Active Directory レプリケーション エラー 8524: DNS 参照エラーのため DSA 操作を続行できません

この記事では、Win32 エラー 8524 で失敗する AD 操作の現象、原因、解決手順について説明します。

DNS 参照エラーのため、DSA 操作を続行できません。

元の KB 番号: 2021446
適用対象: サポートされているすべてのバージョンの Windows Server

ホーム ユーザー: この記事は、テクニカル サポート 担当者と IT プロフェッショナルのみを対象としています。 問題に関するヘルプを探している場合は、microsoft コミュニティ。

現象

  1. DCDIAG は、Active Directory レプリケーション テストが状態 8524 で失敗したことを報告します。

    テスト サーバー: <sitename><destination DC>
    テストの開始: レプリケーション
    [Replications Check,<destination DC>] 最近のレプリケーション試行が失敗しました: <ソース DC から> から <destination DC へ>
    名前付けコンテキスト:
    失敗したディレクトリ パーティションの CN=<DN パス>,DC=Contoso,DC=Com
    レプリケーションでエラーが発生しました (8524):
    DNS 参照エラーのため、DSA 操作を続行できません。

  2. REPADMIN は、状態 8524 でレプリケーションの試行が失敗したことを報告します。

    一般的に 8524 状態を引用する REPADMIN コマンドは次のとおりですが、これらに限定されません。

    • REPADMIN /REPLSUM
    • REPADMIN /SHOWREPS
    • REPADMIN /SHOWREPL

    REPADMIN /SHOWREPL からの 8524 エラーのサンプルを次に示します。

    Default-First-Site-Name\CONTOSO-DC1
    DSA オプション: IS_GC
    サイト オプション: (なし)
    DSA オブジェクト GUID: DSA invocationID:
    DC=contoso,DC=com
    RPC 経由の Default-First-Site-Name\CONTOSO-DC2
    DSA オブジェクト GUID:
    最後の試行 @ YYYY-MM-DD HH:MM:SS failed, result 8524 (0x214c):
    DNS 参照エラーのため、DSA 操作を続行できません。
    1 つの連続する障害。
    最後の成功 @ YYYY-MM-DD HH:MM:SS。

    /showrepl 出力の残りの部分が切り捨てられました

  3. 8524 状態の次のいずれかのイベントがディレクトリ サービス イベント ログに記録されます。

    • NTDS ナレッジ整合性チェッカー (KCC)
    • NTDS 全般
    • Microsoft-Windows-ActiveDirectory_DomainService

    一般的に 8524 の状態を引用する Active Directory イベントには次のものが含まれますが、これらに限定されません。

    出来事 ソース イベントの文字列
    Microsoft-Windows-ActiveDirectory_DomainService 2023 このディレクトリ サーバーは、次のディレクトリ パーティションの次のリモート ディレクトリ サーバーに変更をレプリケートできませんでした
    NTDS 全般 1655 Active Directory は、次のグローバル カタログと通信しようとして、試行が成功しなかった場合。
    NTDS KCC 1308 KCC は、次のディレクトリ サービスを使用した連続したレプリケートの試行が一貫して失敗したことを検出しました。
    NTDS KCC 1,865 KCC は、完全なスパニング ツリー ネットワーク トポロジを形成できませんでした。 その結果、次のサイトの一覧にローカル サイトから到達できません

    NTDS KCC 1925 次の書き込み可能なディレクトリ パーティションのレプリケーション リンクを確立できませんでした。

    NTDS KCC 19:26 次のパラメーターを使用して読み取り専用ディレクトリ パーティションへのレプリケーション リンクを確立しようとしましたが失敗しました

  4. ドメイン コントローラーは、NTDS レプリケーション イベント 2087 と NTDS レプリケーション イベント 2088 をディレクトリ サービス イベント ログに記録します。

    ログ名: ディレクトリ サービス
    ソース: Microsoft-Windows-ActiveDirectory_DomainService
    日付: <date><time>
    イベント ID: 2087
    タスク カテゴリ: DS RPC クライアント
    レベル: エラー
    キーワード: クラシック
    ユーザー: 匿名ログオン
    コンピューター: <dc name>.<ドメイン名>
    説明:

