Problemas conocidos: alertas y resoluciones comunes en Microsoft Entra Domain Services
Como parte central de la identidad y autenticación de las aplicaciones, Microsoft Entra Domain Services a veces tiene problemas. En caso de que se produzcan errores, hay algunas alertas habituales y pasos de solución de problemas asociados que le ayudarán a poner todo de nuevo en funcionamiento. En cualquier momento también puede abrir una solicitud de Soporte técnico de Azure y obtener así más ayuda para la solución de problemas.
Este artículo proporciona información sobre solución de problemas para alertas comunes en Domain Services.
AADDS100: Falta un directorio
Mensaje de alerta
Es posible que se haya eliminado el directorio de Microsoft Entra asociado con su dominio administrado. El dominio administrado ya no está en una configuración admitida. Microsoft no puede supervisar, administrar, revisar ni sincronizar el dominio administrado.
Solución
Este error suele producirse cuando una suscripción de Azure se mueve a un nuevo directorio de Microsoft Entra y se elimina el antiguo directorio de Microsoft Entra asociado con Domain Services.
Este error es irrecuperable. Para resolver la alerta, debe eliminar el dominio administrado existente y volver a crearlo en el directorio nuevo. Si tiene problemas para eliminar el dominio administrado, abra una solicitud de Soporte técnico de Azure para obtener más ayuda en la solución de problemas.
AADDS101: Azure AD B2C se ejecuta en este directorio
Mensaje de alerta
Microsoft Entra Domain Services no se puede habilitar en un directorio de Azure AD B2C.
Solución
Domain Services se sincroniza automáticamente con un directorio de Microsoft Entra. Si el directorio Microsoft Entra está configurado para B2C, Domain Services no se puede implementar ni sincronizar.
Para usar Domain Services, debe volver a crear su dominio administrado en un directorio que no sea de Azure AD B2C mediante los siguientes pasos:
- Elimine el dominio administrado de su directorio de Microsoft Entra existente.
- Cree un nuevo directorio de Microsoft Entra que no sea un directorio de Azure AD B2C.
- Cree un dominio administrado de reemplazo.
El estado del dominio administrado se actualiza automáticamente en dos horas y elimina la alerta.
AADDS103: La dirección está en un intervalo IP público
Mensaje de alerta
El rango de direcciones IP para la red virtual en la que ha habilitado Microsoft Entra Domain Services está en un rango de IP pública. Los servicios de dominio de Microsoft Entra deben estar habilitados en una red virtual con un rango de direcciones IP privadas. Esta configuración afecta a la capacidad de Microsoft para supervisar, administrar, revisar y sincronizar el dominio administrado.
Resolución
Antes de empezar, asegúrese de que comprende los espacios de direcciones IP v4 privados.
Dentro de una red virtual, las máquinas virtuales pueden realizar solicitudes a los recursos de Azure que se encuentran en el mismo intervalo de direcciones IP que los configurados para la subred. Si configura un intervalo de direcciones IP públicas para una subred, es posible que las solicitudes enrutadas dentro de una red virtual no lleguen a los recursos web deseados. Esta configuración puede provocar errores impredecibles con Domain Services.
Nota:
Si es propietario del intervalo de direcciones IP que está configurado en la red virtual, puede omitir esta alerta. Sin embargo, Microsoft Entra Domain Services no puede comprometerse con el Acuerdo de Nivel de Servicio con esta configuración, ya que puede provocar errores impredecibles.
Para resolver esta alerta, elimine el dominio administrado existente y vuelva a crearlo en una red virtual con un intervalo de direcciones IP privado. Este proceso es perjudicial porque el dominio administrado no está disponible y se pierden todos los recursos personalizados que haya creado como unidades organizativas o cuentas de servicio.
- Elimine el dominio administrado del directorio.
- Para actualizar el intervalo de direcciones IP de la red virtual, busque Red virtual en el centro de administración de Microsoft Entra y selecciónelo. Seleccione la red virtual para Domain Services que tiene configurado incorrectamente un rango de direcciones IP públicas.
- En Configuración, seleccione Espacio de direcciones.
- Actualice el rango de direcciones eligiendo el rango de direcciones existente y editándolo, o agregando un rango de direcciones. Asegúrese de que el intervalo de direcciones IP nuevo esté en un intervalo IP privado. Cuando esté preparado, guarde los cambios.
- En el menú de navegación de la izquierda, seleccione Subredes.
- Elija la subred que desea editar o cree otra subred.
- Actualice o especifique un intervalo de direcciones IP privadas y, a continuación, Guarde los cambios.
