ADの外部信頼関係を作成できない

Question

ADの外部信頼関係を作成できません。

ActiveDirectoryドメインと信頼関係の画面から信頼関係を作成しようとすると、

「続行できません。指定したドメインとの信頼関係は既に存在します。」とエラーになります。

ただ、このドメインに信頼されるドメインの一覧には存在しませんし、TDO（systemフォルダ）にもそのドメインはないです。

ドメインに対して、DNSフォワーダーを設定して名前解決もできています。

ADの再起動も試しましたが、特に変化はありません。

何か解消する原因等分かりますでしょうか

Answer 1

この応答は自動的に翻訳されています。 その結果、文法上の誤りや奇妙な言い回しが生じる可能性があります。

こんにちは、TK_867、

マイクロソフト コミュニティ フォーラムに投稿していただき、ありがとうございます。

nltest /domain_trusts コマンドを使用して、現在のドメインのすべての信頼関係を表示します。これは、表示されていない信頼関係が実際に存在するかどうかを確認するのに役立ちます。

非表示または削除された信頼の確認: 信頼関係が非表示または削除されているのは、何らかのアクション (手動で削除したが完全にクリーンアップされていないなど) により、非表示または削除されているように見える場合があります。これは、ADのメタデータまたはシステムログを調べることでさらに確認できます。

信頼関係を確立したいドメインの関係を教えてください。それらは同じフォレスト内で異なるドメインですか?それとも、彼らは何の関係もありませんか?合意されたフォレスト内のドメインである場合は、既定で信頼関係を確立するドメインです。

よろしくお願いいたします

ノイビ・ジャン

Answer 2

ご確認ありがとうございます

nltest /domain_trusts コマンドを実施しましたが、その信頼関係が表示されませんでした。
フォレスト内のドメインではないです。

グループ会社のドメインですが、外部のドメインになります

Answer 3

ご返信ありがとうございます
条件付きフォワーダーは設定して名前解決も可能な状態です。

※DNSフォワーダーとお伝えしてしまいましたが、正しくは条件付きフォワーダーになります

条件付きフォワーダーの設定時に

「store this conditional fowarder in Active directory・・・・」にチェックは入れていました

Answer 4

チャブーンです。

この件ですが、TDOの本体は(ドメインパーティションの)Systemコンテナにあるものだけではなく、UsersコンテナにUserオブジェクトとして存在します。隠し属性があり、ADUCからは見ることができません。このオブジェクトが存在すると、信頼ドメインは完全に削除(存在していない)状態になっていません。

Get-ADUser -Filter "saMAccountType -eq 0x30000002"

このコマンドレットでTDO本体が存在するか、確認してください。

Answer 5

この応答は自動的に翻訳されています。 その結果、文法上の誤りや奇妙な言い回しが生じる可能性があります。

こんにちは、TK_867、

よい一日を！

フォレスト/ドメインの信頼を確立する前に、条件付きフォワーダーまたはセカンダリ ゾーンを設定する必要があります。

ドメイン コントローラーも DNS サーバーであることをお勧めします。
条件付きフォワーダーまたはセカンダリゾーンは、両方のドメインのプライマリドメインコントローラー(DNSサーバー)に設定できます。

たとえば、私のラボ環境では、次のようになります。

フォレスト 1: プライマリ ドメイン コントローラーと DNS サーバー、ドメイン コントローラー名: 2012R2、IP アドレス 192.168.2.50、ドメイン名: fabrikam.com。

フォレスト 2: プライマリ ドメイン コントローラーと DNS サーバー、ドメイン コントローラー名: 2019standard、IP アドレス 192.168.3.50、ドメイン名: a.com。

前提：
ドメイン名、FQDN、IPアドレスは相互にpingできます。

セカンダリゾーンを作成します。

1. fabrikam.com のPDCで、DNSサーバーを開き、「Fabrikam.com」を右クリック>「プロパティ」を選択>ゾーン転送->任意のサーバーへのゾーン転送を許可します。
   
2. DNS-> "Forward Lookup Zone" を右クリックし> "New Zone"-Secondary Zone -> a.com と IP アドレスを選択すると、結果は次のようになります。
   
3. a.com ドメインのPDCで、[a.com]を右クリック>、[プロパティ]-[>ゾーン転送]->[任意のサーバーへのゾーン転送を許可する]を選択します。
   
4. DNS->「New Zone」-「Secondary Zone->fabrikam.com」で「Forward Lookup Zone」を右クリックすると、次のようになります。
   

条件付きフォワーダーを設定する

1. fabrikam.com のPDCでDNSマネージャーを開き、[条件付きフォワーダー]>[新しい条件付きフォワーダー]を右クリックして>相手のドメイン名とIPアドレスを入力します。
   
2. a.com のPDCでDNSマネージャーを開き、[条件付きフォワーダー]>[新しい条件付きフォワーダー]を右クリックして>相手のドメイン名とIPアドレスを入力します。

条件付きフォワーダーまたはセカンダリ ゾーンを設定した後、Tim が提供したリンクを参照してフォレスト/ドメインの信頼を作成できます。 

よろしくお願いいたします

ノイビ・ジャン