schema - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: Configuration
Запуск проверки: CheckSDRefDom
......................... Configuration - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Configuration - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: base
Запуск проверки: CheckSDRefDom
......................... base - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... base - пройдена проверка CrossRefValidation
Выполнение проверок предприятия на: base.ru
Запуск проверки: LocatorCheck
......................... base.ru - пройдена проверка LocatorCheck
Запуск проверки: Intersite
......................... base.ru - пройдена проверка Intersite
Я так понял, основная проблема в дескрипторах/интерфейсах безопасности.
Подскажите, как исправить эту ошибку и собственно как выполнить это требование:
Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=a018ba96-2db0-432c-9543-a903297091a6,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
?
В сети не могу найти никаких рекомендаций как это можно сделать, на wiki.samba.org тоже ничего не нахожу.
Основная статья https://wiki.samba.org/index.php/Joining_a_Windows_Server_2008_/_2008_R2_DC_to_a_Samba_AD
Следуя ей, Windows Server 2008 R2 нормально добавляется в качестве DC, сама репликация работает.
Но есть несколько моментов, во-первых в оснастке "Роли", с красным крестиком показывается роль "DNS-сервер", во-вторых роль "Доменные службы Active Directory" показывается с восклицательным знаком.
В журналах такие ошибки:
DNS-серверу не удалось инициализировать интерфейсы безопасности Active Directory. Убедитесь, что Active Directory функционирует нормально и перезапустите DNS-сервер. Данные о событии содержат сведения об ошибке.
DNS-сервер ожидает от доменных служб Active Directory (AD DS) сигнала о том, что первичная синхронизация каталога завершена. Службу DNS-сервера невозможно запустить до завершения первичной синхронизации, так как критические данные DNS могут быть еще не реплицированными на этот контроллер домена. Если журнал событий AD DS показывает, что имеются проблемы с разрешением DNS-имен в адреса, рассмотрите возможность добавления IP-адреса другого DNS-сервера для этого домена в список DNS-серверов в свойствах протокола IP этого компьютера. Такое событие будет записываться в журнал каждые две минуты, пока служба AD DS не сообщит об успешном завершении первичной синхронизации.
Безопасность данного сервера каталогов можно существенно повысить, если настроить его на отклонение привязок SASL (согласование, Kerberos, NTLM или выборка), которые не запрашивают подписи (проверки целостности) и простых привязок LDAP, которые выполняются для подключения LDAP с открытым (не зашифрованным SSL/TLS) текстом. Даже если никто из клиентов такие привязки не использует, настройка сервера на их отклонение улучшит безопасность этого сервера.
В данный момент некоторые клиенты могут рассчитывать на неподписанные привязки SASL или простые привязки LDAP для подключения без SSL/TLS и могут перестать работать, если будет сделано такое изменение конфигурации. Чтобы помочь выявить клиенты, у которых появляются такие привязки, данный сервер каталогов один раз каждые 24 часа будет регистрировать итоговое событие, указывающее, сколько таких привязок произошло. Рекомендуется настроить такие клиенты так, чтобы они не использовали эти привязки. Как только соответствующие события перестанут регистрироваться в течение достаточно продолжительного периода, рекомендуется настроить сервер на отклонение таких привязок.
Дополнительные сведения о том, как сделать соответствующие изменения в конфигурации сервера, см. в статье по адресу: http://go.microsoft.com/fwlink/?LinkID=87923.
Можно включить дополнительную регистрацию для фиксации события каждый раз, когда клиент выполняет такую привязку, включая сведения о том, на каком клиенте она сделана. Для этого следует поднять параметр для категории регистрации событий "События интерфейса LDAP" до уровня 2 или выше.
Также вот такую информацию выдаёт dcdiag:
C:\Users\administrator>dcdiag
Диагностика сервера каталогов
Выполнение начальной настройки:
Выполняется попытка поиска основного сервера...
Основной сервер = DC2
* Идентифицирован лес AD.
Сбор начальных данных завершен.
Выполнение обязательных начальных проверок
Сервер проверки: Default-First-Site-Name\DC2
Запуск проверки: Connectivity
......................... DC2 - пройдена проверка Connectivity
Выполнение основных проверок
Сервер проверки: Default-First-Site-Name\DC2
Запуск проверки: Advertising
Внимание: DsGetDcName вернул сведения для \\dc1.base.ru при попытке
получения доступа к DC2.
СЕРВЕР НЕ ОТВЕЧАЕТ или НЕ СЧИТАЕТСЯ ПРИЕМЛЕМЫМ.
