ドメコン降格時にエラーが発生して降格出来ない対応

8221 ワード
ActiveDirectory ActiveDirectory テキストリンク

参考情報

https://support.microsoft.com/ja-jp/help/2904044
https://support.microsoft.com/ja-jp/help/949257/error-message-when-you-run-the-adprep-rodcprep-command-in-windows-serv
https://blogs.technet.microsoft.com/jpntsblog/2016/07/28/fsmoroleowner/
https://wsbs.wordpress.com/2015/12/18/active-directory-%E3%83%89%E3%83%A1%E3%82%A4%E3%83%B3-%E3%82%B3%E3%83%B3%E3%83%88%E3%83%AD%E3%83%BC%E3%83%A9%E3%83%BC-%E3%81%AE%E9%99%8D%E6%A0%BC%E3%81%AB%E5%A4%B1%E6%95%97%E3%81%99%E3%82%8B/
http://miyamon-se-exp.hatenablog.jp/entry/2016/09/21/003134

どうやら過去の強制降格とかしていると出るらしい

対応メモ

dcpromoで降格させようとして発生したエラー（画面）

イベントログに出るメッセージ（確かディレクトリサービスとかだったはず）

1つ目と2つ目がセット、3つ目と4つ目がセットになっている。
始めに、3，4つ目が出て、とりあえずForestDnsZonesだけ消したら、次はDomainDnsZonesがでたので、そっちも消した

1つ目

レベル：エラー
ソース：Microsoft-Windows-ActiveDirectory_DomainService
イベントID：2022
カテゴリ：レプリケーション
メッセージ：

このディレクトリ サーバーが保持している操作マスターの役割は、次のディレクトリ サーバーに転送できませんでした。 

リモート ディレクトリ サーバー: 
\\***.***.*** 

これは、このディレクトリ サーバーの削除を妨げています。 

ユーザー操作 
何故リモート ディレクトリ サーバーが操作マスターの役割を受け入れられないかを調査するか、またはディレクトリ サーバーが保持している役割をすべて手動でリモート ディレクトリ サーバーに転送してください。それから、このディレクトリ サーバーの削除を再試行してください。 

追加データ 
エラー値:
5005 ディレクトリ サービスで必須の構成情報が不足しているため、浮動単一マスター操作の役割に対する所有権を判断できません。 
拡張エラー値:
0 
内部 ID:
52498782

2つ目

レベル：警告
ソース：Microsoft-Windows-ActiveDirectory_DomainService
イベントID：2091
カテゴリ：レプリケーション
メッセージ：

次の FSMO 役割の所有権は、削除されたまたは存在しないサーバーに設定されてい ます。 

この状態が修正されるまで、FSMO 操作マスターへのアクセスを必要とする操作は失敗します。 

FSMO 役割: CN=Infrastructure,DC=DomainDnsZones,DC=***,DC=*** 
FSMO サーバー DN: CN=NTDS Settings\0ADEL:1598bfb0-a26b-4680-b0e2-0a9d27cb5c1b,CN=DC01\0ADEL:bbec3c58-943d-4f73-9c49-2097b85c4675,CN=Servers\0ADEL:c9a3fcd6-8683-4745-9f18-bd0f850a9a47,CN=***\0ADEL:33534035-3573-4903-b7fc-30d387c56f86,CN=Sites,CN=Configuration,DC=***,DC=*** 

ユーザー操作: 

1. どのサーバーが FSMO 役割を保持するか決定してください。 
2. 構成の表示は最新ではない可能性があります。対象のサーバーが最近昇格されている場合は、最近、新しいサーバーから構成パーティションがレプリケートされているか確認してください。対象のサーバーが最近降格されており、役割が転送されている場合は、(最新の役割の所有権を含んでいる) パーティションが、最近レプリケートされていることを確認してください。 
3. FSMO 役割を保持するサーバーでその役割が正しく設定されているか確認してくだ さい。役割が設定されていない場合、NTDSUTIL.EXE を使って役割を転送または強制し てください。これは http://support.microsoft.com のサポート技術情報 (KB) の記事 255504 および 324801 で提供されている手順に従って行うことができます。 
4. FSMO 役割を保持するサーバーと、このサーバーの間で FSMO パーティションのレ プリケーションが正しく行われていることを確認してください。 

次の操作に影響がでる場合があります: 
スキーマ: このフォレストのスキーマをこれ以上変更できなくなります。 
ドメイン名前付け: このフォレストで、これ以上ドメインを追加および削除することができなくなります。 
PDC: グループ ポリシーの更新や非 Active Directory ドメイン サービス アカウントのパスワードのリセットなどの、プライマリ ドメイン コントローラーの操作の実行がこれ以上できなくなります。 
RID: 新しいユーザー アカウント、コンピューター アカウントまたはセキュリティ グループのセキュリティ識別子を新しく割り当てることができなくなります。 
インフラストラクチャ: ユニバーサル グループ メンバーシップなどのドメインを越えた名前参照は、対象のオブジェクトが移動されたり名前が変更された場合に正しく更新されなくなります。

3つ目

レベル：エラー
ソース：Microsoft-Windows-ActiveDirectory_DomainService
イベントID：2022
カテゴリ：レプリケーション
メッセージ：

