{"id":1407,"date":"2011-08-19T09:35:10","date_gmt":"2011-08-19T12:35:10","guid":{"rendered":"http:\/\/www.radians.com.ar\/blog\/?p=1407"},"modified":"2011-08-19T09:35:10","modified_gmt":"2011-08-19T12:35:10","slug":"problemas-con-nuestro-active-directory-no-se-puede-despromover-un-domain-controller-por-el-error-the-directory-service-is-missing-mandatory-configuration-information-and-is-unable-to-determin","status":"publish","type":"post","link":"https:\/\/www.radians.com.ar\/blog\/?p=1407","title":{"rendered":"Problemas con nuestro Active Directory, no se puede despromover un Domain Controller por el error “The directory service is missing mandatory configuration information, and is unable to determine the ownership of floating single-master operation roles” y Event Id 2091 & 2022 {Troubleshooting}"},"content":{"rendered":"

Hoy vamos a ver un tema muy critico, sobre un error al despromover un Domain Controller de nuestra infraestructura. Tenemos un dominio similar al que muestra el siguiente grafico; en donde tenemos 3 Domains Controllers que est\u00e1n funcionando y uno que ya no existe hace tiempo; lo que queremos hacer es despromover el SRVDC02 de nuestra arquitectura.<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Antes de empezar, deber\u00edamos verificar un par de temas como para evitar inconvenientes. Primero verificamos la replicaci\u00f3n si esta todo funcionando bien, para ello utilizamos el comando repadmin \/showrepl<\/font><\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Aqu\u00ed vemos que esta todo correcto, por lo menos en lo que se refiere a la replicaci\u00f3n. Verificamos los roles FSMO, y aparentemente est\u00e1n todos bien asignados.<\/font><\/p>\n

\"www.radians.com.ar<\/a>\"www.radians.com.ar<\/a>\"www.radians.com.ar<\/a><\/p>\n

Quitamos dentro de la consola Active Directory Sites and Services<\/font> la opci\u00f3n de Global Catalog<\/font> sobre nuestro servidor:<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Esta es una tarea sencilla, simplemente deber\u00edamos ejecutar el comando DCPromo<\/font> en el DC y seguir el Wizard, pero bueno, nada es tan f\u00e1cil y nos da el siguiente error:<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Entonces que es lo que produce este error? Verificamos los eventos asociados y encontramos lo siguiente:<\/font><\/p>\n

\"www.radians.com.ar<\/a>\"www.radians.com.ar<\/a><\/p>\n

El detalle de estos eventos es el siguiente:<\/font><\/p>\n

\n

Event 2022<\/font>
The operations master roles held by this directory server could not transfer to the following remote directory server.
Remote directory server:  \\\\Srvdc10.tpssa.com.ar<\/a> 
This is preventing removal of this directory server.
User Action
Investigate why the remote directory server might be unable to accept the operations master roles, or manually transfer all the roles that are held by this directory server to the remote directory server. Then, try to remove this directory server again.
Additional Data
Error value: 5005 The directory service is missing mandatory configuration information, and is unable to determine the ownership of floating single-master operation roles.
Extended error value: 0
Internal ID: 52498735<\/p>\n<\/blockquote>\n

\n

Event 2091
<\/font>Ownership of the following FSMO role is set to a server which is deleted or does not exist.
 
Operations which require contacting a FSMO operation master will fail until this condition is corrected.
 
FSMO Role: CN=Infrastructure,DC=DomainDnsZones,DC=tpssa,DC=com,DC=ar
FSMO Server DN: CN=NTDS Settings\\0ADEL:d31a66c9-db25-498e-9f1d-bc265f8ca2ac,CN=SRVAVAS\\0ADEL:72082ed0-5508-43c6-af19-004d1fc0a17f,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar
 
User Action:  
1. Determine which server should hold the role in question.
2. Configuration view may be out of date. If the server in question has been promoted recently, verify that the Configuration partition has replicated from the new server recently.  If the server in question has been demoted recently and the role transferred, verify that this server has replicated the partition (containing the latest role ownership) lately.
3. Determine whether the role is set properly on the FSMO role holder server. If the role is not set, utilize NTDSUTIL.EXE to transfer or seize the role. This may be done using the steps provided in KB articles 255504 and 324801 on http:\/\/support.microsoft.com<\/a>.
4. Verify that replication of the FSMO partition between the FSMO role holder server and this server is occurring successfully.
 
