Vertrauensstellung und Benutzer zwischen 2K3 und 2K8 Domäne

[kryble 10]

Hallo zusammen,

 

zwecks Migration habe ich eine Vertrauensstellung zwischen zwei Domänen eingerichtet, die auch problemlos funktioniert. Nun möchte ich in der Quelldomäne (2K3) in die Gruppe "Administratoren" den Administrator der Zieldomäne (2K8) hinzufügen. Beide Domänen sind im einheitlichen 2003-Modus. Wähle ich nun auf dem DC der Quelldomäne unter "Active-Directory Benutzer und Computer" die Gruppe Administratoren aus, wähle "Hinzufügen" und wechsle den Pfad auf den Namen der Zieldomäne aus (Vertrauensstellung besteht ja), kann er keinen Benutzer der Zieldomäne finden. Wenn ich auf "Jetzt suchen" klicke, um alle Benutzer-Objekte zu finden, erscheint als Fehlermeldung: "Der Server ist nicht funktionstüchtig". Weitere Fehler werden nicht angezeigt, die Ereignisanzeige auf beiden Servern ist sauber und auch DCDIAG zeigt keine Probleme an.

Ich brauche diese Einstellung allerdings, damit der Administrator der Zieldomäne auf den Kennwortexportserver (PES) zugreifen kann. Ansonsten klappt die Migration problemlos, nur leider ohne Kennwörter.

 

Wer kann mir weiterhelfen?

[grizzly999 11]

Hast du die Vertrauensstellung von der 2K3 Domäne zur 2K8 Domäne schon überprüft?

Zur Not nochmals schnell neu einrichten.

 

 

grizzly999

[kryble 10]

Danke für deine schnelle Antwort!

Ich habe die Vertrauensstellung schon von beiden Servern aus angelegt, jedesmal bidirektional. Beim Anlegen gabs auch keine Probleme ...

Muss ich beim 2008-Server noch weitere Rollen neben der Active Directory Rolle einrichten? Was kann man noch probieren?

[grizzly999 11]

Was kann man noch probieren?

Erst mal Fragen beantworten ;)

 

 

grizzly999

[NilsK 2.982]

Moin,

 

• die Namensauflösung (insbes. DNS) läuft innerhalb und zwischen den Domänen?
  
• Die Firewall hast du testweise auf beiden Seiten abgeschaltet?
  
• Kann ein User aus Domäne A sich an einen Rechner in Domäne B anmelden bzw. auf Ressourcen zugreifen?
  
• Hast du die SID-Quarantäne abgeschaltet?
  

 

Gruß, Nils

[solinske 10]

Ich würde auch auf ein DNS Problem tippen.

[Lord Rayden 10]

Hallo zusammen,

 

ich habe da ein ähnliches Problem. Habe zwei Gesamtstruckturen eine W2k3 und eine w2k8, wollte aus Migrationsgründen eine Vertrauensstellung aufbauen. Die Vertrauensstellung ist eingerichtet und auch bestätigt, dummer weise kann ich nicht in den Gesammtstruckturen gegenseitig suchen um Konten Berechtigungen zu erteilen.

 

Kann man zwischen W2k3 und W2k8 keine Gesamtstrucktur Vertrauensstellung aunbauen?

 

Mein DNS ist übrigens in Ordnung. In der W2k8 Domäne bekomme ich immer ein lokalen Fehler aber in der Ereignisanzeige wird kein Fehler angezeigt.

 

Gibt es etwas was ich noch berücksichtigen muß?

[NilsK 2.982]

Moin,

 

In der W2k8 Domäne bekomme ich immer ein lokalen Fehler

 

... und zwar?

 

Gruß, Nils

[solinske 10]

Funktioniert netdom trust <domain name> /verify ?

[Lord Rayden 10]

Moin, moin,

 

@nilsk

Das ist die Fehlermeldung "Ein lokaler Fehler ist aufgetreten" ohne eintrag in das Ereignisprotokoll.

 

@solinske

über netdom schreibt er mir unter w2k8 das der Befehl nicht ordnungsgemäß ausgeführt wurde. Unter W2k3 bekomme ich die meldung das er keine Verbindung herstellen kann.

 

Also funktioniert mein Trust nicht. Aber was kann ich noch tun? Habe erst den Assistenten ausgeführt der die Vertrauensstellung in beiden Strukturen erstellen will

-> hat nicht funktioniert

Habe dann den Trust manuell erstellt mit kennwort wobei ich die Meldung bekommen habe das der Trust eingerichtet und überprüft worden ist.

 

Jetzt meldet mir NETDOM das keine Vertauensstellung vorhanden ist.

 

Beide DCs haben eine eigene DNS Zone und greifen auf die jeweils andere zu. Ich sehe keinen Fehler.

 

WAS KANN ICH TUN?

[solinske 10]

Hast du eine sekundäre Zone auf den Servern eingerichtet?

–

Wenn du meinen Syntax genau so übernommen hast, dann war ich etwas voreilig. Vollständig heisst es :

 

Netdom trust trusting_domain_name /domain:trusted_domain_name /verify

 

Dabei ist Deine Domäne die trusting und die externe die trusted.

[Lord Rayden 10]

Hallo Solinske,

 

Sekundäre Zonen habe ich nicht erstellt.

 

Habe gedacht das die Weiterleitungen im DNS ausreichen. Werde das mal probieren.

[Lord Rayden 10]

Habe jetzt auch die sekundären Zonen eingerichtet.

 

Ich kann zwar jetzt gegenseitig auflösen aber ich habe immer noch nicht die Pfade des ADS beider Domänen in einer ansicht. Somit kann ich immer noch nicht übergreifende berechtigungen erteilen.

 

Was mir noch aufgefallen ist, mit dem NETDOM TRUST befehl kann er sich zwar mit beiden DCs verbinden (mit dem verbose parameter), aber die meldung ist immer noch die selbe "befehl wurde nicht ordnungsgemäß ausgeführt".

 

Irgend etwas stimmt noch nicht, mir ist aber schleierhaft was das sein könnte. habe meines wissens alles überprüft.