2015年04月15日
Tweet
いくつかのトラブルが発生していました。
・拠点Bから拠点Aのファイルサーバーにアクセスできない。
・DFSがおかしい
などでしょうか。特に拠点Aのファイルサーバーがアクセスできないのは気になっていました。
イベントログでは以下のようなエラーが。
--------------
Kerberos クライアントはサーバー XX$ から KRB_AP_ERR_MODIFIED エラーを受信しました。使用したターゲット名は cifs/XX.XX.XX でした。これは、ターゲット サーバーがクライアントにより提供されたチケットの暗号化に失敗したことを示します。これは、ターゲット サーバーのプリンシパル名 (SPN) が、ターゲット サービスにより使用されているアカウントとは別のアカウントで登録されている場合に発生します。ターゲット SPN をサーバーにより使用されているアカウントで登録したうえで、その他のアカウントでは登録しないようにしてください。このエラーは、ターゲット サービスが使用しているターゲット サービス アカウントのパスワードが、Kerberos キー配布センター (KDC) の持っているターゲット サービス アカウントのパスワードと異なる場合にも発生します。サーバー上のサービスと KDC の両方が最新のパスワードを使用するように更新されていることを確認してください。ターゲット ドメイン (XX.XX) がクライアント ドメイン (XX.XX) と異なっており、サーバー名が完全修飾名になっていない場合は、これら 2 つのドメイン内に同じ名前を与えられたサーバー アカウントがないかをチェックするか、またはサーバーの指定に完全修飾名を使用してください。
--------------
知識整合性チェッカー (KCC) は完全なスパン ツリー ネットワーク トポロジを形成できませんでした。このため、次の一覧のサイトはローカル サイトから到達できません。
--------------
おそらく、拠点Aと拠点BにあるActiveDirectoryの連携が解除されてしまい、FSMOの役割を保持していない拠点Bが孤立してしまった状態になったのだと思われます。
サイトとサービスから接続を作り直しても、 repadmin を行っても全く改善しません。
作業をしていると「対象のプリンシパル名が間違っています」というエラーが出てくることがありました。
これを元に検索すると、以下の通り回答がでてきました。
ドメイン コントローラ間で手動でデータを複製した場合のエラー メッセージ "対象のプリンシパル名が間違っています"
ここでは netdom を使うように記載されています。
netdom resetpwd /server:server_name /userd:domain_name\administrator /passwordd:administrator_password
孤立している期間が長かったため、コンピューターアカウントが変な状態になっているのだと思われます。
上記コマンドをし、ActiveDirectoryサービスを再起動したところ、なんとなく解決したようでした。
ただし、このとき拠点B側で行った設定は消えてしまい、拠点Aの設定に統一されるような動作に見えました。
・拠点Bから拠点Aのファイルサーバーにアクセスできない。
・DFSがおかしい
などでしょうか。特に拠点Aのファイルサーバーがアクセスできないのは気になっていました。
イベントログでは以下のようなエラーが。
--------------
Kerberos クライアントはサーバー XX$ から KRB_AP_ERR_MODIFIED エラーを受信しました。使用したターゲット名は cifs/XX.XX.XX でした。これは、ターゲット サーバーがクライアントにより提供されたチケットの暗号化に失敗したことを示します。これは、ターゲット サーバーのプリンシパル名 (SPN) が、ターゲット サービスにより使用されているアカウントとは別のアカウントで登録されている場合に発生します。ターゲット SPN をサーバーにより使用されているアカウントで登録したうえで、その他のアカウントでは登録しないようにしてください。このエラーは、ターゲット サービスが使用しているターゲット サービス アカウントのパスワードが、Kerberos キー配布センター (KDC) の持っているターゲット サービス アカウントのパスワードと異なる場合にも発生します。サーバー上のサービスと KDC の両方が最新のパスワードを使用するように更新されていることを確認してください。ターゲット ドメイン (XX.XX) がクライアント ドメイン (XX.XX) と異なっており、サーバー名が完全修飾名になっていない場合は、これら 2 つのドメイン内に同じ名前を与えられたサーバー アカウントがないかをチェックするか、またはサーバーの指定に完全修飾名を使用してください。
--------------
知識整合性チェッカー (KCC) は完全なスパン ツリー ネットワーク トポロジを形成できませんでした。このため、次の一覧のサイトはローカル サイトから到達できません。
--------------
おそらく、拠点Aと拠点BにあるActiveDirectoryの連携が解除されてしまい、FSMOの役割を保持していない拠点Bが孤立してしまった状態になったのだと思われます。
サイトとサービスから接続を作り直しても、 repadmin を行っても全く改善しません。
作業をしていると「対象のプリンシパル名が間違っています」というエラーが出てくることがありました。
これを元に検索すると、以下の通り回答がでてきました。
ドメイン コントローラ間で手動でデータを複製した場合のエラー メッセージ "対象のプリンシパル名が間違っています"
ここでは netdom を使うように記載されています。
netdom resetpwd /server:server_name /userd:domain_name\administrator /passwordd:administrator_password
孤立している期間が長かったため、コンピューターアカウントが変な状態になっているのだと思われます。
上記コマンドをし、ActiveDirectoryサービスを再起動したところ、なんとなく解決したようでした。
ただし、このとき拠点B側で行った設定は消えてしまい、拠点Aの設定に統一されるような動作に見えました。
