2008 AD组策略无法被应用及复制问题

最新推荐文章于 2021-08-13 20:05:35 发布

weixin_34199405

最新推荐文章于 2021-08-13 20:05:35 发布

阅读量122

点赞数

文章标签：操作系统

本文链接：https://blog.csdn.net/weixin_34199405/article/details/85091263

版权

环境：

两台DC均为Win08的系统，森林和域级别均为2003，AD的五个FSMO均在DC-01上，两个DC均为GC，GPO操作对象为DC-01。

表面现象：

最早是发现某些服务器在重启之后，某些应用的服务无法启动，在服务的属性配置里面，是以某个域用户身份启动的。检查日志以后发现，这些登陆操作因为拒绝，所以没有成功启动。之前在一个AD全局的GPO上已经配置了允许以服务登陆的设置，并添加了相关的两个域用户。

理论上，不应该存在拒绝登陆的问题。

深入问题：

然后我在AD当中专门新建了一个名为“logon as services”的安全组和OU。新建了一条“logon as services”的组策略，应用到整个AD上。并将AD全局GPO上的这个配置项取消。使得整个AD都只应用这条单独建立的这条GPO。

但是在客户端无论是重启还是gpupdate命令，从日志能够看到，组策略应用成功，但是配置并没有生效。用/force也一样。

根本原因：

通过用GP Result检查，发现客户端应用的GPO来自与DC-02，想到所有的操作都是在DC-01，怀疑是两台DC的GPO模板复制有问题。打开两台DC存放GPO的文件夹，发现果然DC-02上的GPO的修改时间是好几个月以前的。

但奇怪的是，在FRS复制日志中没有发生AD复制相关的警告和报错。

解决方案：

通过执行了以下步骤，最终解决了这个问题：

1.停止两台域控制器的NTFRS服务。

2.将DC-02（有问题的）的注册表项\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process at Startup的BurFlags值改为D2

3.将DC-01（正常的）的注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process at Startup的BurFlags的值改为D4。

4.重启两台域控制器的NTFRS服务。

5.等待一段时间同步后，再强制进行活动目录站点的复制以及组策略的强制刷新。

另外，这里在提供一些类似问题解决办法的KB链接，虽然不是明确针对Win08的，但基本原理是一样的，了解相关的操作差异以后，一样能够得到帮助。

关注