- Cree un dominio administrado de reemplazo. Asegúrese de elegir una subred de red virtual actualizada con un intervalo de direcciones IP privadas.
El estado del dominio administrado se actualiza automáticamente en dos horas y elimina la alerta.
AADDS106: Su suscripción de Azure no se encuentra
Mensaje de alerta
Se ha eliminado la suscripción de Azure asociada a su dominio administrado. Microsoft Entra Domain Services requiere una suscripción activa para seguir funcionando correctamente.
Solución
Domain Services requiere una suscripción activa y no se puede pasar a otra suscripción. Si se elimina la suscripción de Azure a la que estaba asociado el dominio administrado, debe volver a crear una suscripción de Azure y un dominio administrado.
- Cree una suscripción a Azure.
- Elimine el dominio administrado de su directorio de Microsoft Entra existente.
- Cree un dominio administrado de reemplazo.
AADDS107: Su suscripción de Azure está deshabilitada
Mensaje de alerta
La suscripción de Azure asociada a su dominio administrado no está activa. Microsoft Entra Domain Services requiere una suscripción activa para seguir funcionando correctamente.
Solución
Domain Services requiere una suscripción activa. Si la suscripción de Azure a la que está asociado el dominio administrado no está activa, debe renovarla para reactivar la suscripción.
- Renueve su suscripción de Azure.
- Una vez que se renueva la suscripción, una notificación de Domain Services le permite volver a habilitar el dominio administrado.
Cuando el dominio administrado se habilita de nuevo, el estado del dominio administrado se actualiza automáticamente en dos horas y elimina la alerta.
AADDS108: La suscripción ha movido los directorios
Mensaje de alerta
La suscripción utilizada por Microsoft Entra Domain Services se ha movido a otro directorio. Domain Services necesita tener una suscripción activa en el mismo directorio para que funcione correctamente.
Solución
Domain Services requiere una suscripción activa y no se puede pasar a otra suscripción. Si se ha movido la suscripción de Azure a la que está asociado el dominio administrado, vuelva a colocarla en el directorio anterior o bien elimine el dominio administrado del directorio existente y cree un dominio administrado de reemplazo en la suscripción elegida.
AADDS109: No se encuentran recursos del dominio administrado
Mensaje de alerta
Se ha eliminado un recurso que se usa con el dominio administrado. Este recurso es necesario para que Microsoft Entra Domain Services funcione correctamente.
Solución
Domain Services crea recursos para funcionar correctamente, como direcciones IP públicas, interfaces de red virtuales y un equilibrador de carga. Si se elimina alguno de estos recursos designados, el dominio administrado está en un estado incompatible e impide que se administre el dominio. Para obtener más información sobre estos recursos, consulte Recursos de red utilizados por Domain Services.
Esta alerta se genera cuando se elimina uno de estos recursos necesarios. Si el recurso se eliminó hace menos de 4 horas, existe la posibilidad de que la plataforma de Azure pueda volver a crear automáticamente el recurso eliminado. En los pasos siguientes se describe cómo comprobar el estado de mantenimiento y la marca de tiempo para la eliminación de recursos:
En el centro de administración de Microsoft Entra, busque y seleccione Servicios de dominio. Elija el dominio administrado como, por ejemplo, aaddscontoso.com.
En el panel de navegación izquierdo, seleccione Estado.
En la página de estado, seleccione la alerta con el identificador AADDS109.
La alerta tendrá una marca de tiempo del momento en que se encontró por primera vez. Si esa marca de tiempo es de hace menos de 4 horas, es posible que la plataforma Azure pueda volver a crear automáticamente el recurso y resolver la alerta por sí sola.
Por diferentes motivos, la alerta puede tener más de 4 horas. En ese caso, puede eliminar el dominio administrado y, a continuación, crear un dominio administrado de reemplazo para una corrección inmediata, o puede abrir una solicitud de soporte técnico para corregir la instancia. Dependiendo de la naturaleza del problema, el soporte técnico puede requerir una restauración a partir de la copia de seguridad.
AADDS110: La subred asociada al dominio administrado está completa
Mensaje de alerta
La subred seleccionada para la implementación de Microsoft Entra Domain Services está llena y no tiene espacio para el controlador de dominio adicional que se debe crear.
Solución
La subred de la red virtual para Domain Services necesita direcciones IP suficientes para los recursos creados automáticamente. Este espacio de direcciones IP incluye la necesidad de crear recursos de reemplazo si hay un evento de mantenimiento. Para minimizar el riesgo de quedarse sin direcciones IP disponibles, no implemente otros recursos, como sus propias máquinas virtuales, en la misma subred de red virtual que el dominio administrado.
