Chính sách nhóm không sao chép giữa các bộ điều khiển miền
Bài đăng này cung cấp các giải pháp phù hợp nhất cho vấn đề trong đó Chính sách nhóm không được áp dụng cũng như không sao chép giữa các Bộ điều khiển miền trong môi trường Windows Server điển hình.
Nếu GPO không đồng bộ hóa hoặc sao chép giữa các bộ điều khiển miền, có thể do các lý do sau:
Các vấn đề về Active Directory.
Sự cố với một hoặc nhiều Bộ điều khiển miền tùy theo thiết lập.
-
Các vấn đề về độ trễ hoặc dịch vụ sao chép tệp chậm.
Máy khách hệ thống tệp phân tán (DFS) bị vô hiệu hóa.
Kết nối mạng với Bộ điều khiển miền.
Một số máy khách sẽ sử dụng DC dựa trên tư cách thành viên của trang trong trường hợp bạn có nhiều bộ điều khiển miền trong một miền. Thông thường, nếu mỗi cơ sở có nhiều DC, khách hàng có thể chọn một DC dựa trên “trọng lượng”, trong khi thông thường tất cả các DC đều có “trọng số như nhau”. ” Cũng có thể các máy khách sẽ sử dụng DC ở một vị trí khác. Vì vậy, nếu DC của bạn không sao chép chính xác thì các thư mục SYSVOL được lưu trữ trên các máy chủ này có thể không có dữ liệu được phản chiếu chính xác, trong trường hợp đó, máy trạm của bạn sẽ nhận được các kết quả khác nhau tùy thuộc vào DC mà máy khách trỏ tới.
Chính sách nhóm không sao chép giữa các bộ điều khiển miền
Trong trường hợp điển hình, có ba DC và một trong số đó là DC 2012 cũ sẽ ngừng hoạt động. Hai cái còn lại là DC 2016 là cái mới và hiện là chủ sở hữu FSMO. Hiện tại, có sự cố với bản sao SYSVOL trong đó mọi thay đổi được tạo trên DC 2016 đều không được sao chép trên chính sách SYSVOL của DC 2012.
Vì vậy, nếu Chính sách nhóm không áp dụng và sao chép không hoạt động giữa các bộ điều khiển miền khi thiết lập Windows Server trong môi trường Doanh nghiệp, nếu bạn là quản trị viên CNTT thì các giải pháp được cung cấp bên dưới không theo thứ tự cụ thể nào sẽ giúp bạn giải quyết vấn đề.
Áp dụng Microsoft Hotfix
Khắc phục sự cố chung cho các sự cố sao chép DC
Đồng bộ hóa dữ liệu SYSVOL (có thẩm quyền hoặc không có thẩm quyền) bằng FRS
Liên hệ với bộ phận hỗ trợ của Microsoft
Hãy xem mô tả quy trình vì nó liên quan đến từng giải pháp được liệt kê.
1. Ứng dụng Microsoft Hotfix
Nếu bạn đang gặp sự cố này trên các DC chạy máy chủ Windows 2008 R2 hoặc 2012 thì trước khi tiến hành bất kỳ sự cố nào, trước tiên bạn cần áp dụng Microsoft Hotfix cho tất cả các DC (không bắt buộc đối với 2012 R2). Có một sự cố đã biết trên DC trong đó máy chủ giữ các tệp mở sau khi bạn chỉnh sửa, có vẻ như các chỉnh sửa đang hoạt động cho đến khi bạn đóng và mở lại GPO và phát hiện ra rằng chúng hoàn toàn không áp dụng. Tương tự, tính năng sao chép có vẻ hoạt động nhưng một số máy nhận cài đặt trong khi số khác thì không vì cùng một dữ liệu không được sao chép đúng cách tới tất cả các DC.
2. Khắc phục sự cố chung cho các sự cố sao chép DC
Trước khi tiếp tục, bạn có thể thực hiện các tác vụ sơ bộ sau đây về cách khắc phục sự cố chung đối với các sự cố sao chép DC. Khi hoàn thành mỗi nhiệm vụ, hãy kiểm tra xem sự cố đã được giải quyết chưa.
Bắt buộc cập nhật gp. Bạn có thể bắt đầu bằng cách chạy gpupdate từ máy trạm đang gặp kết quả không nhất quán. Nếu bạn nhận được kết quả đầu ra cho biết Chính sách máy tính không thể được cập nhật thành công thì nói chung có vấn đề về phân phối GPO.
Kiểm tra DC để tìm thư mục NETLOGON và SYSVOL. Ở cấp độ cơ bản nhất, DC phải có hai thư mục dùng chung theo mặc định là thư mục NETLOGON và SYSVOL. Nếu hai thư mục này không có trên DC, bạn sẽ gặp vấn đề về AD và GPO sẽ không được phân phối đúng cách.
Bắt buộc sao chép bằng tập lệnh. Bạn có thể buộc sao chép bằng tập lệnh từ GitHub.com. Biết rằng các chính sách nhóm bao gồm hai phần tệp nằm trong SYSVOL và một thuộc tính phiên bản trong AD, việc chạy tập lệnh là một cách nhanh chóng để sao chép các thay đổi của bạn tới tất cả các DC trong miền của bạn.
Sử dụng công cụ khắc phục sự cố. Sử dụng các công cụ khắc phục sự cố như DCDIAG.exe, GPOTOOL.exe hoặc DFSDIAG.exe, nếu có vấn đề về sao chép, bạn sẽ có thể xác định DC hoặc DC nào là vấn đề. Sau khi xác định được điều này, bạn sẽ phải xây dựng lại ổ đĩa hệ thống (SYSVOL) trên các máy chủ được chỉ định này. Nếu bạn có nhiều DC tại một địa điểm, cách dễ dàng để thực hiện việc này là chỉ cần giảm mức độ vấn đề của DC bằng cách chạy DCPROMO - khởi động lại máy chủ - rồi chạy DCPROMO và khởi động lại một lần nữa. Nếu chỉ có một DC cư trú tại một trang web, bạn có thể sử dụng mục đăng ký Burflags Windows để xây dựng lại SYSVOL. Hãy nhớ rằng việc hạ cấp DC duy nhất cư trú trên một trang web có thể yêu cầu bạn phải tham gia lại các máy khách vào miền.
3. Đồng bộ hóa dữ liệu SYSVOL (Có thẩm quyền hoặc không có thẩm quyền) bằng FRS
Hệ thống phân cấp thư mục SYSVOL, có trên tất cả các bộ điều khiển miền Active Directory, chủ yếu được sử dụng để lưu trữ hai bộ dữ liệu quan trọng được sao chép giữa các DC, nhưng việc sao chép SYSVOL diễn ra riêng biệt với việc sao chép Active Directory. Một cái có thể thất bại trong khi cái kia vẫn hoạt động bình thường. Trong một số trường hợp, quá trình sao chép SYSVOL có thể không thành công và không thể tiếp tục mà không có sự can thiệp thủ công - trong trường hợp đó, bạn sẽ cần thực hiện đồng bộ hóa dữ liệu SYSVOL có thẩm quyền (đối với một DC) hoặc không có thẩm quyền (nhiều hơn một DC) bằng FRS.
Các hướng dẫn bên dưới không thể áp dụng nếu Dịch vụ sao chép tệp (FRS) không được sử dụng vì dịch vụ này không còn được dùng nữa - mặc dù vậy, dịch vụ này vẫn có thể được sử dụng trong các miền Active Directory được tạo trong Windows Server 2008 trở về trước. Để xác định xem FRS có được sử dụng hay không, hãy chạy lệnh bên dưới trong dấu nhắc lệnh nâng cao trên DC:
dfsrmig /getmigrationstateNếu đầu ra hiển thị trạng thái di chuyển là Đã loại bỏ thì FRS không được sử dụng.
Để thực hiện đồng bộ hóa có thẩm quyền hoặc không có thẩm quyền của dữ liệu SYSVOL bằng FRS, hãy làm theo các bước sau:
Vì đây là thao tác đăng ký nên bạn nên sao lưu sổ đăng ký hoặc tạo điểm khôi phục hệ thống như một biện pháp phòng ngừa cần thiết.
Để đồng bộ hóa không có thẩm quyền, hãy đảm bảo một DC khác tồn tại trong môi trường và bản sao dữ liệu SYSVOL của nó được cập nhật bằng cách điều hướng đến %systemroot%\SYSVOL để kiểm tra ngày sửa đổi của Chính sách nhóm tệp mẫu và/hoặc tệp tập lệnh.
Sau khi hoàn tất, bạn có thể tiến hành như sau:
Dừng dịch vụ sao chép tệp.
Nhấn Phím Windows + R để gọi hộp thoại Chạy.
Trong hộp thoại Chạy, nhập regedit và nhấn Enter để mở Trình chỉnh sửa Sổ đăng ký.
Điều hướng hoặc chuyển đến đường dẫn khóa đăng ký bên dưới:
HKLM\CCS\Services\NtFrs\Parameters\Backup/Restore\Process at StartupTại vị trí đó, trên khung bên phải, bấm đúp vào mục nhập BurFlags để chỉnh sửa thuộc tính của nó.
Trong trường Vdữ liệu giá trị, hãy nhập D4(đối với thông tin có thẩm quyền) hoặc D2 (đối với thông tin không có thẩm quyền) theo yêu cầu của bạn.
Nhấp vào OK hoặc nhấn Enter để lưu thay đổi.
Thoát khỏi Trình chỉnh sửa sổ đăng ký.
Tiếp theo, khởi động Dịch vụ sao chép tệp.
Tiếp theo, khởi chạy Trình xem sự kiện và kiểm tra nhật ký sự kiện Dịch vụ sao chép tệp trong Nhật ký ứng dụng và dịch vụ để biết sự kiện thông tin 13516. Có thể mất vài phút để sự kiện này xuất hiện.
Khi sự kiện 13516 xuất hiện, hãy chạy lệnh bên dưới:
net shareBây giờ, hãy xác nhận sự hiện diện của các chia sẻ SYSVOL và NETLOGON trong đầu ra.
Trong miền có một DC, bản thân dữ liệu SYSVOL sẽ không thay đổi trong quy trình này. Trong miền có nhiều DC, bạn có thể cần phải thực hiện đồng bộ hóa không có thẩm quyền của SYSVOL trên một hoặc nhiều DC khác sau khi hoàn tất đồng bộ hóa có thẩm quyền bằng cách kiểm tra nhật ký sự kiện FRS của các DC khác để tìm lỗi hoặc cảnh báo sự kiện. Bạn cũng có thể so sánh dữ liệu trong hệ thống phân cấp thư mục SYSVOL của DC bị ảnh hưởng với dữ liệu tương ứng trên một DC tốt đã biết để xác nhận rằng dữ liệu khớp.
4. Liên hệ với bộ phận hỗ trợ của Microsoft
Nếu vấn đề Chính sách nhóm không sao chép giữa các Bộ điều khiển miền vẫn tiếp diễn thì bạn có thể cần phải liên hệ với bộ phận Hỗ trợ Chuyên nghiệp của Microsoft. Họ tính phí trên cơ sở từng sự cố và yêu cầu chỉ được thực hiện trực tuyến vì họ không chấp nhận các cuộc gọi điện thoại để tạo yêu cầu.
Tôi hy vọng bài viết này sẽ giúp bạn!
Làm cách nào để khắc phục sự cố sao chép giữa các bộ điều khiển miền?
Đầu tiên, bạn có thể sử dụng Microsoft Hotfix, ứng dụng này hoạt động khá tốt trong hầu hết các trường hợp. Sau đó, bạn có thể buộc cập nhật các thay đổi bằng Dấu nhắc Lệnh. Mặt khác, bạn cũng có thể sử dụng đồng bộ hóa cài đặt SYSVOL bằng FRS. Nếu bạn muốn tìm hiểu chúng một cách chi tiết, bạn cần phải xem qua các hướng dẫn đã nói ở trên.
Làm cách nào để kiểm tra trạng thái sao chép của tôi?
Để xem và chẩn đoán các lỗi hoặc sự cố sao chép AD, bạn có thể chạy Công cụ hỗ trợ khôi phục và hỗ trợ của Microsoft HOẶC chạy Công cụ sao chép trạng thái AD trên DC. Bạn có thể đọc trạng thái sao chép trong đầu ra repadmin /showrepl. Repadmin là một phần của Công cụ quản trị máy chủ từ xa (RSAT). Khi thay đổi chính sách nhóm, bạn có thể phải đợi hai giờ (90 phút cộng với 30 phút bù trừ) trước khi thấy bất kỳ thay đổi nào trên máy khách. Trong một số trường hợp, một số thay đổi sẽ không có hiệu lực cho đến khi máy được khởi động lại.