Hola.
Este es un problema que ya consulte, pero que aun no he conseguido resolver, ya que las soluciones que me han propuesto no eran aplicables. Por ejemplo una solución pedía ejecutar secedit /refreshpolicy, el cual no existe en Server 2003 y posteriores, y
aunque trate de probar con GPUPDATE, no conseguí resolver el problema.
Explico de nuevo el problema, ya que he retomado el asunto a ver si consigo solucionarlo con vuestra ayuda.
El problema es en un domino con dos domain controller Windows Server 2003 R2, que quiero sustituir por Windows Server 2008 R2. La idea es hacer que los nuevos DC con 2008 sustituyan a los 2003, para retirarlos. En este dominio, hubo un problema con carpetas
que se borraron por error (probablemente las de las policies), lo cual producía errores en el visor de sucesos periódicamente al intentar aplicar las policies. por lo que tuvimos que quitar las asignaciones de las policies en el dominio y en la OU domain controlers,
y generar nuevas polcies, copiando como estaban configuradas en otro dominio sin problemas.
Para hacer el cambio, eleve el nivel del bosque y del dominio, que estaban en 2000 y 2000 mixto respectivamente, ambos a 2003. Ya no recuerdo en cual de los dos adprer32.exe fue, si en el foresprep o en el domainprep, obtuve errores como este:
Tipo de suceso:
Error
Origen del suceso:
SceSrv
Categoría del suceso:
Ninguno
Id. suceso:
1003
Fecha:
26/03/2014
Hora:
17:05:04
Usuario:
No disponible
Equipo:
SAITEC05
Descripción:
Error al reintentar la notificación del cambio de directiva desde LSA/SAM. Error 4312 al guardar el cambio
de directiva en los Objetos de directiva de grupo. Para obtener más información sobre la depuración, consulte security\logs\scepol.log en la raíz Windows.
Para obtener más información, vea el Centro de ayuda y soporte técnico en http://go.microsoft.com/fwlink/events.asp.
Alguna soluciones me indican utilizar una aplicación llamada SidToName, pero como veis en el error, no dice que SID esta produciendo el error, por lo que
no lo puedo usar.
Tampoco existe el fichero security\logs\scepol.log
en la raíz Windows, por lo que no puedo examinarlo.
Sin embargo, si que existe el fichero Winlogon.log. Lo he renombrado, y he ejecutado GPUPDATE /Force,
con lo que se ha generado un nuevo Winlogon.log. El error en el visor de sucesos no ha aparecido
de nuevo, lo que me extraña. Solo se produjo al ejecutar el adprep32.exe, o cuando ejecute por ejemplo el DCPROMO de uno de los Server 2008.
El contenido del fichero, lo puse en la anterior consulta y me dijeron que hace referencia a un problema
de seguridad con GPO_INFO_FLAG_BACKGROUND pero no se como resolverlo, ya que la solución propuesta, como digo no pude aplicarla (lo del secedit
mencionado al principio). Pego el contenido de este log para ver si pueden por favor ayudarme de nuevo.
*************************
Error 0 para enviar el indicador de control 1 al servidor.
Hacer una copia local de \\informatica.local\SysVol\informatica.local\Policies\{67FA71CD-04E2-459F-8446-6C14E4E2E506}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf.
GPLinkDomain GPO_INFO_FLAG_BACKGROUND )
Hacer una copia local de \\informatica.local\SysVol\informatica.local\Policies\{F641E4CD-1D35-402E-9071-C2CCBAEBF9CD}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf.
GPLinkOrganizationUnit GPO_INFO_FLAG_BACKGROUND )
Procesar plantilla de directiva de grupo gpt00000.dom.
Éste no es el último GPO.
-------------------------------------------
jueves, 19 de junio de 2014 11:08:28
El usuario que inició la sesión tiene privilegios de administrador.
Analizando la plantilla C:\WINDOWS\security\templates\policies\gpt00000.dom.
Copiar valores de recuperación a la directiva combinada.
----Revertir la inicialización del motor de configuración...
Procesar plantilla de directiva de grupo gpt00001.inf.