このディレクトリ サーバーが保持している操作マスターの役割は、次のディレクトリ サーバーに転送できませんでした。 

リモート ディレクトリ サーバー: 
\\***.***.***

これは、このディレクトリ サーバーの削除を妨げています。 

ユーザー操作 
何故リモート ディレクトリ サーバーが操作マスターの役割を受け入れられないかを調査するか、またはディレクトリ サーバーが保持している役割をすべて手動でリモート ディレクトリ サーバーに転送してください。それから、このディレクトリ サーバーの削除を再試行してください。 

追加データ 
エラー値:
5005 ディレクトリ サービスで必須の構成情報が不足しているため、浮動単一マスター操作の役割に対する所有権を判断できません。 
拡張エラー値:
0 
内部 ID:
52498782

4つ目

レベル：警告
ソース：Microsoft-Windows-ActiveDirectory_DomainService
イベントID：2091
カテゴリ：レプリケーション
メッセージ：

次の FSMO 役割の所有権は、削除されたまたは存在しないサーバーに設定されてい ます。 

この状態が修正されるまで、FSMO 操作マスターへのアクセスを必要とする操作は失敗します。 

FSMO 役割: CN=Infrastructure,DC=ForestDnsZones,DC=***,DC=*** 
FSMO サーバー DN: CN=NTDS Settings\0ADEL:1598bfb0-a26b-4680-b0e2-0a9d27cb5c1b,CN=***\0ADEL:bbec3c58-943d-4f73-9c49-2097b85c4675,CN=Servers\0ADEL:c9a3fcd6-8683-4745-9f18-bd0f850a9a47,CN=***\0ADEL:33534035-3573-4903-b7fc-30d387c56f86,CN=Sites,CN=Configuration,DC=***,DC=*** 

ユーザー操作: 

1. どのサーバーが FSMO 役割を保持するか決定してください。 
2. 構成の表示は最新ではない可能性があります。対象のサーバーが最近昇格されている場合は、最近、新しいサーバーから構成パーティションがレプリケートされているか確認してください。対象のサーバーが最近降格されており、役割が転送されている場合は、(最新の役割の所有権を含んでいる) パーティションが、最近レプリケートされていることを確認してください。 
3. FSMO 役割を保持するサーバーでその役割が正しく設定されているか確認してくだ さい。役割が設定されていない場合、NTDSUTIL.EXE を使って役割を転送または強制し てください。これは http://support.microsoft.com のサポート技術情報 (KB) の記事 255504 および 324801 で提供されている手順に従って行うことができます。 
4. FSMO 役割を保持するサーバーと、このサーバーの間で FSMO パーティションのレ プリケーションが正しく行われていることを確認してください。 

次の操作に影響がでる場合があります: 
スキーマ: このフォレストのスキーマをこれ以上変更できなくなります。 
ドメイン名前付け: このフォレストで、これ以上ドメインを追加および削除することができなくなります。 
PDC: グループ ポリシーの更新や非 Active Directory ドメイン サービス アカウントのパスワードのリセットなどの、プライマリ ドメイン コントローラーの操作の実行がこれ以上できなくなります。 
RID: 新しいユーザー アカウント、コンピューター アカウントまたはセキュリティ グループのセキュリティ識別子を新しく割り当てることができなくなります。 
インフラストラクチャ: ユニバーサル グループ メンバーシップなどのドメインを越えた名前参照は、対象のオブジェクトが移動されたり名前が変更された場合に正しく更新されなくなります。

対処した画面

  1. MSのサイトにあるfixfsmo.vbsをFSMOを持っているサーバに配置
  2. FSMOを持っているサーバで以下実行
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

C:\Users\Administrator.***>cd Desktop

C:\Users\Administrator.***\Desktop>cscript fixfsmo.vbs DC=ForestDnsZones,DC=***,DC=***
Microsoft (R) Windows Script Host Version 5.8
Copyright (C) Microsoft Corporation 1996-2001. All rights reserved.

DNS name: ForestDnsZones.**.***
Using DC ***.***.***
infra fsmo is CN=NTDS Settings\0ADEL:1598bfb0-a26b-4680-b0e2-0a9d27cb5c1b,CN=***\0ADEL:bbec3c58-943d-4f73-9c49-2097b85c4675,CN=Servers\0ADEL:c9a3fcd6-8683-4745-9f18-bd0f850a9a47,CN=***\0ADEL:33534035-3573-4903-b7fc-30d387c56f86,CN=Sites,CN=Configuration,DC=**,DC=***
infra fsmo changed to:CN=NTDS Settings,CN=***,CN=Servers,CN=***,CN=Sites,CN=Configuration,DC=***,DC=***

C:\Users\Administrator.***\Desktop>
C:\Users\Administrator.***\Desktop>cscript fixfsmo.vbs DC=DomainDnsZones,DC=***,DC=***
Microsoft (R) Windows Script Host Version 5.8
Copyright (C) Microsoft Corporation 1996-2001. All rights reserved.

DNS name: DomainDnsZones.***.***
Using DC ***.***.***
infra fsmo is CN=NTDS Settings\0ADEL:1598bfb0-a26b-4680-b0e2-0a9d27cb5c1b,CN=***\0ADEL:bbec3c58-943d-4f73-9c49-2097b85c4675,CN=Servers\0ADEL:c9a3fcd6-8683-4745-9f18-bd0f850a9a47,CN=***\0ADEL:33534035-3573-4903-b7fc-30d387c56f86,CN=Sites,CN=Configuration,DC=***,DC=***
infra fsmo changed to:CN=NTDS Settings,CN=***,CN=Servers,CN=***,CN=Sites,CN=Configuration,DC=***,DC=***

C:\Users\Administrator.***\Desktop>