【发布时间】：2020-01-17 12:15:23
【问题描述】：
我拥有 Azure AD DS，加入了一些 Windows 10 PC，并创建了一些安全组和 GPO。我正在调查 Windows 10 系统事件日志中的错误（事件 4，Security-Kerberos。Kerberos 客户端从服务器 [AADDS-DC-SERVER-NAME$] 收到 KRB_AP_ERR_Modified 错误。使用的目标名称是 ldap/FQDN -OF-SERVER/DOMAIN.COM@DOMAIN.COM。这表示目标服务器未能解密客户端提供的票证。当目标服务器主体名称 (SPN) 注册到该帐户以外的帐户时，可能会发生这种情况目标服务正在使用。确保目标 SPN 仅在服务器使用的帐户上注册。如果目标服务帐户密码与在 Kerberos 密钥分发中心上为该目标服务配置的密码不同，也会发生此错误。确保服务器上的服务和 KDC 都配置为使用相同的密码。如果服务器名称不完全限定，并且目标域 (DOMAIN.COM) 与客户端域 (DOMAIN.COM) 不同，请检查如果有相同的这两个域中的命名服务器帐户，或使用完全限定名称来标识服务器。）。我想我应该使用 DCDIAG 对 AADDS 域控制器进行快速测试，它们显示从昨天开始复制一直失败。结果如下：
开始测试：复制 [Replications Check,DC2] 最近的复制尝试失败：从 DC1 到 DC2 命名上下文：DC=ForestDnsZones,DC=domain,DC=com 复制产生错误 (1256)：远程系统是无法使用。有关网络故障排除的信息，请参阅 Windows 帮助。故障发生在 2020-01-17 10:48:28。最后一次成功发生在 2020-01-16 03:58:53。自上次成功以来已发生 34 次失败。 [复制检查，DC2] 最近的复制尝试失败：从 DC1 到 DC2 命名上下文：DC=DomainDnsZones,DC=domain,DC=com 复制生成错误 (1256)：远程系统不可用。有关网络故障排除的信息，请参阅 Windows 帮助。故障发生在 2020-01-17 10:48:28。最后一次成功发生在 2020-01-16 03:58:53。自上次成功以来已发生 45 次失败。 [Replications Check,DC2] 最近的复制尝试失败：从 DC1 到 DC2 命名上下文：CN=Schema,CN=Configuration,DC=domain,DC=com 复制产生错误 (-2146893022)：目标主体名称不正确.故障发生在 2020-01-17 10:48:28。最后一次成功发生在 2020-01-16 03:58:53。自上次成功以来已发生 31 次失败。 [复制检查，DC2] 最近的复制尝试失败：从 DC1 到 DC2 命名上下文：CN=Configuration,DC=domain,DC=com 复制产生错误 (-2146893022)：目标主体名称不正确。故障发生在 2020-01-17 10:48:28。最后一次成功发生在 2020-01-16 03:58:53。自上次成功以来已发生 33 次失败。 [复制检查，DC2] 最近的复制尝试失败：从 DC1 到 DC2 命名上下文：DC=domain，DC=com 复制生成错误 (-2146893022)：目标主体名称不正确。故障发生在 2020-01-17 11:15:57。最后一次成功发生在 2020-01-16 04:54:52。自上次成功以来已发生 1777 次失败。 ......................... DC2 测试复制失败
鉴于 AADDS DC 应该被锁定，这是怎么回事？
【问题讨论】：
-
所以，我一直在进一步调查，如果我运行 repadmin /showrepl，其中一个 DC 显示没有错误，另一个继续显示：“失败，结果 -2146893022 (0x80090322)：目标主体名称不正确。”
-
我认为原因可能是“目标域控制器收到来自 Kerberos 密钥分发中心 (KDC) 的服务票证，该服务票证具有旧版本的源域控制器密码。”根据文章support.microsoft.com/en-gb/help/2090913/…。如果我无法停止或启动 VM 上的服务，甚至无法重新启动，我该如何解决这个问题？如果我购买了支持计划，我似乎只能为此提出支持票。任何建议表示赞赏。
标签： azure-active-directory azure-ad-domain-services