域控超过墓碑生存周期处理

本文讨论如下情景的域控修复：当域控超过墓碑生存周期后，即其他域控认为此域控已脱离域后，应如何修复。

         笔者在这个月内企业服务的工作中，就遇到两起此事件，目录服务日志中出现2042错误，报错太长时间未进行复制，在AD站点和服务控制台中直接复制报错：拒绝访问，更直接的判断方法可通过repadmin /showrepl命令来查看，此故障会直接导致客户对应的AD站点内所有用户无法使用，服务器无法正常使用域帐户登录，AD复制无法正常进行，给业务正常运行带来比较大的中断影响。

         此故障一般发生于比较大的架构中，由于网络或建设时期操作不当的原因，未及时解决或监控AD复制及其运行状态，而直到超过一个时间段后，对应的域控脱离域内，而出现域控功能受损的情况。

         首先，我们需要理解墓碑生存周期的概念，墓碑生存时间（tombstoneLifetime）是指：从在AD中删除某对象开始，到该对象真正被删除的时间间隔，默认值为60天(2003 sp1和2008后增加为180天)，这样做是为了保证：这种删除操作被复制到域中其它的DC。需要提到的是在windows server 2008 R2中，增加了目录回收站的功能，AD对象存活时间相当于延长至160天（默认），详细内容可参考：http://technet.microsoft.com/zh-cn/library/dd392261(WS.10).aspx。AD只备份当前有效的数据，对于已经标记删除的对象，不备份。而AD中的对象删除并不是立即的，需要有60天的删除标记时间。因此，应避免恢复60天前的AD备份，以免导致AD不完整。

明白了墓碑生存时间及其作用后，我们很容易想到：可手动将墓碑生存时间的默认值，由60天修改为更大的值，具体操作步骤如下：

1.开始/运行：ADSIedit.msc；
2.找到Configuration\Services\Windows NT\Directory Service,在其上右键/属性；
3.找到tombstoneLifetime属性，将其值由（注意：并不显示默认的60天）改为365天或更大；

         然后如果我们遇到这种情况时，一般可在完成正常域控系统状态备份后按需选择如下任一种操作；

找出超过墓碑生存周期的域控，离线，然后再AD数据库中通过Ntdsutil工具清除此域控数据，若此域控承载相应的操作主机角色，则需要进行相应的角色夺取（详细的过程不在此描述，可参考如下KB：http://support.microsoft.com/kb/216498和http://support.microsoft.com/kb/255504）；

强制复制，这种情况可能会导致不一致的对象进行复制，但对AD功能无其他影响，将Allow Replication With Divergent and Corrupt Partner注册表键值添加进损坏域控HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters注册表下，并将值设置为1，在完成复制后将此值改为0，详细的说明可参考KB：http://technet.microsoft.com/en-us/library/cc757610(WS.10).aspx；

使用 "repadmin /removelingeringobjects" 工具来删除不一致的已删除对象，然后继续复制，可参考KB：http://technet.microsoft.com/en-us/library/cc780362(WS.10).aspx；

重置损坏域控的安全密码通道；

笔者择第四点进行详细的描述：

假设正常域控为DC1，损坏域控为DC2，操作步骤如下：

1. 在DC2上禁用KDC服务，打开管理工具中的服务管理控制台，禁用Kerberos Key Distribution Center服务，然后重新启动服务器；

2. 在重新启动完成后，点击开始，指向程序，选择Windows Support Tools中的Command Prompt，打开命令提示符，输入命令：

Netdomresetpwd /server: DC2 /userd:domain \administrator /passwordd:密码；

注意上面的命令中红色部分为userd和passwordd，后面都多了个d；

命令完成后，重新启动计算机；

3. 在重新启动完成后，打开服务管理控制台，将Kerberos Key Distribution Center服务更改为自动启动，并启动之；服务启动完成后，尝试进行复制。

4. 如果不行，则继续尝试如下步骤，在服务器DC2上，点击开始，指向程序，指向Windows Support Tools，打开Command Prompt；

5. 在打开的命令行中输入replmon，打开Active directory replication monitor；

6. 在站点Default-first-site-name上右键，选择Add monitored Server；

7. 选择Add the server explicitly by name，输入计算机名DC2，点击Finish，将在站点下出现服务器名DC2；

8. 在服务器DC2上右键，选择Synchronize Each Directory Partition with All Servers，按照默认选项，点击确定；

9. 选择Add the server explicitly by name，输入计算机名DC1，点击Finish，将在站点下出现服务器名DC1；

10. 在服务器DC1上右键，选择Synchronize Each Directory Partition with All Servers，按照默认选项，点击确定；

11. 测试2台DC之间的复制。

处理超过墓碑生存周期的域控故障过程介绍到此，其实除了此种情况外，AD复制的很多排错方法和思路都可以从这个过程中获得。AD复制排错像一个黑匣子，只有一步一步分析，熟悉的使用工具，方能拨开云雾，解决问题。