AD kann nicht replizieren , Tombstone-Ablaufzeit überschritten

[m1k2k 10]

Habs mir selbst beantwortet, hätte zuerst lesen sollen :) , aber der Doku schadets nicht ;)

 

LDAP://Yusufs.Directory.Blog/ - Die FSMO-Rollen verschieben

[NilsK 2.930]

Moin,

 

ohne RID-Master erhält der DC keinen RID-Pool, kann also keine Objekte erzeugen, die einen SID haben (User, Gruppen, Computer). Statt eines Workarounds würde ich das Netzwerkproblem beseitigen.

 

Zum Thema Lingering Objects, Tombstone Lifetime und einigen anderen Don'ts gibt es in einigen Tagen auf TechNet Edge meine Session von der ice:2011 zum Download.

 

Gruß, Nils

[m1k2k 10]

Servus Nils,

 

danke für die Info.

 

Ich habe jedoch den RID geändert , jetzt läufts gerade durch.

RID und PDC sind jetzt getrennt...ist bei Yusufs Blog nicht empfohlen....

 

D.h. wohl auch wenn ich das Netzwerkproblem nicht löse muss ich den RID dort belassen wo ich ihn jetzt hinverschoben habe oder? Wenn ich ihn nachm DCPROMO wieder auf den anderen DC verschiebe...kann ich WAS nicht machen auf dem US DC ?

 

Deine Session lad ich mir runter, interessantes Thema !

[NilsK 2.930]

Moin,

 

RID-Master und PDC Emulator zu trennen, ist nicht Best Practice, aber auch nicht automatisch ein Problem. Wichtig ist, dass du das Netzwerkproblem behebst.

 

Was ohne RID-Master passiert, habe ich ja schon geschrieben.

 

Gruß, Nils

[Daim 12]

Eine Sache noch, Default ist ja 60 Tage eingestellt, das Log schreibt mir das die letze erfolgreiche Replizierung am 29.06.2011 war...am 30.08.2011 hab ich ihn wieder online gebracht , d.h. es waren exakt 62 Tage dazwsichen...hab ich ja wirklich Pech gehabt :(...******* Motorradunfall *grrrr*

 

Ahaa... das ist dann wirklich: Dumm gelaufen aber in deinem Fall ja kein größeres Problem. :-)

 

Du könntest (und solltest) die Tombstone-Lifetime auf 180 Tage setzen. Dabei wächst die AD-Datenank zwar an, da nun gelöschte Objekte länger in der NTDS.DIT verweilen, was aber auf der heutigen Hardware mit den heutigen HDDs kein Problem darstellen sollte.

[NilsK 2.930]

Moin,

 

äh - Moment: Beim Verlängern der Tombstone Lifetime sollte man immer mit Bedacht vorgehen und die Garbage Collection manuell auslösen. Sonst drohen Lingering Objects.

 

Adjusting the Tombstone Lifetime - Directory Services/Active Directory

 

Gruß, Nils

[gogo_sven 10]

Hallo Leute,

 

habe gerade leider das gleiche Problem.. und frage mich, ob man hier nicht auch mit dem Reg-Key "Allow Replication With Divergent and Corrupt Partner" weiter kommen kann ?

 

 

Laut Technet Beschreibung könnte das doch passen...

 

Event ID 2042: It has been too long since this machine replicated: Active Directory

 

Gruß Sven

[NilsK 2.930]

Moin,

 

wenn deine detaillierte Abwägung der Folgen und Risiken ergibt, dass dies ein gangbarer Weg ist, kannst du das tun.

 

Wenn es hingegen nur darum geht, dir Arbeit zu ersparen: Nein, lass es.

 

Gruß, Nils

PS. Übrigens solltest du bitte für neue Probleme eigene Threads erzeugen, auch wenn sie scheinbar sehr ähnlich sind. Das Board warnt nicht umsonst beim Fortsetzen uralter Diskussionen.

[kamikatze 84]

Moin,

 

wenn deine detaillierte Abwägung der Folgen und Risiken ergibt, dass dies ein gangbarer Weg ist, kannst du das tun.

 

Wenn es hingegen nur darum geht, dir Arbeit zu ersparen: Nein, lass es.

 

Gruß, Nils

[ [/i]

 

Moin Nils

Welche Folgen und Risiken sind das, von denen Du sprichst? Hast Du einen Link o.ä.?

Ist Deiner Meinung nach ADSIedit der bessere Weg?

Gruss

Markus

[NilsK 2.930]

Moin,

 

Welche Folgen und Risiken sind das, von denen Du sprichst? Hast Du einen Link o.ä.?

 

dazu brauche ich keinen Link - dazu muss man nur mal überlegen, was "Replikation mit einem korrupten Replikationspartner zulassen" bedeutet.

 

Wer mag, kann sich dazu auch noch meinen Vortrag "Tu mir das nicht an, sagte der Domänencontroller" als Video ansehen.

 

Bessere Vorgehensweisen wurden in diesem Thread bereits benannt, das müssen wir nicht wiederholen.

 

Gruß, Nils

[kamikatze 84]

Den Vortrag habe ich noch in bester Erinnerung:rolleyes:

[gogo_sven 10]

hallo Nils,

 

habe ein kleines Verständnis-Problem....

 

also mein Gedanke ist ja folgender:

 

Ich aktiviere den Reg-Key auf dem veralteten DC, dann überschreibt er alle seine Einträge mit den, von den anderen DCs und kann dann normal mit dcpromo entfernt werden.

 

Der veraltete DC war aus und seit der letzten Erfolgreichen Replikation wurden auf diesem keine Änderungen durchgeführt.

 

Danke für deine Antworten.

 

Gruß Sven

bearbeitet 22. November 2012 von gogo_sven