Éste es el último GPO : la directiva de dominio se ha omitido en DC.
-------------------------------------------
jueves, 19 de junio de 2014 11:08:29
El usuario que inició la sesión tiene privilegios de administrador.
Analizando la plantilla C:\WINDOWS\security\templates\policies\gpt00001.inf.
----Revertir la inicialización del motor de configuración...
-------------------------------------------
jueves, 19 de junio de 2014 11:08:29
El usuario que inició la sesión tiene privilegios de administrador.
----El motor de configuración se inicializó correctamente.----
----Leyendo información de la plantilla de configuración...
----Configurar derechos del usuario...
SeNetworkLogonRight se debe asignar a la cuenta Controladores corporativos para que la propagación de directiva y la replicación sean satisfactorias.
Error al asignar SeSystemtimePrivilege a la cuenta Administradores. Es posible que esta configuración bloquee a los administradores cuando inicien sesión interactivamente.
Configurar S-1-5-21-682003330-1801674531-2146714087-500.
Configurar S-1-5-21-682003330-1801674531-2146714087-7611.
Configurar S-1-5-21-682003330-1801674531-2146714087-7612.
Configurar S-1-5-21-682003330-1801674531-2146714087-8606.
Configurar S-1-5-21-682003330-1801674531-2146714087-7610.
Configurar S-1-5-32-544.
Configurar S-1-5-32-551.
Configurar S-1-5-32-549.
Configurar S-1-5-21-682003330-1801674531-2146714087-1120.
Configurar S-1-5-21-682003330-1801674531-2146714087-3605.
Configurar S-1-5-21-682003330-1801674531-2146714087-1002.
Configurar S-1-5-21-682003330-1801674531-2146714087-3606.
Configurar S-1-5-21-682003330-1801674531-2146714087-2108.
Configurar S-1-5-21-682003330-1801674531-2146714087-1001.
Configurar S-1-1-0.
Configurar S-1-5-11.
Configurar S-1-5-21-682003330-1801674531-2146714087-501.
Configurar S-1-5-32-550.
Configurar S-1-5-32-548.
Configurar S-1-5-21-682003330-1801674531-2146714087-1000.
Configurar S-1-5-18.
Configurar S-1-5-20.
Configurar S-1-5-9.
Configurar S-1-5-19.
Se completó correctamente la configuración de derechos del usuario.
----Configurar directiva de seguridad...
Se completó correctamente la configuración de auditoría y el registro.
Se completó correctamente la configuración de directivas Kerberos.
Configurar machine\system\currentcontrolset\services\lanmanserver\parameters\enablesecuritysignature.
Ya hay un valor Deshacer para la configuración de directiva de grupo<machine\system\currentcontrolset\services\lanmanserver\parameters\enablesecuritysignature>.
Se completó correctamente la configuración de valores del Registro.
----Configurar los motores de anexión de datos disponibles...
Se completó correctamente la configuración de los motores de anexión de datos.
----Revertir la inicialización del motor de configuración...
Otras
soluciones hablan de borrar y regenerar la cuenta que genera el problema, pero como digo, no se el SID, y tampoco se a que se refieren con borrar y regenerar la cuenta. Es decir, no se si se refieren a quitar y volver a poner la cuenta de la
ficha seguridad de las carpetas en disco donde están las policies, o si se refieren a borrar la cuenta del dominio, pero si es por ejemplo la cuenta SYSTEM, eso no se si seria un desastre.
También trate de copia los permisos en todas las carpetas donde están las policies (en C:\Windows\SYSVOL\.........) poniendo los mismo permisos a los
mismos usuarios, copiandolos de otro dominio que tengo si problemas, pero no funciono. Ni siquiera se si tenia lógica hacer esto o si tiene que ver con el problema.
Muchísimas gracias por vuestro tiempo, se que es un problema complicado, y puede que no puedan ayudarme, pero aun así, les agradezco cualquier
intento. Espero haberme explicado bien, y no haberles molestado mucho por realizar una consulta de manera reiterada.
Gracias a todos.
