ドメインの外部信頼関係でアクセス拒否が発生する
質問
-
以下のdom-a～dom-dをnewdomへ統合しようとしています。
[ドメイン名(NETBIOS名/フォレスト機能レベル)]
newdom.local (NEWDOM /2012 R2)
lan.dom-a.com (DOM-A /2008 R2)
lan.dom-b.com (SHINBASHI /2008 R2)
honsha.dom-c.ad.jp (HONSHA /2003 R2)
local.dom-d.com (DOM-D /2008 R2)
統合にあたり、1年前(2014年8月)にまず
各ドメインをそれぞれ双方向の外部信頼関係にしました。
この時には特に問題もなく、全てのドメイン同士のサーバーに接続が出来、
信頼関係の検証もエラーは発生しませんでした。
ようやく統合の準備が整い、
最近になってnewdom所属の端末からのアクセステストを行ったところ、
dom-aのサーバーにのみ上手く接続が出来ません。
\\fileserver.lan.dom-a.com\を開こうとすると出るエラー内容は
「プライマリ ドメインと信頼される側のドメインとの信頼関係に失敗しました。」
となります。
newdomのPDCエミュレータより、信頼関係の検証を行った所エラーとなり、
ウィザードに従ってパスワードのリセットを行っても
「アクセス拒否」となり回復しません。
他のドメイン間は、全ての検証は問題なく完了します。
newdom⇔dom-a間の信頼関係を一旦削除し再度作成しても、
ウィザードの最後の検証でエラーとなります。
netdom trust newdom.local /domain:lan.dom-a.com /usero:newdom\administrator /passwordo:* /userd:dom-a\administrator /passwordd:* /reset /force /verbose
を実行すると各ドメインのPDCエミュレータへセキュリテイ接続は完了するのですが、
パスワードのリセットの段階で「アクセス拒否」エラーが発生します。
しかし、各ドメインの「Active Directory ユーザーとコンピューター」にて
拡張機能を表示し、「system」コンテナ内の
相手方のドメインの信頼アカウントのプロパティを開き、
whenchanged属性を見ると、
netdom trust /resetを行った時刻に更新されています。
各ドメインコントローラー間にはファイアウォールやACLは存在しません。
仮に存在していれば、dom-a⇔dom-bやnewdom⇔dom-bもエラーとなるはずです。
また、少なくともdom-a、dom-b、newdomのPDCエミュレータは
同じL2スイッチに接続されています。
netdom trust /remove /force で信頼関係を一旦削除し、
netdom trust /add /twoway で再作成しても症状は改善しません。
もちろん、全ての操作でドメイン名はFQDNを指定しています。
また、各ドメインには他のドメインの前方参照ゾーンとして
スタブゾーンを作成しており、
nslookupで各ドメイン間の名称解決を検証しても正常に機能します。
ドメイン名を引くと全ドメインコントローラーのIPが返って来ます。
_ldap._tcp.pdc._msdcs.ドメイン名を引くとpriorityやweight、
svr hostname等が正常に返って来ます。
各ドメインコントローラーは全て同じ外部NTPと同期しているので、
時刻は全て合致しています。
このフォーラムの
と症状は同じなのですが、/remove /force後に再構築しても症状は解決しません。
他にも同様のケースが無いか調べたのですが、正直お手上げです…
何か参考となる情報があればお知らせください。以上、よろしくお願い致します。
-
