近日,DC总报错,每隔5分钟出现一次事件1030和1058。

1030:
详细信息为:
事件类型:      错误
事件来源:      Userenv
事件种类:      无
事件 ID: 1030
日期:             2007-11-29
事件:             9:15:57
用户:             NT AUTHORITY\SYSTEM
计算机:   #
描述:
Windows 不能查询组策略对象列表。请查看事件日志,从中寻找策略引擎以前可能记录的描述此原因的消息。
有关更多信息,请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

1058:
详细信息为:
事件类型:      错误
事件来源:      Userenv
事件种类:      无
事件 ID: 1058
日期:             2007-11-29
事件:             9:15:57
用户:             NT AUTHORITY\SYSTEM
计算机:   #
描述:
Windows 无法访问 GPO CN={4128F472-DD32-4BB0-9840-E1DC84AEB7C1},CN=Policies,CN=System,DC=**,DC=*,DC=*,DC=*,DC=cn 的

文件 gpt.ini。此文件必须在 <\\*.*.*.*.cn\SysVol\*.*.*.*.cn\Policies\{4128F472-DD32-4BB0-9840-E1DC84AEB7C1}\gpt.ini>。(

拒绝访问。 )。组策略处理中止。
有关更多信息,请参阅在 http://go.microsoft.com/fwlink/events.asp 的帮助和支持中心。

尝试过许多方法,均告失败。
奏效的方法为:

在保证安装必须的supporttools和sp的情况下,

首先,对DFS进行刷新:
运行   dfsutil /pktflush
      dfsutil /spcflush
      dfsutil /purgemupcache
然后,刷新组策略

运行 gpupdate /force

此时报错情况消失,有帖子说这样解决问题会在重启之后重新出现,我试过之后没有问题。

 

根据MS网站,其他原因造成这种情况的解决办法主要有以下几种:

第一种情况:

原因

如果您将不适当的权限分配给 %SystemRoot%\Winnt\Sysvol 文件夹或将不适当的组分配给 Bypass Traverse Checking User Rights

Assignment(跳过遍历检查用户权利指派),可能会发生此问题。另外,如果 sysvol 共享权限限制过多,也可能会发生此问题。

解决方案

要解决此问题,请根据您的操作系统,使用以下方法之一:

Windows Server 2003

1.
设置文件夹安全权限。为此,请按照下列步骤操作:
a.在 Windows 资源管理器中,右键单击“%SystemRoot%\Windows\Sysvol”文件夹,然后单击“属性”。

b.在“安全性”选项卡上,单击“高级”,单击以清除“允许从父系来的继承权限传播到这个对象”复选框,然后单击“确定”。确保安全设置与以下设置相匹配,然后单击“确定

”:

管理员:完全控制
经身份验证的用户:读取、读取和执行、列出文件夹内容
创建者所有者:没有选中项
服务器操作员:读取、读取和执行、列出文件夹内容
系统:完全控制

c.右键单击“%SystemRoot%\Windows\Sysvol\Sysvol”文件夹,然后单击“属性”。

d.在“安全性”选项卡上,单击“高级”,单击以清除“允许从父系来的继承权限传播到这个对象”复选框,然后单击“确定”两次。

e.右键单击“%SystemRoot%\Winnt\Sysvol\Sysvol\domain”文件夹,然后单击“属性”。

f.在“安全性”选项卡上,单击“高级”,单击以清除“允许从父系来的继承权限传播到这个对象”复选框,然后单击“确定”两次。

g.右键单击“%SystemRoot%\Winnt\Sysvol\Sysvol\domain\Policies”文件夹,然后单击“属性”。

h.在“安全性”选项卡上,单击“高级”,单击以清除“允许从父系来的继承权限传播到这个对象”复选框,然后单击“确定”。确保安全设置与以下设置相匹配,然后单击“确定

”:

