Global Catalog / globaler Katalog will nicht funktionieren

[CaIvin 10]

Hi.

 

Haben bei uns leider folgendes Problem:

 

3 Server (2x 2003 und 2000), und keiner traut sich den GC zu miemen. Wir dachten erst an ein Problem des DNS, da sich der GC nicht in den DNS rein shcreibt, aber wir haben auch einen eigenen DNS installiert und bei einem Neustart des Netlogon-Dienstes wird nur der Server, nicht aber die gc-Einträge im DNS eingetragen.

Wir haben jetzt überall den GC augehakt und wieder reingebracht. Die Rechner dabei hoch und runtergefahren, aber nichts geht :-(

 

Zur Vorgeschichte: Wir haben Vertrauensstellungen zu anderen Domänen und eine dieser anderen Domänen bekam Updates aufgespielt. Dabei kam es wohl zu Problemen und die Updates wurden zurück genommen.

 

Jetzt haben wir das Problem, was ja eigentlich nicht so schlimm wäre, wenn nicht zur User-Athentifizierung der GC gebraucht würde. Es kann sich an der gesamten von uns einsehbaren Domänenstruktur niemand anmelden ausser dem Domänen-Admin. Nicht mal User mit Dom-Adm.-Rechten :-/ Alles sehr verzwickt. Wer hatte schonmal ein ähnliches Problem oder hat Ideen, wie ich den GC dazu bekomme, seine Daten in den DNS zu schreiben? Wer weiß, wie die Vorgänge sind, die da ablaufen, wie der DC / GC mit dem DNS kommuniziert und auf was man achten muß? Fakt ist wohl, daß unser DNS funktioniert, wir haben auch nichts dran verändert.

 

Gruß CaIvin, der jetzt erschöpft nach Hause geht bald und sich ab morgen früh wieder auspeitschen lässt :shock:

[grizzly999 11]

Manchmal dauert es ein wenig, bis der GC auf einem DC angelegt und verfügbar ist. Warte noch eine kurze Weile. Es sollte eigentlich so gehen, wie du es beschrieben hast.

 

BTW: Man kann dieses Verhalten - Keine Anmeldung bei Nichtereichen eines GC - auch ausschalten: http://support.microsoft.com/default.aspx?scid=kb;en-us;241789

 

Sollte man sich aber überlegen ....

 

 

grizzly999

[CaIvin 10]

Wie lange wäre eine Weile? 15 Minuten? 20 Minuten? Einen Tag. Unsrere Struktur ist nicht sooo groß. Ich habe heue irgendwas von 7000 Objekten gelesen :suspect: .

Naja das mit dem Abstellen habe ich schon versucht. Alle DCs ausgeschaltet (also DCs unsere Domäne) bis auf einen, und dem gesagt, er soll nicht im GC verifizieren. Hat nichts gebracht :-(

 

Wie sieht das aus mit der Zeit. Welche Größenordnungen? Was könnte passieren, wenn GCs auf anderen Domänencontrollern liegen in der Gesamtstruktur. Beeinträchtigt daß das Geschehen?

[CaIvin 10]

Jetzt habe ich an allen DCs unserer Domäne den Reg-Eintrag vorgenommen / vornehmen lassen. Und siehe da.: Es kommt eine andere Fehlermeldung.

Sinngemäß lautet sie, daß ich mich wegen Kontobeschränkungen nicht anmelden darf!

Vorher kam immer eine Fehlermeldung das Benutzername und / oder Passwort falsch seien.

 

In den Logs taucht jetzt eine Fehlermeldung auf im Sinne von PAC-Verifizierung fehlgeschlagen (Kerberos Event-ID 7) :(. Was kann ich da machen? Die Fehlermeldung ist auch hier zu finden, leider nur in englisch. Ich bekom sie in deutsch ;)

 

http://www.eventid.net/display.asp?eventid=7&eventno=1870&source=Kerberos&phase=1

[CaIvin 10]

Also Kerberos lief auf einem der 3 Server nicht.

Der dritte ist jetzt auch draussen. Ist abgeschaltet. Leider ist er der Schema-Master :(. Wir können aber keinen anderen als Schema-Master einsetzen, da wir diese Funktion nicht übernehmen können. Auch ist uns aufgefallen daß wir keine Vertrauensstellungen mehr lösen können. Anscheinend haben wir nicht die Berechtigung dazu :-/ (wir sind doch Dom-Admin (Enterprise-Admin!).

 

Hat noch jemand ne Idee? Wie gesagt, da hängen ein paar hundert Studenten und ebensoviele Angestellte dran :(

 

Hat noch wer ne Idee, was man da machen kann?

 

Gruß CaIvin