    Active Directory ドメイン Services は、ソース ドメイン コントローラーの次の DNS ホスト名を IP アドレスに解決できませんでした。 このエラーにより、Active Directory ドメイン サービスの追加、削除、変更がフォレスト内の 1 つ以上のドメイン コントローラー間でレプリケートされなくなります。 セキュリティ グループ、グループ ポリシー、ユーザー、コンピューターとそのパスワードは、このエラーが解決されるまでドメイン コントローラー間で矛盾します。 ログオン認証とネットワーク リソースへのアクセスに影響する可能性があります。

    ログ名: ディレクトリ サービス
    ソース: Microsoft-Windows-ActiveDirectory_DomainService
    日付: <date><time>
    イベント ID: 2088
    タスク カテゴリ: DS RPC クライアント
    レベル: 警告
    キーワード: クラシック
    ユーザー: 匿名ログオン
    コンピューター: <dc name>.<ドメイン名>
    説明:
    Active Directory ドメインサービスでは、次に示すソース ドメイン コントローラーの IP アドレスを解決するために DNS を使用できませんでした。 セキュリティ グループ、グループ ポリシー、ユーザー、およびコンピューターとそのパスワードの一貫性を維持するために、Active Directory ドメイン サービスは、NetBIOS またはソース ドメイン コントローラーの完全修飾コンピューター名を使用して正常にレプリケートされました。

    無効な DNS 構成は、ログオン認証やネットワーク リソースへのアクセスなど、この Active Directory ドメイン Services フォレスト内のメンバー コンピューター、ドメイン コントローラー、またはアプリケーション サーバー上の他の重要な操作に影響を与える可能性があります。

    このドメイン コントローラーが DNS を使用してソース ドメイン コントローラーの IP アドレスを解決できるように、この DNS 構成エラーをすぐに解決する必要があります。

原因

エラー状態 8524 は、次のエラー文字列にマップされます。

DNS 参照エラーのため、DSA 操作を続行できません。

これは、Windows Server 2003 SP1 ドメイン コントローラー後の Active Directory に影響を与える可能性のあるすべての DNS エラーに対するキャッチオール エラーです。

Microsoft-Windows-ActiveDirectory_DomainService イベント 2087 は、Active Directory ドメイン コントローラーが完全修飾 CNAME レコード (ソース DC NTDS 設定オブジェクトの <object guid>._msdcs.< でリモート DC を解決できない場合に 8524 状態を引用する他の Active Directory イベントに対するパートナー イベントです。DNS を使用するフォレスト ルート ドメイン>) を選択します。

Microsoft-Windows-ActiveDirectory_DomainService イベント 2088 は、ソース ドメイン コントローラーがその NetBIOS 名によって正常に解決された場合にログに記録されますが、このような名前解決フォールバックは、DNS 名前解決が失敗した場合にのみ発生します。

8524 状態と Microsoft-Windows-ActiveDirectory_DomainService イベント 2088 または 2087 イベントがすべて存在すると、DNS 名解決が Active Directory で失敗していることを示します。

要約すると、宛先 DC が DNS を使用して CNAME レコードとホスト "A" レコードまたはホスト "AAAA" レコードによってソース DC を解決できない場合、8524 レプリケーションの状態がログに記録されます。 具体的な根本原因は次のとおりです。

  1. ソース DC がオフラインであるか、または存在しなくなったが、その NTDS Settings オブジェクトは Active Directory のコピー先 DC にまだ存在します。

  2. 次の理由により、ソース DC が 1 つ以上の DNS サーバーに CNAME レコードまたはホスト レコードを登録できませんでした。

    • 登録の試行が失敗しました。
    • ソースの DNS クライアント設定が、_msdcs.<をホスト、転送、または委任する DNS サーバーを指していませんフォレスト ルート ドメイン ゾーンと (または) プライマリ DNS サフィックス ドメイン ゾーン>。

  3. 宛先 DC の DNS クライアント設定が、ソース DC の CNAME またはホスト レコードを含む DNS ゾーンをホスト、転送、または委任する DNS サーバーを指していません

  4. 次の理由により、ソース DC によって登録された CNAME レコードとホスト レコードが、宛先 DC によって照会された DNS サーバーに存在しません。

    • 単純なレプリケーション待機時間
    • レプリケーションエラー
    • ゾーン転送エラー

  5. フォワーダーまたは委任が無効です。 これにより、移行先 DC がフォレスト内の他のドメインにある DC の CNAME またはホスト レコードを解決できなくなります。

  6. 宛先 DC、ソース DC、または中間 DNS サーバーによって使用される DNS サーバーが正しく機能していません。

解決方法

8524 がオフライン DC または古い DC メタデータによって発生しているかどうかを確認する

8524 エラー/イベントが、現在オフラインであってもフォレスト内で有効な DC を参照している場合は、動作可能にします。

8524 エラー/イベントが非アクティブ DC を参照している場合は、その DC の古いメタデータをターゲット DC の Active Directory のコピーから削除します。 非アクティブ DC は、ネットワーク上に存在しなくなった DC インストールですが、その NTDS Settings オブジェクトは Active Directory のコピー先 DC にまだ存在します。

Microsoft サポートは、存在しない DC の古いメタデータ、または Active Directory から削除されていない同じコンピューター名を持つ DC の以前の昇格からの古いメタデータを定期的に検索します。

古い DC メタデータが存在する場合は削除する

Active Directory サイトとサービス (DSSITE) を使用した GUI メタデータのクリーンアップ。MSC)

  1. Windows Server 2008 または Windows Server 2008 R2 Active Directory サイトおよびサービス スナップイン (DSSITE) を起動します。MSC)。

    リモート サーバー管理ツール (RSAT) パッケージの一部としてインストールされている Windows Vista または Windows 7 コンピューターで Active Directory サイトとサービスを起動して実行することもできます。

  2. DSSITE にフォーカスを合わせる。コピー先 DC の Active Directory のコピー上の MSC スナップイン。

    DSSITE を開始した後。MSC で、[Active Directory サイトとサービス [<DC 名>] を右クリックします。

    [ドメイン コントローラーの変更]に表示される DC の一覧から、8524 エラー/イベントをログに記録している宛先 DC を選択します。リスト

  3. 8524 エラーとイベントで参照されているソース DC NTDS Settings オブジェクトを削除します。 Active Directory ユーザーとコンピューター (DSA。MSC) スナップインとソース DC NTDS 設定オブジェクトを削除します。

    DC NTDS 設定オブジェクトが表示される

    • サイト、サイト名、サーバー コンテナー、および %server name% コンテナーの下
    • Active Directory サイトとサービスの右側のウィンドウに表示される受信接続オブジェクトの上。

    次のスクリーンショットの赤い強調表示は、既定の最初のサイト名サイトの下にある CONTOSO-DC2 の NTDS Settings オブジェクトを示しています。

    [NTDS 設定] が選択されている [Active Directory サイトとサービス] ウィンドウのスクリーンショット。

    削除する古い NTDS Settings オブジェクトを右クリックし、[削除] を選択します。

    メタデータのクリーンアップは、TECHNET に記載されているように、W2K8/W2K8 R2 Active Directory ユーザーとコンピューター スナップインから行うこともできます。

NTDSUTIL を使用したコマンド ライン メタデータのクリーンアップ

NTDSUTIL メタデータ クリーンアップ コマンドを使用して古い NTDS Settings オブジェクトを削除する従来の方法またはコマンド ラインメソッドについては、「Clean up Active Directory ドメイン Controller サーバー メタデータに関するページを参照してください。

ソース DC + 宛先 DC で DCDIAG /TEST:DNS を実行する

DCDIAG /TEST:DNS は、ドメイン コントローラーの DNS 正常性をすばやく検証するために、7 つの異なるテストを行います。 このテストは、DCDIAG の既定の実行の一部として実行されません。

  1. エンタープライズ管理者の資格情報を使用して、8524 イベントをログに記録する宛先ドメイン コントローラーのコンソールにサインインします。

  2. 管理特権 CMD プロンプトを開き、DC で 8424 の状態をログに記録し、移行先 DC のレプリケート元 DC で DCDIAG /TEST:DNS /F を実行します。

    フォレスト内のすべての DC に対して DCDIAG を実行するには、「 DCDIAG /TEST:DNS /V /E /F:<File name.txt>」と入力します。

    特定の DC に対して DCDIAG TEST:DNS を実行するには、「 DCDIAG /TEST:DNS /V /S:<DC NAME> /F:<File name.txt>」と入力します。

  3. DCDIAG /TEST:DNS出力の末尾にあるサマリー テーブルを見つけます。 レポートの関連 DC の警告またはエラーの状態を特定して調整します。

  4. DCDIAG で根本原因が特定されない場合は、次の手順を使用して "長い道のり" を取ります。

PING を使用して Active Directory の名前解決を確認する

宛先 DC は、リモート DC NTDS 設定オブジェクト (Active Directory サイトおよびサービス スナップインに表示される接続オブジェクトへの親オブジェクト) のオブジェクト GUID から派生した完全修飾 CNAME レコードによって、DNS 内のソース DC を解決します。 PING コマンドを使用して、ソース DC 完全修飾 CNAME レコードを解決する特定の DC の機能をテストできます。

  1. ソース DC の Active Directory のコピーで、ソース DC NTDS 設定オブジェクトの objectGUID を見つけます。

    ソース DC のコンソールから 8524 エラー/イベントをログに記録し、次のように入力します。

    repadmin /showrepl <fully qualified hostname of source DC cited in the 8524 error (event)>

    たとえば、8524 エラー/イベントで参照されている DC が、 contoso.com ドメインの contoso-DC2 である場合は、次のように入力します。

    repadmin /showrepl contoso-dc2.contoso.com

    repadmin /SHOWREPl コマンドのヘッダーの "DSA オブジェクト GUID" フィールドには、ソース DC current NTDS 設定オブジェクトの objectGUID が含まれています。 レプリケーションが遅いか失敗した場合は、ソース DC の NTDS 設定オブジェクトのビューを使用します。 repadmin出力のヘッダーは次のようになります。

    Default-First-Site-Name\CONTOSO-DC1
    DSA オプション: IS_GC
    サイト オプション: (なし)
    DSA オブジェクト GUID: 8a7baee5-cd81-4c8c-9c0f-b10030574016 <- 右クリックしてこの文字列を Windows にコピーします
    <- クリップボードに PING コマンドを貼り付けます
    <- 手順 4

  2. active Directory の destination DC のコピーで、ソース DC の ObjectGUID を見つけます。

    宛先 DC のコンソールから 8524 エラー/イベントをログに記録し、次のように入力します。

    repadmin /showrepl <fully qualified hostname of destination DC>

    たとえば、DC ログ 8524 エラー/イベントが contoso.com ドメインの contoso-DC1 である場合は、次のように入力します。

    repadmin /showrepl contoso-dc1.contoso.com

    REPADMIN /SHOWREPL 出力を次に示します。 "DSA オブジェクト GUID" フィールドは、宛先 DC 受信がレプリケート元のソース DC ごとに一覧表示されます。

     c:\>repadmin /showreps `contoso-dc1.contoso.com`  
 Default-First-Site-Name\CONTOSO-DC1  
 DSA Options: IS_GC  
 Site Options: (none)  
 DSA object GUID:  
 DSA invocationID:  
  DC=contoso,DC=com  
     Default-First-Site-Name\CONTOSO-DC2 via RPC  
         DSA object GUID: 8a7baee5-cd81-4c8c-9c0f-b10030574016      <- Object GUID for source DC derived from  
         Last attempt @ 2010-03-24 15:45:15 failed, result 8524 (0x214c):        \ destination DCs copy of Active Directory  
             The DSA operation is unable to proceed because of a DNS lookup failure.
         23 consecutive failure(s).  
         Last success @ YYYY-MM-DD HH:MM:SS.

  3. #2 と #3 のオブジェクト GUID を比較します。

    オブジェクト GUID が同じ場合、ソース DC と宛先 DC は、ソース DC の同じインスタンス化 (同じ昇格) について認識します。 異なる場合は、後で作成されたものを確認します。 以前の作成日の NTDS 設定オブジェクトは古い可能性が高く、削除する必要があります。

  4. 完全修飾 CNAME を使用してソース DC に PING を実行します。

    宛先 DC のコンソールから、ソース DC 完全修飾 CNAME レコードの PING を使用して Active Directory の名前解決をテストします。

    c:\>ping <ObjectGUID> from source DCs NTDS Settings object._msdcs.<DNS name for Active Directory forest root domain>

    ドメインの contoso-dc1 DC からの上記のrepadmin /showreps出力の contoso.com objectGUID の例を使用すると、PING 構文は次のようになります。

    c:\>ping 8a7baee5-cd81-4c8c-9c0f-b10030574016. _msdcs.contoso.com

    ping が機能する場合は、Active Directory で失敗した操作を再試行してください。 PING が失敗した場合は、"8524 DNS 参照エラーの解決" に進みますが、解決されるまで各手順の後に PING テストを再試行してください。

8524 DNS 参照エラーを解決する: 長い道のり

8524 エラー/イベントが古い DC メタデータによって発生せず、CNAME PING テストが失敗した場合は、次の DNS 正常性を検証します。

  • ソース DC
  • 宛先 DC
  • ソース DC と宛先 DC によって使用される DNS サーバー

まとめると、次のことを確認します。

  • ソース DC が CNAME レコードとホスト レコードを有効な DNS に登録しました。
  • 宛先 DC は有効な DNS サーバーを指します。
  • ソース DC によって登録された対象のレコードは、宛先 DC によって解決できます。

DS RPC クライアント イベント 2087 のエラー メッセージ テキストには、8524 エラーを解決するためのユーザー アクションが示されています。 より詳細なアクション プランは次のとおりです。

  1. ソース DC が有効な DNS サーバーを指していることを確認する

    ソース DC で、DNS クライアント設定が、the_msdcs.<をホスト、転送、または委任する運用 DNS サーバーのみを指していることを確認します。フォレスト ルート ドメイン> ゾーン (つまり、contoso.com フォレスト内のすべての DC は、the_msdcs.contoso.com ゾーンに CNAME レコードを登録します)

    および

    Active Directory ドメインの DNS ゾーン (つまり、contoso.com ドメイン内のコンピューターは、contoso.com ゾーンにホスト レコードを登録します)。

    および

    Active Directory ドメイン名と異なる場合は、コンピューターのプライマリ DNS サフィックス ドメイン (Technet の記事 Disjoint 名前空間を参照)。

    DNS サーバーがこのようなゾーンをホスト、転送、またはデリゲート (つまり、"解決可能") であることを検証するためのオプションが含まれます。

    • DNS の DNS 管理ツールを起動し、ソース DC が名前解決のためにポイントする DNS サーバーが対象のゾーンをホストすることを確認します。

    • NSLOOKUP を使用して、ソース DC が指すすべての DNS サーバーが、問題の DNS ゾーンのクエリを解決できることを確認します。

      ソース DC のコンソールで IPCONFIG /ALL を実行する

      c:\>ipconfig /all
…
DNS Servers . . . . . . . . . . . : 10.45.42.99 <- Primary DNS Server IP>
                                           10.45.42.101<- Secondary DNS Server IP>

      次の NSLOOKUP クエリを実行します。

      c:\>nslookup -type=soa  <Source DC DNS domain name> <source DCs primary DNS Server IP >
c:\>nslookup -type=soa  < Source DC DNS domain name > <source DCs secondary DNS Server IP >
c:\>nslookup -type=soa  <_msdcs.<forest root DNS domain> <source DCs primary DNS Server IP >
c:\>nslookup -type=soa  <_msdcs.<forest root DNS domain> <source DCs secondary DNS Server IP >

      たとえば、CHILD.CONTOSO.COM フォレストのcontoso.com ドメイン内の DC がプライマリ DNS サーバー IP とセカンダリ DNS サーバー IP "10.45.42.99" と "10.45.42.101" で構成されている場合、NSLOOKUP 構文は次のようになります。

      c:\>nslookup -type=soa  child.contoso.com 10.45.42.99
c:\>nslookup -type=soa  child.contoso.com 10.45.42.101
c:\>nslookup -type=soa  _msdcs.contoso.com 10.45.42.99
c:\>nslookup -type=soa  _msdcs.contoso.com 10.45.42.101

    注:

    • ターゲット DNS に適切なフォワーダーまたは委任がある場合、または the_msdcs.< の場合、_mscs.contoso.com ゾーンの SOA クエリが正しく解決されますフォレスト ルート ゾーン>。 _msdcs.<クエリ対象の DNS サーバー上のフォレスト ルート ゾーン> は、Windows 2000 ドメインによって作成されたゾーンリレーションシップである <フォレスト ルート ゾーン> の委任されていないサブドメインです。
    • CNAME レコードは常に _msdcs.< に登録されますフォレスト ルート ゾーン>(非ルート ドメインの DC の場合でも)。
    • 名前解決のために ISP DNS サーバーを指す DC またはメンバー コンピューターの DNS クライアントを構成することは無効です。 唯一の例外は、ISP が契約され (つまり有料)、現在 Active Directory フォレストの DNS クエリをホスト、転送、または委任していることです。
    • ISP DNS サーバーは通常、動的 DNS 更新を受け入れないので、CNAME、Host、SRV レコードを手動で登録する必要があります。

  2. ソース DC が CNAME レコードを登録したことを確認する

    ソース DC の現在の CNAME を見つけるには、「PING を使用して Active Directory の名前解決を確認する」の手順 1 を使用します。

    ソース DC のコンソールで ipconfig /all を実行して、名前解決のためにソース DC がポイントする DNS サーバーを決定します。

    c:\>ipconfig /all
…
DNS Servers . . . . . . . . . . . : 10.45.42.99                        <primary DNS Server IP
                                           10.45.41.101                      <secondary DNS Server IP

    NSLOOKUP を使用して、ソース DC の CNAME レコードの現在の DNS サーバーに対してクエリを実行します (「PING を使用して Active Directory の名前解決を確認する」の手順を参照してください)。

    c:\>nslookup -type=cname <fully qualified cname of source DC> <source DCs primary DNS Server IP >
c:\>nslookup -type=cname <fully qualified cname of source DC> <source DCs secondary DNS Server IP>

    この例では、contoso.com ドメインの contoso-dc2 の NTDS Settings objectGUID は 8a7baee5-cd81-4c8c-9c0f-b10030574016 です。 DNS 名前解決のプライマリとして "10.45.42.99" を指します。 NSLOOKUP 構文は次のようになります。

    c:\>nslookup -type=cname 8a7baee5-cd81-4c8c-9c0f-b10030574016._msdcs.contoso.com 10.45.42.99
c:\>nslookup -type=cname 8a7baee5-cd81-4c8c-9c0f-b10030574016._msdcs.contoso.com 10.45.42.101

    ソース DC が名前解決を指す DNS サーバーに CNAME レコードを登録していない場合は、ソース DC から次のコマンドを実行します。 次に、CNAME レコードの登録を再確認します。

    c:\>net stop netlogon & net start netlogon

    注:

    • CNAME レコードは常に _msdcs.< に登録されますフォレスト ルート ゾーン>(非ルート ドメインの DC の場合でも)。
    • CNAME レコードは、OS の起動時、NETLOGON サービスの起動中、および後で繰り返し実行される間隔の間に NETLOGON サービスによって登録されます。
    • 同じ名前の DC を昇格するたびに、異なる objectGUID を持つ新しい NTDS Settings オブジェクトが作成され、異なる CNAME レコードが登録される場合があります。 ソースが 1 倍を超える昇格を行っている場合は、ソース DC の最後の昇格に基づいて、コピー先 DC の NTDS Settings オブジェクトの objectGUID に基づいて、CNAME レコードの登録を確認します。
    • OS の起動中にタイミングの問題が発生すると、動的 DNS 登録の成功が遅れる可能性があります。
    • DC の CNAME レコードが正常に登録されたが、後で消えた場合は、 KB953317確認します。 異なるレプリケーション スコープ内の重複 DNS ゾーン、または DNS サーバーによる過度にアグレッシブな DNS 清掃。
    • ソース DC が名前解決をポイントする DNS サーバーで CNAME レコードの登録が失敗する場合は、SYSTEM イベント ログの NETLOGN イベントで DNS 登録エラーを確認します。

  3. ソース DC がホスト レコードを登録したことを確認する

    ソース DC のコンソールから、 ipconfig /all を実行して、名前解決のためにソース DC がポイントする DNS サーバーを決定します。

    c:\>ipconfig /all
…
DNS Servers . . . . . . . . . . . : 10.45.42.99 <- Primary DNS Server IP>
                                           10.45.42.101<- Secondary DNS Server IP>

    NSLOOKUP を使用して、ホスト レコードの現在の DNS サーバーに対してクエリを実行します。

    c:\>nslookup -type=A+AAAA  <fully qualified hostname of source DC> <source DCs primary DNS Server IP >
c:\>nslookup -type=A+AAAA <fully qualified hostname of source DC> <source DCs secondary DNS Server IP>

    引き続き、contoso.com ドメインの contoso-dc2 のホスト名の例は 8a7baee5-cd81-4c8c-9c0f-b10030574016 であり、DNS 名前解決のプライマリとして self (127.0.0.1) を指しています。NSLOOKUP 構文は次のようになります。

    c:\>nslookup -type=A+AAAA contoso-dc1.contoso.com 10.45.42.99
c:\>nslookup -type=A+AAAA contoso-dc1.contoso.com 10.45.42.101

    ソース DC のセカンダリ DNS サーバー IP アドレスに対して NSLOOKUP コマンドを繰り返します。

    ホスト "A" レコードを動的に登録するには、コンピューターのコンソールから次のコマンドを入力します。

    c:\>ipconfig /registerdns

    注:

    • Windows 2000 から Windows Server 2008 R2 コンピューターはすべて、IPv4 ホスト "A" レコードを登録します。
    • Windows Server 2008 および Windows Server 2008 R2 コンピューターはすべて、IPv6 ホスト "AAAA" レコードを登録します。
    • ホスト "A" レコードと "AAAA" レコードは、コンピューターのプライマリ DNS サフィックス ゾーンに登録されます。
    • ネットワーク ケーブルが接続されていない NIC を無効にします。
    • ネットワーク上の DC およびメンバー コンピューターからアクセスできない NIC でホスト レコードの登録を無効にします。
    • ネットワーク カードのプロパティの [IPv6] チェック ボックスをオフにして、IPv6 プロトコルを無効にすることはできません。

  4. 宛先 DC が有効な DNS サーバーを指していることを確認します

    宛先 DC で、DNS クライアント設定が、_msdcs.<をホスト、転送、委任する現在のオンライン DNS サーバーのみを指していることを確認します。フォレスト ルート ドメイン> ゾーン (つまり、contoso.com フォレスト内のすべての DC は、the_msdcs.contoso.com ゾーンに CNAME レコードを登録します)。

    および

    Active Directory ドメインの DNS ゾーン (つまり、contoso.com ドメイン内のコンピューターは、contoso.com ゾーンにホスト レコードを登録します)。

    および

    Active Directory ドメイン名と異なる場合は、コンピューターのプライマリ DNS サフィックス ドメイン (Technet の記事 Disjoint 名前空間を参照)。

    DNS サーバーがこのようなゾーンをホスト、転送、またはデリゲート (つまり、"解決可能") であることを検証するオプションは次のとおりです。

    • DNS の DNS 管理ツールを起動し、ソース DC が名前解決のためにポイントする DNS サーバーが対象のゾーンをホストすることを確認します。

      または

    • NSLOOKUP を使用して、ソース DC が指すすべての DNS サーバーが、問題の DNS ゾーンのクエリを解決できることを確認します。

      宛先 DC のコンソールで IPCONFIG /ALL を実行します。

      c:\>ipconfig /all
…
DNS Servers . . . . . . . . . . . : 10.45.42.102 <- Primary DNS Server IP>
                                                      10.45.42.103<- Secondary DNS Server IP>

      宛先 DC のコンソールから次の NSLOOKUP クエリを実行します。

      c:\>nslookup -type=soa  <Source DC DNS domain name> <destinatin DCs primary DNS Server IP >
c:\>nslookup -type=soa  < Source DC DNS domain name > <destination DCs secondary DNS Server IP >
c:\>nslookup -type=soa  _msdcs.<forest root DNS domain> <destination DCs primary DNS Server IP >
c:\>nslookup -type=soa  _msdcs.<forest root DNS name> <destination DCs secondary DNS Server IP>

    たとえば、contoso.com フォレストの CHILD.CONTOSO.COM ドメイン内の DC がプライマリおよびセカンダリ DNS サーバー IP "10.45.42.102" と "10.45.42.103" で構成されている場合、NSLOOKUP 構文は

    c:\>nslookup -type=soa  child.contoso.com 10.45.42.102
c:\>nslookup -type=soa  child.contoso.com 10.45.42.103
c:\>nslookup -type=soa  _msdcs.contoso.com 10.45.42.102
c:\>nslookup -type=soa  _msdcs.contoso.com 10.45.42.103

    注:

    • ターゲット DNS に適切なフォワーダーまたは委任がある場合、または the_msdcs.< の場合、_mscs.contoso.com ゾーンの SOA クエリが正しく解決されますフォレスト ルート ゾーン>。 the_msdcs.<の場合、正しく解決されませんクエリ対象の DNS サーバー上のフォレスト ルート ゾーン> は、Windows 2000 ドメインによって作成されたゾーンリレーションシップである <フォレスト ルート ゾーン> の委任されていないサブドメインです。
    • CNAME レコードは常に _msdcs.< に登録されますフォレスト ルート ゾーン>(非ルート ドメインの DC の場合でも)。
    • 名前解決のために ISP DNS サーバーを指す DC またはメンバー コンピューターの DNS クライアントを構成することは無効です。 唯一の例外は、ISP が契約済み (つまり有料) であり、現在 Active Directory フォレストの DNS クエリをホスト、転送、または委任していることです。
    • ISP DNS サーバーは通常、動的 DNS 更新を受け入れないので、CNAME、Host、SRV レコードを手動で登録する必要がある場合があります。
    • Windows コンピューター上の DNS リゾルバーは、仕様上 "固定" です。 このような DNS サーバーが必要なゾーンをホスト、転送、または委任するかどうかに関係なく、クエリに応答する DNS サーバーを使用します。 再び、DNS サーバーからの応答が "探しているレコードをホストしないか、そのレコードのゾーンのコピーをホストする" であっても、アクティブな DNS が応答している限り、DNS リゾルバーはフェールオーバーおよび別の DNS サーバーのクエリを実行しません。

  5. 宛先 DC によって使用される DNS サーバーが、ソース DC の CNAME レコードと HOST レコードを解決できることを確認します

    宛先 DC のコンソールから、 ipconfig /all を実行して、名前解決のために宛先 DC がポイントする DNS サーバーを決定します。

    DNS Servers that destination DC points to for name resolution:

c:\>ipconfig /all
…
  DNS Servers . . . . . . . . . . . : 10.45.42.102 <- Primary DNS Server IP>
                                             10.45.42.103<- Secondary DNS Server IP>

    宛先 DC のコンソールから、 NSLOOKUP を使用して、ソース DC の CNAME レコードとホスト レコードに対して宛先 DC に構成された DNS サーバーに対してクエリを実行します。

    c:\>nslookup -type=cname <fully qualified CNAME of source DC> <destination DCs primary DNS Server IP >
c:\>nslookup -type=cname <fully qualified CNAME of source DC> <destination DCs secondary DNS Server IP>
c:\>nslookup -type=host <fully qualified hostname of source DC> <destination DCs primary DNS Server IP >
c:\>nslookup -type=host <fully qualified hostname of source DC> <destination DCs secondary DNS Server IP>

    この例では、 Contoso.com フォレスト ルート ドメインの GUID 8a7baee5-cd81-4c8c-9c0f-b10030574016 の contoso.com ドメインの contoso-dc2 は、DNS サーバー "10.45.42.102" と "10.45.42.103" を指しています。 NSLOOKUP 構文は次のようになります。

    c:\>nslookup -type=cname 8a7baee5-cd81-4c8c-9c0f-b10030574016._msdcs.contoso.com 10.45.42.102
c:\>nslookup -type=cname 8a7baee5-cd81-4c8c-9c0f-b10030574016._msdcs.contoso.com 10.45.42.103
c:\>nslookup -type=A+AAAA contoso-dc1.contoso.com 10.45.42.102
c:\>nslookup -type=A+AAAA contoso-dc1.contoso.com 10.45.42.102

  6. ソース DC と宛先 DC で使用される DNS サーバー間の関係を確認する

    _msdcs.<のソースと宛先ホストの AD 統合コピーによって使用される DNS サーバーの場合フォレスト ルート> と <primary DNS サフィックス> ゾーンで、次のことを確認します。

    • レコードが登録された DNS とレコードが照会されている DNS の間のレプリケーション待機時間。
    • レコードが登録されている DNS とクエリ対象の DNS の間のレプリケーションエラー。
    • 関心のあるレコードをホストする DNS ゾーンは、異なるレプリケーション スコープに留まり、したがって内容が異なるか、1 つ以上の DC で CNF/競合が発生します。

    ソース DC と宛先 DC で使用される DNS ゾーンが DNS ゾーンのプライマリ コピーとセカンダリ コピーに格納されている場合は、次のことを確認します。

    • ゾーンのプライマリ コピーをホストする DNS では、[ゾーン転送を許可する] チェック ボックスが有効になっていません。
    • [次のサーバーのみ] チェックボックスが有効になっていますが、セカンダリ DNS の IP アドレスがプライマリ DNS の許可リストに追加されていません。
    • ゾーンのセカンダリ コピーをホストしている Windows Server 2008 DNS の DNS ゾーンは、 KB953317のため空です。

    ソース DC と宛先 DC で使用される DNS サーバーに親/子リレーションシップがある場合は、次のことを確認します。

    • 下位ゾーンに委任している親ゾーンを所有する DNS の委任が無効です。
    • 上位の DNS ゾーンを解決しようとしている DNS サーバーのフォワーダー IP アドレスが無効です (たとえば、child.contoso.com の DC がルート ドメイン内の DNS サーバーに留まる conto.com ゾーン内のホスト レコードを解決しようとしています)。

データ収集

Microsoft サポートからのサポートが必要な場合は、「 Active Directory レプリケーションの問題に TSS を使用して情報を収集する」に記載されている手順に従って情報を収集することをお勧めします。

  • Last updated on