The following operations may be impacted:
Schema: You will no longer be able to modify the schema for this forest.
Domain Naming: You will no longer be able to add or remove domains from this forest.
PDC: You will no longer be able to perform primary domain controller operations, such as Group Policy updates and password resets for non-Active Directory Domain Services accounts.
RID: You will not be able to allocation new security identifiers for new user accounts, computer accounts or security groups.
Infrastructure: Cross-domain name references, such as universal group memberships, will not be updated properly if their target object is moved or renamed.<\/p>\n<\/blockquote>\n

Si leemos bien el evento podemos ver que tenemos una inconsistencia en la siguiente linea:<\/font><\/p>\n

FSMO Role: CN=Infrastructure,DC=DomainDnsZones,DC=tpssa,DC=com,DC=ar
FSMO Server DN: CN=NTDS Settings\\0ADEL:d31a66c9-db25-498e-9f1d-bc265f8ca2ac,CN=SRVAVAS\\0ADEL:72082ed0-5508-43c6-af19-004d1fc0a17f,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font>
<\/font><\/p>\n

Aqu\u00ed vemos que apunta a un servidor que no existe hace tiempo en la organizaci\u00f3n y he aqu\u00ed la causa de nuestros problemas. El servidor se llamaba SRVAVAS y vemos que esa cuenta de maquina ya no existe mas en nuestro Active Directory.<\/font><\/p>\n

Para solucionar este inconveniente, vamos a tener que modificar a mano nuestro Schema por medio de la consola ADSIedit<\/font>. Primero vamos a verificar los datos que deber\u00edamos tener configurados, para ello nos conectamos al container CN=Infrastructure, DC=dominio, DC=local<\/font><\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Una vez conectados, vemos las propiedades y buscamos el atributo fSMORoleOwner<\/font> y podemos ver el valor correcto que corresponde al nombre del servidor que tiene el rol, y que pod\u00edamos ver cuando verificamos los roles FSMO: CN=NTDS Settings,CN=SRVDC10,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font><\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Por este valor vamos a reemplazar los datos del equipo que ya no existe. Para solucionar esto debeos cambiar los valores del fSMORoleOwner<\/font> de DomainDNSZones<\/font> y ForestDNSZones<\/font>.<\/font><\/p>\n

Entonces, nos conectamos en la consola ADSIEdit<\/font> al siguiente Connection Point: DC=DomainDNSZones, DC=dominio, DC=local<\/font><\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Ahora, si vamos al container de Infrastructure y vemos las propiedades del objeto fSMORoleOwner<\/font> vemos que apunta a la cuenta de equipo que esta borrada: <\/font><\/p>\n

CN=NTDS Settings\\0ADEL:d31a66c9-db25-498e-9f1d-bc265f8ca2ac,CN=SRVAVAS\\0ADEL:72082ed0-5508-43c6-af19-004d1fc0a17f,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Hacemos clic en Edit y copiamos toda la ruta que hab\u00edamos verificado anteriormente, que apunta al SRVDC10 que es el Domain Controller que esta en funcionamiento: CN=NTDS Settings,CN=SRVDC10,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font><\/font><\/p>\n

Como dijimos antes debeos hacer lo mismo en el siguiente Connection Point: DC=ForestDNSZones<\/font>, DC=dominio, DC=local<\/font>. <\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Nuevamente vamos al container de Infrastructure y vemos las propiedades del objeto fSMORoleOwner<\/font> vemos que apunta a la cuenta de equipo que esta borrada: <\/font><\/p>\n

CN=NTDS Settings\\0ADEL:d31a66c9-db25-498e-9f1d-bc265f8ca2ac,CN=SRVAVAS\\0ADEL:72082ed0-5508-43c6-af19-004d1fc0a17f,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Hacemos clic en Edit y copiamos toda la ruta que hab\u00edamos verificado anteriormente, que apunta al SRVDC10 que es el domain controller que esta en funcionamiento: CN=NTDS Settings,CN=SRVDC10,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tpssa,DC=com,DC=ar<\/font><\/font><\/p>\n

Algo que debemos tener en cuenta es que nos puede dar un error al querer aplicar esta nueva configuraci\u00f3n, el error es el siguiente:<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Este error se debe a que tarda un tiempo en permitirnos realizar el cambio. Simplemente debemos reintentar un par de veces y listo. Sino, si queremos que sea un poco mas r\u00e1pido, lo que podemos hacer es poner el valor en Not Set <\/font>y luego poner los datos del servidor que corresponde.<\/font><\/p>\n

Una vez que hicimos esto, si podemos despromover nuestro servidor por medio del comando DCPromo<\/font>, recordemos que NO DEBEMOS<\/font><\/em><\/strong> seleccionar Delete the domain because this server is the las domain controller in the domain<\/font>, sino vamos a tener serios problemas.<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Continua el proceso de despromoci\u00f3n, remover\u00e1 los DNS, el servicio de Active Directory Domain Service, la SAM, LSA, etc. y una vez que termine nos mostrara la siguiente ventana y nos pedir\u00e1 reiniciar el equipo.<\/font><\/p>\n

\"www.radians.com.ar<\/a><\/p>\n

Espero que les sea de utilidad, que les aclare el panorama sobre este error, ya que he visto muchas consultas en los foros oficiales de Microsoft sobre este tema.<\/font><\/p>\n

Saludos, Roberto Di Lello.<\/font><\/p>\n","protected":false},"excerpt":{"rendered":"

Hoy vamos a ver un tema muy critico, sobre un error al despromover un Domain…<\/p>\n","protected":false},"author":1,"featured_media":4291,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[12,11],"tags":[],"class_list":["post-1407","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-2003-r2","category-2008-r2"],"_links":{"self":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts\/1407","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1407"}],"version-history":[{"count":0,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts\/1407\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/media\/4291"}],"wp:attachment":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1407"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1407"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1407"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}