![创建新的 AD 对象会删除另一个对象](https://linux22.com/image/741193/%E5%88%9B%E5%BB%BA%E6%96%B0%E7%9A%84%20AD%20%E5%AF%B9%E8%B1%A1%E4%BC%9A%E5%88%A0%E9%99%A4%E5%8F%A6%E4%B8%80%E4%B8%AA%E5%AF%B9%E8%B1%A1.png)
我们的一个 AD 存在问题:创建一个新对象将会删除另一个对象。
在其中一个DC中,我们记录了以下消息:
“SAM 数据库中有两个或多个具有相同 SID 属性的对象”
此 AD 最近在站点迁移期间被克隆:我们将原始 AD(所有机器)克隆到新 AD 中,并在运行测试时并行运行它(这两个 AD 实际上没有任何连接)。我们对文件服务器数据执行了增量更新(使用新基础架构上的“桥接”机器,它是唯一可以连接到两个位置的机器,不是 DC,无法连接到旧基础架构上的 DC)。
现在,这种情况发生了两次:创建新对象(任何对象:用户、组、计算机帐户等)会导致使用与现有对象相同的 SID 创建对象,此时两个对象都会立即被删除。我们发现了这一点,因为当我们尝试创建新用户帐户时,新创建的文件服务器突然从域中删除(我们必须将其重新添加到域)
现在,我们已尝试使两个 DC 上的 RID 池无效,但这似乎并未解决问题。
我们从 AD 中导出了所有 SID,并找到了最大的一个:S-1-5-21-XXXXXX-XXX-XXXXX-7601
然后我们使用Dcdiag.exe /TEST:RidManager /v
RID 主服务器检查了我们的 DC,得到了以下信息:
* rIDAllocationPool is 7600 to 8099
The DS has corrupt data: rIDPreviousAllocationPool value is not valid
* rIDPreviousAllocationPool is 0 to 0
* rIDNextRID: 0
No rids allocated -- please check eventlog.
所以:首先,我们收到了The DS has corrupt data: rIDPreviousAllocationPool value is not valid
消息。我不知道这是因为自从 RID 重置以来我们还没有分配新对象,还是因为这是一个真正的错误。可以肯定的是,事件日志中没有错误,只有关于 RID 池失效的信息性消息。
第二,rID分配池确实从 7600 开始,这暗示下一个要创建的对象很可能使用 RID7600它低于目前更高的 7601 SID,可能会导致删除问题(并且由于 RID 为 7601 的对象是我们必须将其重新添加到 AD 的文件服务器,因此会导致许多问题)。
所以:除了我不知道我们怎么会遇到这样的问题,因为我们从来没有将 AD 恢复到以前的状态之外,我该如何解决它?
答案1
我们已经修复了这个问题,但还没有找到根本原因。非常感谢那些试图提供帮助的人。
问题的根本原因是一台 AD 服务器的 RID 池无效。我们尝试通过使该计算机上的 RID 池无效来修复此问题,但在修复过程中我们犯了两个严重错误:首先,我们使错误服务器上的池无效。当我们意识到这一点时,我们又犯了第二个错误,即使另一台系统上的池无效,导致两台计算机上的所有池信息都丢失。
为了解决这个问题,我们做了以下事情:
- 将 RID 主服务器克隆到单独的隔离 VM。预计,我们可以将另一台 AD 服务器从网络中移除或将其关闭,然后在现有服务器上执行整个操作。
- 使 RID 池无效。
- 使用 ndsutil 在同一台机器上强制夺取 RID 主机角色。这样就恢复了 RID 池信息。
- 关闭原始 RID 主机,用克隆主机替换它,然后重新启动它。
- 一旦域恢复正常运行(并同步),则重新使第二个 AD 服务器上的 RID 池无效。
- 重新启动了第二台服务器。这导致池在服务器上刷新并再次有效。
我们的想法是,当 RID 主角色转移时,AD 中的 RID 信息将被重新创建。由于域 RID 信息正确,并且只有服务器本地池丢失,因此我们希望强制重新创建池,从 RID 主角色开始。
由于 RID 池信息在 RID 主机角色转移时会重新创建,因此我们希望强制执行该操作。我们还希望确保此操作在当前 RID 主机上完成,因为我们知道即使池无效,它也能够访问数据对象。
因此,我们需要一种方法来强制夺取当前 RID 主机上的角色。方法是将其与其他 AD 服务器隔离(在克隆系统上执行此操作只会给我们带来一些安全性)。一旦 RID 主机重新启动并运行,剩下的就只是管道了。
两台服务器现在都已恢复正常运行,并且 ID 池有效。我们在此过程中损失了大约 1000 个 RID(因为必须放弃每台服务器使用的范围),但这只是很小的代价。
我们将在有时间的时候重建两个新的 AD 服务器,并删除这两个服务器,以确保这里不存在任何挥之不去的问题。
我们让 MS 协助处理此案,但他们实际上并没有提供帮助:技术人员告诉我们 AD 已损坏,我们需要恢复备份。然后,当我们恢复所有功能时,他告诉我们他不知道为什么会这样。