......................... DC2 - не пройдена проверка Advertising
Запуск проверки: FrsEvent
......................... DC2 - пройдена проверка FrsEvent
Запуск проверки: DFSREvent
......................... DC2 - пройдена проверка DFSREvent
Запуск проверки: SysVolCheck
......................... DC2 - пройдена проверка SysVolCheck
Запуск проверки: KccEvent
......................... DC2 - пройдена проверка KccEvent
Запуск проверки: KnowsOfRoleHolders
......................... DC2 - пройдена проверка KnowsOfRoleHolders
Запуск проверки: MachineAccount
......................... DC2 - пройдена проверка MachineAccount
Запуск проверки: NCSecDesc
......................... DC2 - пройдена проверка NCSecDesc
Запуск проверки: NetLogons
Не удается подключиться к общему ресурсу NETLOGON. (\\DC2\netlogon)
[DC2] Сбой операции net use или LsaPolicy с ошибкой 67,
Не найдено сетевое имя..
......................... DC2 - не пройдена проверка NetLogons
Запуск проверки: ObjectsReplicated
......................... DC2 - пройдена проверка ObjectsReplicated
Запуск проверки: Replications
......................... DC2 - пройдена проверка Replications
Запуск проверки: RidManager
......................... DC2 - пройдена проверка RidManager
Запуск проверки: Services
......................... DC2 - пройдена проверка Services
Запуск проверки: SystemLog
Возникло предупреждение. Код события (EventID): 0x000003F6
Время создания: 03/05/2019 12:09:48
Строка события:
Разрешение имен для имени base.ru истекло после отсутствия ответа от
настроенных серверов DNS.
......................... DC2 - пройдена проверка SystemLog
Запуск проверки: VerifyReferences
Проблемы у некоторых объектов, относящихся к DC DC2:
[1] Проблема: Отсутствует ожидаемое значение
Базовый объект:
CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sit
es,CN=Configuration,DC=base,DC=ru
Описание базового объекта: "Объект DSA"
Имя атрибута объекта значения: serverReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862
[1] Проблема: Отсутствует ожидаемое значение
Базовый объект: CN=DC2,OU=Domain Controllers,DC=base,DC=ru
Описание базового объекта: "Объект учетной записи DC"
Имя атрибута объекта значения: frsComputerReferenceBL
Описание объекта значения: "Объект члена SYSVOL FRS"
Рекомендуемое действие: См. статью базы знаний: Q312862
......................... DC2 - не пройдена проверка VerifyReferences
Выполнение проверок разделов на: ForestDnsZones
Запуск проверки: CheckSDRefDom
В разделе каталога приложений DC=ForestDnsZones,DC=base,DC=ru
отсутствует домен ссылок дескрипторов безопасности. Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=493c74fe-c326-40e7-8a7e-107b2fbe71b7,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
......................... ForestDnsZones - не пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... ForestDnsZones - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: DomainDnsZones
Запуск проверки: CheckSDRefDom
В разделе каталога приложений DC=DomainDnsZones,DC=base,DC=ru
отсутствует домен ссылок дескрипторов безопасности. Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=a018ba96-2db0-432c-9543-a903297091a6,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
......................... DomainDnsZones - не пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... DomainDnsZones - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: Schema
Запуск проверки: CheckSDRefDom
......................... Schema - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Schema - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: Configuration
Запуск проверки: CheckSDRefDom
......................... Configuration - пройдена проверка
CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... Configuration - пройдена проверка
CrossRefValidation
Выполнение проверок разделов на: base
Запуск проверки: CheckSDRefDom
......................... base - пройдена проверка CheckSDRefDom
Запуск проверки: CrossRefValidation
......................... base - пройдена проверка CrossRefValidation
Выполнение проверок предприятия на: base.ru
Запуск проверки: LocatorCheck
......................... base.ru - пройдена проверка LocatorCheck
Запуск проверки: Intersite
......................... base.ru - пройдена проверка Intersite
Я так понял, основная проблема в дескрипторах/интерфейсах безопасности.
Подскажите, как исправить эту ошибку и собственно как выполнить это требование:
Администратор
должен задать для атрибута msDS-SD-Reference-Domain объекта
перекрестной ссылки
CN=a018ba96-2db0-432c-9543-a903297091a6,CN=Partitions,CN=Configurati
on,DC=base,DC=ru
значение DN домена.
?
В сети не могу найти никаких рекомендаций как это можно сделать, на wiki.samba.org тоже ничего не нахожу.