Fehlermeldungen 1311/2904 auf RODC

[Rotwilderer 10]

Hallo zusammen,

 

seit ein paar Tagen erhalte ich auf einem unserer RODC Server folgende Fehlermeldungen:

 

Protokollname: Directory Service
Quelle:        Microsoft-Windows-ActiveDirectory_DomainService
Datum:         17.08.2016 16:38:54
Ereignis-ID:   2904
Aufgabenkategorie:Konsistenzprüfung
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      ANONYMOUS-ANMELDUNG
Computer:      Server.domäne.local
Beschreibung:
Dieses Ereignis dokumentiert zusätzliche REPAIR PROCEDURES zum Auflösen des NTDS KCC-Ereignisses 1311 für einen schreibgeschützten Active Directory- Domänencontroller.
 
Lokale Website:
CN=Erkrath,CN=Sites,CN=Configuration,DC=drahtundschutz,DC=local
 
Benutzeraktion:  
 
Die Benutzeraktion zum Auflösen des NTDS KCC-Ereignisses 1311 für einen schreibgeschützten Active Directory-Domänencontroller ist mit dem Aktionsplan für einen (vollständig) schreibbaren Active Directory-Domänencontroller identisch, jedoch mit den folgenden Zusatzanforderungen:
 
1.    Wenn das NTDS KCC-Ereignis 1789 direkt neben den NTDS KCC-Ereignissen 1311 und NTDS KCC 2904 protokolliert wird, verwenden Sie das Snap-In "Active Directory-Standorte und -Dienste" mit Fokus auf einem schreibbaren Active Directory-Domänencontroller, um diese Website einem entsprechenden Websitelink hinzuzufügen, und führen Sie dann die Schritte 4 und 5 aus.
 
2.    Das Ereignis 1311 kann zahlreiche Ursachen besitzen. Führen Sie den Aktionsplan im Link "Onlinehilfe des Ereignisprotokolls" eines benachbarten Ereignisses vom Typ 1311 aus. Weitere Informationen finden Sie möglicherweise unter http://support.microsoft.com, oder rufen Sie den MSKB-Artikel "http://support.microsoft.com/default.aspx?scid=kb;EN-US;307593" auf.
 
3.    Alle Korrekturen zur Auflösung des Ereignisses 1311 müssen auf einem Active Directory-Domänencontroller vorgenommen werden, auf dem eine schreibbare Kopie der Active Directory-Partition oder der zu ändernden Gruppenrichtlinie gehostet wird.
 
4.    Wenn der schreibgeschützte Active Directory-Domänencontroller, von dem das Ereignis 2904/1311 protokolliert wird, über keinen gültigen "repsFrom"- Active Directory-Quelldomänencontroller verfügt, führen Sie den folgenden Befehl aus, andernfalls setzen Sie den Vorgang mit Schritt 5 fort:
 
                  [Hinweis: Für diesen Schritt sind Anmeldeinformationen als                      Organisationsadministrator erforderlich.]
 
                  repadmin /add <DN der aktualisierten Active Directory-                     Partition> <Name des schreibgeschützten Active Directory-                     Domänencontrollers> <vollqualifizierter Computername des                     schreibbaren Active Directory-Domänencontrollers> /readonly                     /selsecrets
 
5.    Lösen Sie die Replizierung vom schreibbaren, in den vorherigen Schritten aktualisierten Active Directory-Domänencontroller auf den schreibgeschützten Active Directory-Domänencontroller mit dem folgenden Befehl aus:
 
                  [Hinweis: Für diesen Schritt sind Anmeldeinformationen als                      Organisationsadministrator erforderlich.]
 
                  repadmin /replicate  <Name des schreibgeschützten Active                     Directory-Domänencontrollers> <Name des schreibbaren Active                     Directory-Domänencontrollers> <DN der aktualisierten Active                     Directory-Partition>
 
                  OR
 
                  Sie können auch die Benutzeroberfläche von Active                     Directory-Standorte und -Dienste verwenden, indem Sie die                     folgenden Schritte ausführen:
 
                  - Klicken Sie auf die Website mit diesem schreibgeschützten                       Active Directory-Domänencontroller.
                  - Klicken Sie auf die Konfiguration der Replikation vom/zum                       ausgewählten Active Directory-Domänencontroller.

 

Protokollname: Directory Service
Quelle:        Microsoft-Windows-ActiveDirectory_DomainService
Datum:         17.08.2016 16:38:54
Ereignis-ID:   1311
Aufgabenkategorie:Konsistenzprüfung
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      ANONYMOUS-ANMELDUNG
Computer:      server.domäne.local
Beschreibung:
Die Konsistenzprüfung hat Probleme mit der folgenden Verzeichnispartition festgestellt.
 
Verzeichnispartition:
CN=Configuration,DC=domäne,DC=local
 
Es gibt für die Konsistenzprüfung nicht genügend Standortskonnektivitätsinformationen, um eine umfassende Gesamtstruktur-Replikationstopologie zu erstellen. Zudem besteht die Möglichkeit, dass mindestens ein Verzeichnisserver mit dieser Verzeichnispartition nicht in der Lage war, die Verzeichnispartitioninformationen zu replizieren. Dies liegt vermutlich an nicht zugreifbaren Verzeichnisservern.
 
Benutzeraktion
Führen Sie einen der folgenden Schritte aus:
- Veröffentlichen Sie genügend Informationen über Standortkonnektivität, sodass die Konsistenzprüfung eine Route ermitteln kann, durch die die Verzeichnispartition diesen Standort erreichen kann. Diese Option wird empfohlen.
- Fügen Sie von einem Verzeichnisdienst mit derselben Verzeichnispartition auf einem anderen Standort ein Verbindungsobjekt zu einem Verzeichnisdienst mit der Verzeichnispartition an diesem Standort hinzu.
 

 
Wenn keine dieser beiden Aufgaben den Problemzustand behebt, überprüfen Sie die bisher durch die Konsistenzprüfung protokollierten Ereignisse, die die nicht zugreifbaren Verzeichnisserver identifizieren.
 

 

Des Weitern wird der Standortübergreifende Messagindienst nicht automatisch gestartet, dies funktioniert nur manuell.

 

 

Zu meiner Umgebung:

Alle Server laufen unter W 2008 R2, Domäne 2008 R2

 

Ich habe 3 Schreibbare DCs am Hautpstandort und an 3 Niederlassungen jeweils 1 RODC.

 

Die Replikaton schien auf dem betroffenen RODC aber einwandfrei zu laufen, auch das AD Replication Stauts tool hat keine Fehler erkannt.

 

Ich habe, wie in den Fehlermeldungen vorgeschlagen, ein repadmin /add Befehl abgesetzt, ich erhalte aber die Meldung:

 

DsBindWithCred mit rodc.domäne.lokal ist fehlgeschlagen mit Status 1
722 (0x6ba):

Der RPC-Server ist nicht verfügbar.
 

Der Fehler tritt seit dem letzten Microsoft Update auf, nachdem der Server neu gestartet wurde. Auf den anderen RODCs wurden die selben Updates gefahren, dort funktioniert aber alles.