Вопрос или проблема
Вопрос 1:
-
У меня есть ActiveDirectory на машине с Windows Server 2012 – ее доменное имя AD-DEMO.LOCAL
-
Керберос админ-сервер находится на другой машине с Ubuntu – его область KERBEROS.COM
-
Добавил доверие в ‘Active Directory Domains and Trusts’.
-
Свойства, установленные для доверительной области в AD:
- транзитивная и двусторонняя проверка.
-
Попробовал проверить кросс-областные доверия с помощью следующей команды “netdom”,
“netdom trust KERBEROS.COM /d:AD-DEMO.LOCAL /verify”
И получил это исключение “Команда не завершилась успешно”
Вопрос 2:
Чтобы решить эту проблему, я сделал поиск и нашел эти ссылки ( Ссылка 1 и Ссылка 2);
Из информации из этих двух ссылок я попытался включить свойство проверки для добавленных доменов. Но я не нашел никаких свойств, таких как Validate, в окне моих доменов и доверий AD.
Пожалуйста, подскажите, где я ошибаюсь,
Если вы используете команду netdom trust /verify, вам нужно будет указать административные учетные данные (Domain Admin/Enterprise Admin) для обоих доменов, используя параметры /PasswordO:, /UserO:, /PasswordD: и /UserD:
Полный синтаксис:
netdom trust <TrustingDomainName> {/d: | /domain:} <TrustedDomainName> [{/ud: | /userd:}[<Domain>\]<User> [{/pd: | /passwordd:}{<Password>|*}] [{/uo: | /usero:}<User>] [{/po: | /passwordo:}{<Password>|*}] [/verify] [/reset] [/passwordt:<NewRealmTrustPassword>] [/add [/realm]] [/remove [/force]] [/twoway] [/kerberos] [/transitive[:{YES|NO}]] [/oneside:{TRUSTED | TRUSTING}] [/force] [/quarantine[:{YES | NO}]] [/namesuffixes:<TrustName> [/togglesuffix:#]] [/EnableSIDHistory] [/ForestTRANsitive] [/SelectiveAUTH][/AddTLN][/AddTLNEX][/RemoveTLN] [/RemoveTLNEX][/SecurePasswordPrompt] [/EnableTgtDelegation] [{/help | /?}]
Справка: Netdom trust
Чтобы проверить доверие, используя интерфейс Windows
- Откройте Active Directory Domains and Trusts. Чтобы открыть Active Directory Domains and Trusts, нажмите Пуск, нажмите Административные инструменты, затем нажмите Active Directory Domains and Trusts.
- Чтобы открыть Active Directory Domains and Trusts в Windows Server® 2012, нажмите Пуск, введите domain.msc.
- В дереве консоли щелкните правой кнопкой мыши на домен, который содержит доверие, которое вы хотите проверить, и затем нажмите Свойства.
- На вкладке Доверия, в разделе либо Доменов, которым доверяет этот домен (исходящие доверия), либо Доменов, которые доверяют этому домену (входящие доверия), щелкните на доверие, которое будет проверено, а затем нажмите Свойства.
- Нажмите Проверить.
-
Выполните одно из следующих действий, а затем нажмите OK:
-
Нажмите Нет, не проверять входящее доверие. Если вы выберете этот вариант, мы рекомендуем повторить эту процедуру для взаимного домена.
-
Нажмите Да, проверить входящее доверие. Если вы выберете этот вариант, вам нужно ввести учетную запись пользователя и пароль с административными правами для взаимного домена.
-
Справка: Проверка доверия
Ответ или решение
Проверка доверительных отношений между доменами с помощью команды netdom
При настройке кросс-доменных доверительных отношений в Active Directory, вы можете столкнуться с различными проблемами, включая сбой проверки доверия с использованием команды netdom. В вашем случае вы используете Windows Server 2012 с доменом AD-DEMO.LOCAL и настроили доверие к реальному домену Kerberos, который находится на системе Ubuntu и называется KERBEROS.COM. Давайте разберем шаги, которые вы уже предприняли, и проанализируем возможные причины неудачи.
Анализ проблемы и решения
-
Проверьте корректность настройки доверия
Перед выполнением командыnetdom, убедитесь, что доверие между доменами было правильно установлено через интерфейс Active Directory Domains and Trusts. Это можно сделать, открыв свойства доверия и подтвердив, что всё настроено верно (двусторонняя проверка, транзитивность и т.д.). -
Убедитесь в наличии соответствующих учетных данных
Командаnetdom trustтребует уверенности, что вы предоставили правильные административные учетные данные для обоих доменов при выполнении команды. Убедитесь, что вы включили себя в команду, как показано в следующем примере:netdom trust KERBEROS.COM /d:AD-DEMO.LOCAL /verify /UserO:<AD-User> /PasswordO:* /UserD:<Kerberos-User> /PasswordD:*Замените
<AD-User>и<Kerberos-User>на действительные учетные записи с правами администратора в соответствующих доменах. Обратите внимание, что если вы не укажете эти параметры, команда может завершиться ошибкой. -
Проверка настроек Kerberos
Убедитесь, что ваш Kerberos сервер правильно настроен и имеет все необходимые записи в DNS для обоих доменов. Также проверьте, установлен ли правильный время на обоих серверах. Рассинхронизация времени может привести к сбоям в проверке доверительных отношений. -
Проверка сетевых соединений
Убедитесь, что между доменами нет сетевых проблем. Проверка с помощьюping,nslookupи других сетевых инструментов может помочь выявить проблемы с подключением. -
Просмотр журналов событий
Проверьте журналы событий на контроллере домена Windows, особенно в разделе "Безопасность" и "Системные события". В журналах могут содержаться ошибки, которые помогут выявить проблему. -
Использование графического интерфейса для проверки
Если командаnetdomпродолжает выдавать ошибку, вы можете попробовать проверить доверительные отношения с помощью графического интерфейса Active Directory Domains and Trusts. Откройте консоль, выберите интересующий вас домен и перейдите на вкладку «Доверия». Здесь можно выбрать нужное доверие и нажать кнопку «Проверить». -
Дополнительные источники информации
Ознакомьтесь с документацией Microsoft, включая статьи, на которые вы ссылались. Они могут содержать обновления или рекомендации по устранению неполадок, специфичных для конфигурации вашего сервера.
Заключение
Проблемы с проверкой доверительных отношений часто возникают из-за неправильных конфигураций учетных записей, сетевых проблем или ошибок во время установки доверия. Следуя приведенным выше рекомендациям, вы сможете обнаружить и устранить проблему. Убедитесь, что все настройки учтены, а также проверьте сетевые подключения и учетные данные. Если проблема сохраняется, рассмотрите возможность обращения в службу поддержки Microsoft для дальнейшей консультации.