Este error es irrecuperable. Para resolver la alerta, elimine el dominio administrado existente y vuelva a crearlo. Si tiene problemas para eliminar el dominio administrado, abra una solicitud de Soporte técnico de Azure para obtener más ayuda.
AADDS111: Entidad de servicio no autorizada
Mensaje de alerta
Una entidad de servicio que Microsoft Entra Domain Services utiliza para atender a su dominio no está autorizada para administrar recursos en la suscripción de Azure. La entidad de servicio debe tener permisos para atender al dominio administrado.
Resolución
Algunas entidades de servicio generadas automáticamente se utilizan para administrar y crear recursos para un dominio administrado. Si se modifican los permisos de acceso para una de estas entidades de servicio, el dominio no podrá administrar correctamente los recursos. En los pasos siguientes se muestra cómo comprender los permisos de acceso a una entidad de servicio para poder concederlos:
- Lea sobre el control de acceso basado en rol de Azure y cómo conceder acceso a las aplicaciones en el centro de administración de Microsoft Entra.
- Revise el acceso que la entidad de servicio con identificador abba844e-bc0e-44b0-947a-dc74e5d09022 tiene y conceda el acceso que se ha denegado en una fecha anterior.
AADDS112: No hay suficientes direcciones IP en el dominio administrado
Mensaje de alerta
Hemos identificado que la subred de la red virtual de este dominio no tiene suficientes direcciones IP. Microsoft Entra Domain Services necesita al menos dos direcciones IP disponibles dentro de la subred en la que está habilitado. Se recomienda tener al menos de tres a cinco direcciones IP de reserva en la subred. Esto puede deberse a que se hayan implementado otras máquinas virtuales dentro de la subred, agotando así el número de direcciones IP disponibles, o a que haya una restricción en el número de direcciones IP disponibles en la subred.
Solución
La subred de la red virtual para Domain Services necesita suficientes direcciones IP para los recursos creados automáticamente. Este espacio de direcciones IP incluye la necesidad de crear recursos de reemplazo si hay un evento de mantenimiento. Para minimizar el riesgo de quedarse sin direcciones IP disponibles, no implemente otros recursos, como sus propias máquinas virtuales, en la misma subred de red virtual que el dominio administrado.
Para resolver esta alerta, elimine el dominio administrado existente y vuelva a crearlo en una red virtual con un intervalo de direcciones IP suficientemente grande. Este proceso es perjudicial porque el dominio administrado no está disponible y se pierden todos los recursos personalizados que haya creado como unidades organizativas o cuentas de servicio.
- Elimine el dominio administrado del directorio.
- Para actualizar el intervalo de direcciones IP de la red virtual, busque Red virtual en el centro de administración de Microsoft Entra y selecciónelo. Seleccione la red virtual para el dominio administrado que tenga el intervalo de direcciones IP pequeño.
- En Configuración, seleccione Espacio de direcciones.
- Actualice el rango de direcciones eligiendo el rango de direcciones existente y editándolo, o agregando otro rango de direcciones. Asegúrese de que el nuevo intervalo de direcciones IP sea lo suficientemente grande para el intervalo de subred del dominio administrado. Cuando esté preparado, guarde los cambios.
- En el menú de navegación de la izquierda, seleccione Subredes.
- Elija la subred que desea editar o cree otra subred.
- Actualice o especifique un intervalo de direcciones IP suficientemente grande y, a continuación, guarde los cambios.
- Cree un dominio administrado de reemplazo. Asegúrese de elegir una subred de red virtual actualizada con un intervalo de direcciones IP suficientemente grande.
El estado del dominio administrado se actualiza automáticamente en dos horas y elimina la alerta.
AADDS113: Los recursos son irrecuperables
Mensaje de alerta
Los recursos utilizados por Microsoft Entra Domain Services se detectaron en un estado inesperado y no se pueden recuperar.
Solución
Domain Services crea recursos para funcionar correctamente, como direcciones IP públicas, interfaces de red virtuales y un equilibrador de carga. Si se modifica alguno de estos recursos, el dominio administrado se encuentra en un estado no compatible y no se puede administrar. Para obtener más información sobre estos recursos, consulte Recursos de red utilizados por los Domain Services.
Esta alerta se genera cuando se modifica uno de estos recursos necesarios y Domain Services no puede recuperarse automáticamente. Para resolver la alerta, abra una solicitud de soporte técnico de Azure para corregir la instancia.
AADDS114: Subred no válida
Mensaje de alerta
La subred seleccionada para la implementación de Microsoft Entra Domain Services no es válida y no se puede utilizar.