管理员:完全控制
经身份验证的用户:读取、读取和执行、列出文件夹内容
创建者所有者:没有选中项
组策略创建者所有者:读取、读取和执行、列出文件夹内容、修改、写入
服务器操作员:读取、读取和执行、列出文件夹内容
系统:完全控制

i.对于位于 %SystemRoot%\Winnt\Sysvol\Sysvol\domain\Policies 文件夹中的文件或文件夹,分别右键单击这些文件或文件夹,然后单击“属性”。

j.在“安全性”选项卡上,单击“高级”,单击以选择“允许从父系来的继承权限传播到这个对象”复选框,然后单击“确定”两次。

2.展开“Active Directory 用户和计算机”。为此,单击“开始”,单击“所有程序”,然后单击“管理工具”。

3.展开“Active Directory 用户和计算机”,展开域名,右键单击“域控制器”,然后单击“属性”。

4.在“组策略”选项卡上,单击“默认域控制器策略”,然后单击“编辑”。

注意:如果安装了组策略管理控制台,则“编辑”按钮不可用。在这种情况下,单击“打开”以启动组策略管理控制台,展开“domain name”,展开“域控制器”,右键单击“默

认域控制器策略”,然后单击“编辑”。
 (http://www.microsoft.com/windowsserver2003/gpmc/default.mspx)

5.展开下面的文件夹:

计算机配置
Windows 设置
安全设置
本地策略

6.单击“用户权限分配”,然后双击“跳过遍历检查”。应该出现下列默认设置:

经身份验证的用户
所有人
管理员

如果没有出现,而您又需要添加这些组,请单击“添加用户或组”,然后单击“浏览”。

7.单击“开始”,单击“运行”,键入 gpupdate,然后单击“确定”。

8.请验证 sysvol 共享权限设置是否正确,如下所示:

管理员 = 完全控制
经身份验证的用户 = 完全控制
所有人 = 读取

注意:如果此过程不能解决问题,或者您在访问组策略时遇到问题,请检查服务器上的绑定顺序,以确保内部网络适配器在绑定顺序列表中排在第一位。要检查绑定顺序,请按

照下列步骤操作:

1.右键单击“网上邻居”,然后单击“属性”。
2.在“高级”菜单上,单击“高级设置”。
3.在“连接”框内,确保内部网络适配器第一个列出。如果不是第一个,使用箭头将其移到列表顶部。

第二种情况:
原因
如果以下两个条件同时成立,则可能会出现此问题:
"
您的基于 Windows XP 的计算机是域中的一个成员。
"
Microsoft 分布式文件系统 (DFS) 客户端被关闭。
注意:\\Active Directory Domain Name\Sysvol 共享是一种特殊的共享,它需要 DFS 客户端建立连接。
注意:如果从根驱动器 NTFS 文件系统权限中删除了“Everyone”,也可能出现此问题。如果从根驱动器 NTFS 权限中删除了“Everyone”,可在根文件夹上恢复

“Everyone”组的 NTFS 权限,方法是在根文件夹上仅授予“Everyone”特殊的“读取”和“执行 NTFS”权限。

解决方案
要解决此问题,请打开 DFS 客户端。为此,请按照下列步骤操作。
警告:注册表编辑器使用不当可导致严重问题,可能需要重新安装操作系统。Microsoft 不能保证您可以解决因注册表编辑器使用不当而导致的问题。使用注册表编辑器

需要您自担风险。

1.单击“开始”,然后单击“运行”。
2.在“打开”框中,键入 regedt32,然后单击“确定”。
3.在注册表编辑器窗口中,找到以下注册表项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mup
4.在右侧的详细信息窗格中,双击“DisableDFS”。
如果“数值数据”框中的值为 1,则 DFS 客户端被关闭。
如果“数值数据”框中的值为 0,则 DFS 客户端被打开。
5.显示“编辑 DWORD 值”对话框,在“数值数据”框中键入 0,然后单击“确定”。
6.在“文件”菜单上,单击“退出”以退出注册表编辑器。

另外,打开接口上的“Microsoft 网络的文件和打印机共享”。为此,请按照下列步骤操作:
1.单击“开始”,指向“连接到”,然后单击“显示所有连接”。
2.右键单击相应的连接,然后单击“属性”。
3.单击“常规”选项卡。
4.在“此连接使用下列项目”下,检查“Microsoft 网络的文件和打印机共享”旁的复选框是否已经选中,然后单击“确定”。

第三种情况:
原因
如果 winlogon 进程试图在其他组件运行前处理组策略,则可能发生此问题。本文介绍的此修补程序添加了更多的逻辑,以增强 winlogon 和工作站服务的默认行为。
但是,其他一些情况也可能导致此问题。应用此修补程序前,请确保已启动并正确配置了下列组件:

"Netlogon 和 DFS 服务已启动。"   
域控制器具有读取和应用域控制器策略的权限。

"在 Sysvol 共享上正确设置了 NTFS 文件系统权限和共享权限。"   

DNS 项对于域控制器正确。
解决方案
Windows Server 2003
Service Pack 信息
要解决此问题,请获取 Windows Server 2003 的最新 Service Pack。注意:安装 Service Pack 后,您仍然必须按照“注册表信息”一节中所述的过程操作



修补程序信息

Microsoft 目前提供了一个受支持的修补程序。但是,此修补程序仅用于修复本文所述的问题。请仅将此修补程序应用于出现这一特定问题的系统。此修补程序可能还会

接受进一步的测试。因此,如果这个问题没有给您造成严重的影响,我们建议您等待包含此修补程序的下一个 Service Pack。

要解决该问题,请向 Microsoft 在线客户服务提交请求以获取修补程序。要提交联机请求以获取修补程序,请访问下面的 Microsoft 网站:

http://go.microsoft.com/?linkid=6294451 (http://go.microsoft.com/?linkid=6294451)

此修补程序的英文版具有下表中列出的文件属性(或更新的文件属性)。这些文件的日期和时间按协调世界时 (UTC) 列出。当您查看文件信息时,该时间将转换为本地时间

。要了解 UTC 与本地时间之间的时差,请使用“控制面板”中“日期和时间”工具的“时区”选项卡。

日期 时间 版本 大小 文件名 ------------------------------------------------------- 22-Mar-2004 23:18 5.2.3790.140

540,160 Winlogon.exe 22-Mar-2004 23:18 5.2.3790.121 126,976 Wkssvc.dll

注册表信息

警告:如果使用注册表编辑器或其他方法错误地修改了注册表,则可能会出现严重问题。这些问题可能需要重新安装操作系统才能解决。Microsoft 不能保证可以解决这

些问题。修改注册表需要您自担风险。

注意:在 Windows Server 2003 中请按照下列步骤操作。

应用此修补程序后,请按照下列步骤操作:

1.依次单击“开始”、“运行”,在“打开”框中键入 regedit,然后单击“确定”。

2.在注册表编辑器中,找到下面的注册表子项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

3.如果缺少“WaitForNetwork”项,则必须添加此项。为此,请按照下列步骤操作:

a.右键单击“Winlogon”子项,单击“新建”,然后单击“DWORD 值”。
b.在“数值名称”框中,键入 WaitForNetwork。

4.右键单击“WaitForNetwork”,然后单击“修改”。

5.在“编辑 DWORD 值”对话框的“数值数据”框中键入 1,然后单击“确定”。

6.退出注册表编辑器。

Microsoft Windows XP

Service Pack 信息

要解决此问题,请获取最新的 Windows XP Service Pack。

状态

Microsoft 已经确认这是在“这篇文章中的信息适用于:”部分中列出的 Microsoft 产品中存在的问题。
此问题最早在 Windows Server 2003 Service Pack 1 中得到了解决。
此问题最早在 Windows XP Service Pack 2 中得到了解决。

替代方法

要解决此问题,可以运行 Dfsutil.exe 文件。Microsoft Windows Server 2003 支持工具包含 Dfsutil.exe 文件。要安装 Windows Server

2003 支持工具,请运行 Windows Server 2003 光盘中的 \\SUPPORT\TOOLS\SUPTOOLS.MSI。您也可以直接从 \\SUPPORT\TOOLS\SUPPORT.CAB

文件提取支持工具。 要运行 Dfsutil.exe 文件,请按照下列步骤操作:

1.依次单击“开始”、“运行”,键入 cmd,然后单击“确定”。
2.在命令提示符下,键入 dfsutil /PurgeMupCache,然后按 Enter。