Remove From My Forums

Windows Server 2012 R2 AD新建两个林信任失败，提示“操作失败，无法在当前域执行此操作”

问题
0

登录进行投票

环境：两个域均为Windows Server 2012 R2,林、域功能级别都是最新且相同，两林之间网络全开。

问题：进行到下图1，然后就会提示操作失败，两个林操作报错相同。

图1：

图2：

Frank zhang

2018年11月30日 9:00

回复

|

引用

全部回复

0

登录进行投票

您好，

感谢您的发帖。

根据您提供的报错，我找到了类似的线程供您参考。

https://social.technet.microsoft.com/Forums/en-US/010f76fe-b849-415d-a7bd-d95fcda7a777/trust-relationship-cannot-create-trust-between-two-different-domains?forum=winserverDS

希望链接提供的信息能够对您有所帮助。

Best regards,

Lavilian
Please remember to mark the replies as answers if they help and unmark them if they provide no help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

2018年12月3日 9:46

回复

|

引用

版主
0

登录进行投票

感谢你的回复！

参考你的链接，我对比了我的情况，发现不一样，如下：

1）两台ad服务器计算机名、域名、ip均不相同；

2）对比两台的计算机SID发现是相同的。

初步判断应该是sid相同导致，我将刷新sid后重新尝试。
Frank zhang

2018年12月5日 7:32

回复

|

引用
0

登录进行投票

您好。

期待您的好消息。

此外，我找到两篇相关的文章供您参考。

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc755321(v=ws.10)

https://social.technet.microsoft.com/wiki/contents/articles/50969.creating-a-forest-trust-please-consider-these-points.aspx?Redirected=true

Best regards,

Lavilian
Please remember to mark the replies as answers if they help and unmark them if they provide no help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

2018年12月6日 9:25

回复

|

引用

版主
0

登录进行投票

虽然成功对AD服务器SID进行了刷新，但是发现通过PSgetSID查询sid和刷新前一样。

根据我的分析，AD域中第一台机器的SID会写入到AD数据库中，第一台ad的administrator也会作为AD域管理员，因此我判断不管我怎么刷新服务器的SID，当我查询的时候，它查询到的都是第一台机器提升ad时的SID。

请问，这个推断是否正确？有无办法在已建好AD的情况下更改这个SID信息？
Frank zhang

2018年12月10日 6:00

回复

|

引用
0

登录进行投票

您好，

很抱歉我的粗心。

鉴于您是两个林之间建立信任，那么有相同的SID是不会有影响的。

请通过下面的命令核实是否两台计算机的GUID相同。

Get-ADComputer -Identity VHUDIM626VM -Properties *

如果不同，那么trust建立失败有很多可能性，DNS不通，端口没开等。

建议您先尝试运行nslookup命令检查DNS是否正常。

https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/nslookup

此外，请参考我在上一次回复中提供的链接，将文章中提及的建立林信任的注意点与实际操作进行核对。

Best regards,

Lavilian

Please remember to mark the replies as answers if they help and unmark them if they provide no help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

2018年12月11日 9:43

回复

|

引用

版主
0

登录进行投票

1）如下图，对比了两条ad服务器，sid相同，uid不同：

2）网络端口全开，nslook解析域名正常（如网络不同，是无法通过林信任第一步操作，即选择信任类型：外部信任，林信任）

3）
Frank zhang

2018年12月12日 2:22

回复

|

引用
0

登录进行投票

Hi,

Based on my knowledge, the forest trust must be built between PDCs of two forest.

Assume these two are PDCs, please try ping the FQDN of the PDCs mutually with nslookup.

Thank you for your patience and cooperation.

Best regards,

Lavilian

Please remember to mark the replies as answers if they help and unmark them if they provide no help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

2018年12月13日 9:48

回复

|

引用

版主
0

登录进行投票

It still report the same error,as that "can't operate in this domain",ping and nslookup test normal.

I really do not know why?

Frank zhang

2018年12月18日 2:30

回复

|

引用
0

登录进行投票

您好，

我们排除了一般的可能性则需要通过抓网络包分析日志来解析问题。

鉴于问题的复杂程度，建议您向微软专业技术服务中心提交服务请求，以便专业人员通过远程会话更快的给予您支持。您可以在下面的链接里找到联系方式：

https://support.microsoft.com/en-nz/gp/customer-service-phone-numbers/en-us

感谢您的理解。

Best regards,

Lavilian

Please remember to mark the replies as answers if they help and unmark them if they provide no help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com.

2018年12月18日 9:52

回复

|

引用

版主