Solución
Este error es irrecuperable. Para resolver la alerta, elimine el dominio administrado existente y vuelva a crearlo. Si tiene problemas para eliminar el dominio administrado, abra una solicitud de Soporte técnico de Azure para obtener más ayuda.
AADDS115: Los recursos están bloqueados
Mensaje de alerta
Uno o varios de los recursos de red que se utilizan en el dominio administrado no pueden ejecutarse porque el ámbito de destino se ha bloqueado.
Resolución
Los bloqueos de recursos se pueden aplicar a recursos de Azure para impedir el cambio o la eliminación. Dado que Domain Services es un servicio administrado, la plataforma Azure necesita la capacidad de realizar cambios en la configuración. Si se aplica un bloqueo de recursos en algunos de los componentes de Domain Services, la plataforma Azure no puede realizar sus tareas de administración.
Para comprobar los bloqueos de recursos en los componentes de Domain Services y quitarlos, siga estos pasos:
- Para cada uno de los componentes de red del dominio gestionado en su grupo de recursos, como la red virtual, la interfaz de red o la dirección IP pública, compruebe los registros de operaciones en el centro de administración de Microsoft Entra. Estos registros de operaciones deben indicar por qué se produce un error en una operación y dónde se aplica un bloqueo de recursos.
- Seleccione el recurso en el que se aplica un bloqueo y, en Bloqueos, seleccione los bloqueos y quítelos.
AADDS116: Los recursos no son utilizables
Mensaje de alerta
Uno o varios de los recursos de red que se utilizan en el dominio administrado no pueden ejecutarse debido a restricciones de directiva.
Resolución
Las directivas se aplican a los recursos y los grupos de recursos de Azure que controlan las acciones de configuración que se permiten. Dado que Domain Services es un servicio administrado, la plataforma Azure necesita la capacidad de realizar cambios en la configuración. Si se aplica una directiva en algunos de los componentes de Domain Services, la plataforma Azure no puede realizar sus tareas de administración.
Para comprobar las directivas aplicadas en los componentes de Domain Services y quitarlas, siga estos pasos:
- Para cada uno de los componentes de red del dominio gestionado en su grupo de recursos, como red virtual, NIC o dirección IP pública, compruebe los registros de operaciones en el centro de administración de Microsoft Entra. Estos registros de operaciones deben indicar por qué se produce un error en una operación y dónde se aplica una directiva restrictiva.
- Seleccione el recurso al que se aplica una directiva y, en Directivas, seleccione y edite la directiva para que sea menos restrictiva.
AADDS120: el dominio administrado ha encontrado un error al incorporar uno o varios atributos personalizados
Mensaje de alerta
Las siguientes propiedades de extensión de Domain Services no se han incorporado correctamente como un atributo personalizado para la sincronización. Esto puede ocurrir si una propiedad entra en conflicto con el esquema integrado: [extensiones]
Solución
Advertencia
Si el LDAPName de un atributo personalizado entra en conflicto con un atributo de esquema integrado de AD existente, no se puede incorporar y produce un error. Póngase en contacto con Soporte técnico de Microsoft si el escenario está bloqueado. Para más información, consulte Incorporación de atributos personalizados.
Revise la alerta Estado de Domain Services y compruebe qué propiedades de extensión de Domain Services no se pudieron incorporar correctamente. Vaya a la página Atributos personalizados para encontrar el nombre LDAP de Domain Services esperado de la extensión. Asegúrese de que el LDAPName no entra en conflicto con otro atributo de esquema de AD o de que es uno de los atributos de AD integrados permitidos.
A continuación, siga estos pasos para reintentar la incorporación del atributo personalizado en la página Atributos personalizados:
- Seleccione los atributos que no se realizaron correctamente y, a continuación, haga clic en Quitar y Guardar.
- Espere a que se quite la alerta de estado o compruebe que los atributos correspondientes se han quitado de la unidad organizativa AADDSCustomAttributes de una máquina virtual unida a un dominio.
- Seleccione Agregar y elija los atributos deseados de nuevo y, a continuación, haga clic en Guardar.
Tras la incorporación correcta, Domain Services volverá a rellenar los usuarios y grupos sincronizados con los valores de atributo personalizado incorporados. Los valores de atributo personalizados aparecen gradualmente, en función del tamaño del inquilino. Para comprobar el estado de reposición, vaya a Estado de Domain Services y compruebe que la marca de tiempo del monitor Sincronización con Domain Services se ha actualizado en la última hora.
