域控制器无法正常工作

域控制器无法正常工作

查看本文应用于的产品

系统提示注意：本篇文章的内容适用于其他版本的 Windows (不包括您正在使用的版本) 。本篇文章的内容可能不适用您的电脑。浏览 Windows XP 帮助和支持中心

重要说明：本文包含有关修改注册表的信息。修改注册表之前，一定要先进行备份，并且一定要知道在发生问题时如何还原注册表。有关如何备份、还原和编辑注册表的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

256986 Microsoft Windows 注册表说明

本页

 症状

 解决方案

o 方法 1：修复 DNS 错误

o 方法 2：同步各计算机 之间的时间

o 方法 3：检查“从网络访问此计算机”用户权限

o 方法 4：验证域控制器的 userAccountControl 属性是否为 532480

o 方法 5：修复 Kerberos 领域（确认 PolAcDmN 注册表项和 PolPrDmN 注册表项相匹配）

o 方法 6：重设计算机帐户密码，然后获取一个新的

Kerberos 票证

展开全部 | 关闭全部

症状

当您在基于 Microsoft Windows 2000 Server 的域控制器或基于 Windows Server 2003 的域控制器上运行 Dcdiag 工具时，可能会收到以下错误信息：

DC Diagnosis

Performing initial setup:

[DC1] LDAP bind failed with error 31

当您在域控制器上以本地方式运行 REPADMIN/SHOWREPS 实用工具时，可能会收到以下错误信息：

[D:\nt\private\ds\src\util\repadmin\repinfo.c, 389] LDAP error 82 (Local Error).

当您试图在受影响的域控制器的控制台上使用网络资源（包括“通用命名约定”(UNC) 资源或映射的网络驱动器）时，可能会收到以下错误信息：

No logon servers available (c000005e = "STATUS_NO_LOGON_SERVERS")

如果您在受影响的域控制器的控制台上启动任何 Active Directory 管理工具（包括“Active

Directory 站点和服务”以及“Active Directory 用户和计算机”），可能会收到以下错误信息之一：

Naming information cannot be located because:No authority could be contacted for

authentication.Contact your system administrator to verify that your domain is properly

configured and is currently online.

Naming information cannot be located because:Target account name is

incorrect.Contact your system administrator to verify that your domain is properly

configured and is currently online.

如果 Microsoft Outlook 客户端连接到使用受影响的域控制器进行身份验证的 Microsoft

Exchange Server 计算机，系统可能会提示该客户端提供登录凭据，即使来自其他域控制器的成功登录验证已经存在。

Netdiag 工具可能会显示以下错误信息：

DC list test .. . . . . . . . . . : Failed

[WARNING] Cannot call DsBind to . (

address>).[ERROR_DOMAIN_CONTROLLER_NOT_FOUND]

Kerberos test.. . . . . . . . . . : Failed

[FATAL] Kerberos does not have a ticket for krbtgt/.

[FATAL] Kerberos does not have a ticket for .

LDAP test.. . . . . . . . . . . . : Passed

[WARNING] Failed to query SPN registration on DC \

在受影响的域控制器上，系统事件日志中可能会记录以下事件：

类型: 错误

来源: 服务控制管理程序

事件 ID: 7023 描述:“Kerberos 密钥分发中心”服务停止并显示以下错误：安全帐户管理器 (SAM) 或本地安全机构 (LSA) 服务器处于错误的状态，无法执行安全操作。

回到顶端

解决方案

有一些解决办法可以消除这些症状。下文列出了可供尝试的方法。接下来分别列出了执行每种方法的具体步骤。请逐一尝试每种方法，直到问题得到解决为止。后面的部分列出了一些 Microsoft 知识库文章，它们也介绍了修复这些症状的方法，但是这些方法相对来说不太常用。

1. 方法 1：修复域名系统 (DNS) 错误。

2. 方法 2：同步各计算机之间的时间。

3. 方法 3：检查“从网络访问此计算机”用户权限。

4. 方法 4：验证域控制器的 userAccountControl 属性是否为 532480。

5. 方法 5：修复 Kerberos 领域（确认 PolAcDmN 注册表项和 PolPrDmN 注册表项是相互匹配的）。

6. 方法 6：重设计算机帐户密码，然后获取一个新的 Kerberos 票证。

回到顶端

方法 1：修复 DNS 错误

1. 在命令提示符处，运行 netdiag -v 命令。此命令可在该命令运行时所在的文件夹中创建一个 Netdiag.log 文件。

2. 在继续下面的步骤之前，解决 Netdiag.log 文件中的所有 DNS 错误。Netdiag 工具可在 Windows 2000 Server 安装光盘上的“Windows 2000 Server 支持工具”中找到，也可通过下载获取。要下载“Windows 2000 Server 支持工具”，请访问下面的

Microsoft 网站：

/windows2000/downloads/servicepacks/sp4/supporttools.mspx

3. 确保 DNS 配置正确。最常见的一种 DNS 错误就是使域控制器指向 DNS 的

Internet 服务提供商 (ISP)，而不是指向 DNS 自身或另一台支持动态更新和 SRV

记录的 DNS 服务器。建议您使域控制器指向自身，或指向另一台支持动态更新和 SRV

记录的 DNS 服务器。建议您创建到 ISP 的转发器，以便在 Internet 上进行名称解析。 有关为 Active Directory 目录服务配置 DNS 的其他信息，请单击下面的文章编号，以查看

Microsoft 知识库中相应的文章：

291382 有关 Windows 2000 DNS 和 Windows Server 2003 DNS 的常见问题

237675 设置 Active Directory 的域名系统

254680 DNS 名称空间规划

255248 如何在 Active Directory 中创建一个子域并将 DNS 名称空间委派到该子域

回到顶端

方法 2：同步各计算机 之间的时间

验证各个域控制器之间的时间是否正确同步。此外，还要验证客户机和域控制器之间的时间是否正确同步。

有关如何配置 Windows 时间服务的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

258059 如何在 Windows NT 4.0 域中同步基于 Windows 2000 的计算机上的时间

216734 如何在 Windows 2000 中配置权威时间服务器

回到顶端

方法 3：检查“从网络访问此计算机”用户权限

修改 Gpttmpl.inf 文件，以确认相应的用户在域控制器上拥有“从网络访问此计算机”用户权限。为此，请按照下列步骤操作：

1. 修改默认域控制器策略的 Gpttmpl.inf 文件。默认情况下，默认域控制器策略是为一个域控制器指定用户权限的地方。默认情况下，默认域控制器策略的 Gpttmpl.inf 文件位于以下文件夹中。

注意：Sysvol 可能位于不同的位置，但 Gpttmpl.inf 文件的路径是相同的。

对于 Windows Server 2003 域控制器：

C:\WINDOWS\Sysvol\Sysvol\\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf

对于 Windows 2000 Server 域控制器：

C:\WINNT\Sysvol\Sysvol\\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf