นโยบายกลุ่มไม่จำลองแบบระหว่างตัวควบคุมโดเมน

โพสต์นี้ให้แนวทางแก้ไขที่เหมาะสมที่สุดสำหรับปัญหาที่ นโยบายกลุ่ม ไม่ถูกนำไปใช้ รวมทั้งไม่ทำซ้ำระหว่างตัวควบคุมโดเมนในสภาพแวดล้อม Windows Server ทั่วไป

ถ้า GPO ไม่ซิงค์หรือจำลองแบบระหว่างตัวควบคุมโดเมน อาจเป็นเพราะสาเหตุต่อไปนี้:

• ปัญหา Active Directory

• ปัญหาเกี่ยวกับตัวควบคุมโดเมนตั้งแต่หนึ่งตัวขึ้นไปขึ้นอยู่กับการตั้งค่า

• ปัญหาเวลาแฝงหรือบริการจำลองแบบไฟล์ช้า

• ไคลเอนต์ Distributed File System (DFS) ถูกปิดใช้งาน

• การเชื่อมต่อเครือข่ายกับตัวควบคุมโดเมน

เครื่องไคลเอนต์บางเครื่องจะใช้ DC ตามความเป็นสมาชิกของไซต์ในสถานการณ์ที่คุณมีตัวควบคุมโดเมนมากกว่าหนึ่งตัวในโดเมนหนึ่งๆ โดยทั่วไป หากแต่ละไซต์มี DC หลายตัว ลูกค้าสามารถเลือก DC ตาม "น้ำหนัก" ในขณะที่โดยปกติแล้ว DC ทั้งหมดจะ "ถ่วงน้ำหนักเท่ากัน ” นอกจากนี้ยังเป็นไปได้ที่เครื่องไคลเอนต์จะใช้ DC ในตำแหน่งอื่น ดังนั้น หาก DCs ของคุณไม่ได้จำลองอย่างถูกต้อง ไดเร็กทอรี SYSVOL ที่โฮสต์บนเซิร์ฟเวอร์เหล่านี้อาจไม่มีการมิเรอร์ข้อมูลอย่างแม่นยำ ซึ่งในกรณีนี้เวิร์กสเตชันของคุณจะได้รับผลลัพธ์ที่แตกต่างกัน ขึ้นอยู่กับ DC ที่เครื่องไคลเอนต์ชี้ไป

นโยบายกลุ่มไม่จำลองแบบระหว่างตัวควบคุมโดเมน

ในสถานการณ์กรณีทั่วไป มี DC อยู่สามแห่ง และหนึ่งในนั้นเป็น DC 2012 รุ่นเก่าจะถูกปลดประจำการ อีกสองรายการคือ DC 2016 ซึ่งเป็นรายการใหม่และปัจจุบันเป็นผู้ถือ FSMO ขณะนี้ มีปัญหาเกี่ยวกับการจำลองแบบ SYSVOL โดยที่การเปลี่ยนแปลงใดๆ ที่สร้างขึ้นใน DC 2016 จะไม่จำลองแบบในนโยบาย SYSVOL ของ DC 2012

ดังนั้น หากนโยบายกลุ่มไม่ทำงานและการจำลองแบบไม่ทำงานระหว่างตัวควบคุมโดเมนในการตั้งค่า Windows Server ในสภาพแวดล้อมแบบองค์กร หากคุณเป็นผู้ดูแลระบบไอที โซลูชันที่ให้ไว้ด้านล่างโดยไม่เรียงลำดับจะช่วยคุณแก้ไขปัญหาได้

1. ใช้โปรแกรมแก้ไขด่วนของ Microsoft

2. การแก้ไขปัญหาทั่วไปสำหรับปัญหาการจำลองแบบ DC

3. ซิงค์ข้อมูล SYSVOL (อนุญาตหรือไม่อนุญาต) โดยใช้ FRS

4. ติดต่อฝ่ายสนับสนุนของ Microsoft

มาดูคำอธิบายของกระบวนการที่เกี่ยวข้องกับโซลูชันแต่ละรายการที่ระบุไว้

1. สมัคร Microsoft Hotfix

หากคุณประสบปัญหานี้ใน DC ที่ใช้ Windows Server 2008 R2 หรือ 2012 ก่อนดำเนินการแก้ไขปัญหาใดๆ คุณต้องใช้ Microsoft Hotfix กับ DC ทั้งหมดก่อน (ไม่จำเป็นสำหรับ 2012 R2) มีปัญหาที่ทราบเกี่ยวกับ DC ที่เซิร์ฟเวอร์เปิดไฟล์ไว้หลังจากที่คุณแก้ไข ซึ่งปรากฏว่าการแก้ไขนั้นได้ผล จนกว่าคุณจะปิดและเปิด GPO ใหม่อีกครั้ง และพบว่าไม่มีผลเลย ในทำนองเดียวกัน การจำลองแบบดูเหมือนจะได้ผล แต่บางเครื่องรับการตั้งค่าในขณะที่บางเครื่องไม่รองรับ เนื่องจากข้อมูลเดียวกันไม่ได้ถูกจำลองแบบอย่างถูกต้องไปยัง DC ทั้งหมด

2. การแก้ไขปัญหาทั่วไปสำหรับปัญหาการจำลองแบบ DC

ก่อนที่คุณจะดำเนินการต่อ คุณสามารถดำเนินงานเบื้องต้นต่อไปนี้เกี่ยวกับการแก้ไขปัญหาทั่วไปสำหรับปัญหาการจำลองแบบ DC เมื่อเสร็จสิ้นแต่ละงาน ให้ตรวจดูว่าปัญหาได้รับการแก้ไขแล้วหรือไม่

• บังคับ gpupdate คุณสามารถเริ่มต้นด้วยการเรียกใช้ gpupdate จากเวิร์กสเตชันที่พบผลลัพธ์ที่ไม่สอดคล้องกัน หากคุณได้รับผลลัพธ์ที่ระบุว่า ไม่สามารถอัปเดตนโยบายคอมพิวเตอร์ได้สำเร็จ แสดงว่ามีปัญหาในการจัดส่ง GPO ในวงกว้าง

• ตรวจสอบ DC สำหรับโฟลเดอร์ NETLOGON และ SYSVOL ในระดับพื้นฐานที่สุด DC ควรมีโฟลเดอร์ที่ใช้ร่วมกันสองโฟลเดอร์ตามค่าเริ่มต้น โฟลเดอร์ NETLOGON และโฟลเดอร์ SYSVOL หากไม่มีโฟลเดอร์ทั้งสองนี้ใน DC คุณจะมีปัญหาเกี่ยวกับ AD และ GPO จะไม่ถูกส่งอย่างถูกต้อง

• บังคับให้จำลองโดยใช้สคริปต์ คุณสามารถบังคับการจำลองแบบด้วยสคริปต์จาก GitHub.com เมื่อทราบว่านโยบายกลุ่มประกอบด้วยไฟล์สองส่วนที่อยู่ใน SYSVOL และแอตทริบิวต์เวอร์ชันใน AD การเรียกใช้สคริปต์เป็นวิธีที่รวดเร็วในการจำลองการเปลี่ยนแปลงไปยัง DC ทั้งหมดภายในโดเมนของคุณ

• ใช้เครื่องมือแก้ปัญหา ใช้เครื่องมือแก้ปัญหาเช่น DCDIAG.exe, GPOTOOL.exe หรือ DFSDIAG.exe หากมีปัญหาการจำลองแบบ คุณควรจะสามารถ กำหนด DC หรือ DCs ที่เป็นปัญหา เมื่อพิจารณาแล้ว คุณจะต้องสร้างไดรฟ์ข้อมูลระบบ (SYSVOL) ใหม่บนเซิร์ฟเวอร์ที่กำหนดเหล่านี้ หากคุณมี DC มากกว่าหนึ่งแห่งในไซต์ วิธีง่ายๆ ในการดำเนินการนี้คือลดปัญหา DC โดยเรียกใช้ DCPROMO - รีบูตเซิร์ฟเวอร์ - จากนั้นเรียกใช้ DCPROMO และรีบูตอีกครั้ง หากมี DC เพียงตัวเดียวอยู่ในไซต์ คุณสามารถใช้รายการรีจิสทรี Burflags Windows เพื่อสร้าง SYSVOL ใหม่ได้ โปรดทราบว่าการลดระดับ DC เดียวที่อยู่บนไซต์อาจทำให้คุณต้องเข้าร่วมไคลเอนต์กับโดเมนอีกครั้ง

3. ซิงค์ (เผด็จการหรือไม่มีอำนาจ) ข้อมูล SYSVOL โดยใช้ FRS

ลำดับชั้นของโฟลเดอร์ SYSVOL ที่มีอยู่ในตัวควบคุมโดเมน Active Directory ทั้งหมด ส่วนใหญ่ใช้เพื่อเก็บข้อมูลสำคัญสองชุดที่จำลองแบบระหว่าง DCs แต่การจำลองแบบ SYSVOL จะเกิดขึ้นแยกต่างหากจากการจำลองแบบของ Active Directory หนึ่งสามารถล้มเหลวในขณะที่อื่น ๆ ทำงานได้อย่างสมบูรณ์ ในบางกรณี การจำลองแบบ SYSVOL อาจล้มเหลวและไม่สามารถดำเนินการต่อได้หากไม่มีการแทรกแซงด้วยตนเอง ในกรณีนี้ คุณจะต้องทำการซิงค์ข้อมูล SYSVOL แบบ Authoritative (สำหรับ DC หนึ่งตัว) หรือ non-Authoritative (มากกว่าหนึ่ง DC) โดยใช้ FRS

คำแนะนำด้านล่างใช้ไม่ได้หากไม่ได้ใช้งาน File Replication Service (FRS) เนื่องจากเลิกใช้บริการแล้ว แม้ว่าอาจยังคงใช้งานอยู่ในโดเมน Active Directory ที่สร้างขึ้นใน Windows Server 2008 และรุ่นก่อนหน้า เพื่อตรวจสอบว่า FRS ใช้งานอยู่หรือไม่ ให้รันคำสั่งด้านล่างในพร้อมท์คำสั่งบน DC:

dfsrmig /getmigrationstate

หากผลลัพธ์แสดงสถานะการย้ายข้อมูลเป็น ลบออก แสดงว่า FRS ไม่ได้ใช้งาน

ในการดำเนินการซิงค์ข้อมูล SYSVOL แบบอนุญาตหรือไม่อนุญาตโดยใช้ FRS ให้ทำตามขั้นตอนเหล่านี้:

• เนื่องจากนี่คือการดำเนินการของรีจิสทรี ขอแนะนำให้คุณสำรองข้อมูลรีจิสทรีหรือสร้างจุดคืนค่าระบบตามมาตรการป้องกันที่จำเป็น

• สำหรับการซิงค์ที่ไม่ได้รับอนุญาต ตรวจสอบให้แน่ใจว่ามี DC อื่นอยู่ในสภาพแวดล้อมและสำเนาของข้อมูล SYSVOL เป็นปัจจุบันโดยไปที่ %systemroot%\SYSVOL เพื่อตรวจสอบวันที่แก้ไขของ Group Policy ไฟล์เทมเพลตและ/หรือไฟล์สคริปต์

เมื่อเสร็จแล้ว คุณสามารถดำเนินการดังนี้:

• หยุดบริการการจำลองแบบไฟล์

• กด แป้น Windows + R เพื่อเรียกใช้กล่องโต้ตอบเรียกใช้

• ในกล่องโต้ตอบ Run ให้พิมพ์ regedit แล้วกด Enter เพื่อเปิด Registry Editor

• นำทางหรือข้ามไปยังเส้นทางคีย์รีจิสทรีด้านล่าง:

HKLM\CCS\Services\NtFrs\Parameters\Backup/Restore\Process at Startup

• ที่ตำแหน่งบนบานหน้าต่างด้านขวา ดับเบิลคลิกรายการ BurFlags เพื่อแก้ไขคุณสมบัติ

• ในฟิลด์ Value data ให้พิมพ์ D4 (สำหรับข้อมูลที่เชื่อถือได้) หรือ D2 (สำหรับข้อมูลที่ไม่น่าเชื่อถือ) ตามความต้องการของคุณ

• คลิก ตกลง หรือกด Enter เพื่อบันทึกการเปลี่ยนแปลง

• ออกจากตัวแก้ไขรีจิสทรี

• ถัดไป เริ่มบริการการจำลองแบบไฟล์

• ถัดไป เปิดใช้ Event Viewer และตรวจสอบบันทึกเหตุการณ์ File Replication Service ใน Applications and Services Logs เพื่อดูเหตุการณ์ที่ให้ข้อมูล 13516 อาจใช้เวลาสักครู่ก่อนที่เหตุการณ์นี้จะปรากฏขึ้น

• เมื่อเหตุการณ์ 13516 ปรากฏขึ้น ให้รันคำสั่งด้านล่าง:

net share

• ตอนนี้ ยืนยันว่ามี SYSVOL และ NETLOGON ที่ใช้ร่วมกันในเอาต์พุต

ในโดเมนที่มี DC เดียว ข้อมูล SYSVOL เองไม่ควรมีการเปลี่ยนแปลงในระหว่างขั้นตอนนี้ ในโดเมนที่มี DC มากกว่าหนึ่งแห่ง คุณอาจต้องทำการซิงค์ SYSVOL ที่ไม่ได้รับอนุญาตกับ DC อื่น ๆ อย่างน้อยหนึ่งแห่งหลังจากที่การซิงค์ที่ได้รับอนุญาตเสร็จสิ้นโดยการตรวจสอบบันทึกเหตุการณ์ FRS ของ DC อื่น ๆ เพื่อหาข้อผิดพลาดหรือคำเตือน เหตุการณ์ คุณยังสามารถเปรียบเทียบข้อมูลในลำดับชั้นของโฟลเดอร์ SYSVOL ของ DC ที่ได้รับผลกระทบกับข้อมูลที่สอดคล้องกันใน DC ที่ดีที่รู้จัก เพื่อยืนยันว่าข้อมูลตรงกัน

4. ติดต่อฝ่ายสนับสนุนของ Microsoft

หากปัญหา นโยบายกลุ่มไม่จำลองแบบระหว่างตัวควบคุมโดเมน ยังคงอยู่ คุณอาจต้องติดต่อฝ่ายสนับสนุนของ Microsoft Professional พวกเขาเรียกเก็บเงินตามเหตุการณ์และตั๋วจะต้องเริ่มต้นออนไลน์เท่านั้นเนื่องจากพวกเขาไม่ยอมรับโทรศัพท์เพื่อสร้างตั๋ว

ฉันหวังว่าโพสต์นี้จะช่วยคุณได้!

คุณจะแก้ไขปัญหาการจำลองแบบระหว่างตัวควบคุมโดเมนได้อย่างไร

ขั้นแรก คุณสามารถใช้ Microsoft Hotfix ซึ่งใช้งานได้ดีในกรณีส่วนใหญ่ หลังจากนั้น คุณสามารถบังคับอัปเดตการเปลี่ยนแปลงได้โดยใช้พรอมต์คำสั่ง ในทางกลับกัน คุณสามารถใช้ซิงโครไนซ์การตั้งค่า SYSVOL โดยใช้ FRS ได้เช่นกัน หากคุณต้องการเรียนรู้โดยละเอียด คุณต้องอ่านคำแนะนำข้างต้น

ฉันจะตรวจสอบสถานะการจำลองของฉันได้อย่างไร

หากต้องการดูและวินิจฉัยข้อผิดพลาดหรือปัญหาในการจำลองแบบ AD คุณสามารถเรียกใช้ Microsoft Support and Recovery Assistant Tool หรือเรียกใช้เครื่องมือจำลองสถานะโฆษณาใน DC คุณสามารถอ่านสถานะการจำลองได้ในเอาต์พุต repadmin /showrepl Repadmin เป็นส่วนหนึ่งของ Remote Server Administrator Tools (RSAT) เมื่อคุณเปลี่ยนนโยบายกลุ่ม คุณอาจต้องรอสองชั่วโมง (90 นาทีบวกออฟเซ็ต 30 นาที) ก่อนที่คุณจะเห็นการเปลี่ยนแปลงใดๆ บนคอมพิวเตอร์ไคลเอนต์ ในบางกรณี การเปลี่ยนแปลงบางอย่างจะไม่มีผลจนกว่าเครื่องจะรีบูต