AADDS500: Hace un tiempo que no se realiza una sincronización
Mensaje de alerta
El dominio administrado se sincronizó por última vez con Microsoft Entra ID el [fecha]. Los usuarios no pueden iniciar sesión en el dominio o puede que las pertenencias a grupos no estén sincronizadas con Azure AD.
Solución
Compruebe el estado de Domain Services para ver las alertas que podrían indicar problemas en la configuración del dominio administrado. Los problemas con la configuración de red pueden bloquear la sincronización desde Microsoft Entra ID. Si puede resolver las alertas que indican un problema de configuración, espere dos horas y compruebe de nuevo para ver si se ha completado la sincronización correctamente.
Los siguientes motivos comunes provocan que la sincronización se detenga en un dominio administrado:
- La conectividad de red necesaria se bloquea. Para más información sobre cómo comprobar la red virtual de Azure para detectar si hay problemas y qué se requiere, consulte cómo solucionar problemas de grupos de seguridad de red y los requisitos de red para Domain Services.
- La sincronización de contraseñas no se configuró o se completó incorrectamente cuando se implementó el dominio administrado. Puede configurar la sincronización de contraseñas para los usuarios solo de nube o para los usuarios de entornos híbridos desde el entorno local.
AADDS501: Hace un tiempo que no se realiza una copia de seguridad
Mensaje de alerta
Se hizo copia de seguridad del dominio administrado por última vez el [fecha].
Solución
Compruebe el mantenimiento de Azure AD DS para las alertas que podrían indicar problemas en la configuración del dominio administrado. Los problemas con la configuración de red pueden impedir que la plataforma Azure realice las copias de seguridad correctamente. Si puede resolver las alertas que indican un problema de configuración, espere dos horas y compruebe de nuevo para ver si se ha completado la sincronización correctamente.
AADDS503: Suspensión debida a una suscripción deshabilitada
Mensaje de alerta
El dominio administrado se suspende debido a que la suscripción de Azure asociada al dominio no está activa.
Resolución
Advertencia
Si un dominio administrado se suspende durante un largo período, se expone a ser eliminado. Resuelva el motivo de la suspensión lo más rápido posible. Para más información, consulte Descripción de los estados suspendidos para Domain Services.
Domain Services requiere una suscripción activa. Si la suscripción de Azure a la que está asociado el dominio administrado no está activa, debe renovarla para reactivar la suscripción.
- Renueve su suscripción de Azure.
- Una vez que se renueva la suscripción, una notificación de Domain Services le permite volver a habilitar el dominio administrado.
Cuando el dominio administrado se habilita de nuevo, el estado del dominio administrado se actualiza automáticamente en dos horas y elimina la alerta.
AADDS504: Suspensión debida a una configuración no válida
Mensaje de alerta
El dominio administrado se suspende debido a una configuración no válida. El servicio lleva mucho tiempo sin poder administrar, actualizar o aplicar revisiones a los controladores de dominio en el dominio administrado.
Solución
Advertencia
Si un dominio administrado se suspende durante un largo período, se expone a ser eliminado. Resuelva el motivo de la suspensión lo más rápido posible. Para más información, consulte Descripción de los estados suspendidos para Domain Services.
Compruebe el mantenimiento de Azure AD DS para las alertas que podrían indicar problemas en la configuración del dominio administrado. Si puede resolver las alertas que indican un problema de configuración, espere dos horas y compruebe de nuevo para ver si se ha completado la sincronización. Cuando esté listo, abra una solicitud de soporte técnico de Azure para volver a habilitar el dominio administrado.
AADDS600: Alertas de estado sin resolver durante 30 días
Mensaje de alerta
Microsoft no puede administrar los controladores de dominio de este dominio administrado debido a alertas de estado no resueltas [identificadores]. Esto bloquea las actualizaciones de seguridad críticas, así como una migración planeada a Windows Server 2019 para estos controladores de dominio. Siga los pasos de la alerta para resolver el problema. Si no se resuelve este problema en un plazo de 30 días, se suspenderá el dominio administrado.
Solución
Advertencia
Si un dominio administrado se suspende durante un largo período, se expone a ser eliminado. Resuelva el motivo de la suspensión lo más rápido posible. Para más información, consulte Descripción de los estados suspendidos para Domain Services.
Compruebe el mantenimiento de Azure AD DS para las alertas que podrían indicar problemas en la configuración del dominio administrado. Si no puede resolver las alertas que indican un problema de configuración, espere seis horas y compruebe de nuevo para ver si se ha eliminado la alerta. Abra una solicitud de soporte técnico de Azure si necesita ayuda.
Pasos siguientes
Si los problemas persisten, abra una solicitud de Soporte técnico de Azure para obtener ayuda adicional de solución de problemas.