J & J - 정성태의 닷넷 이야기

사용자

메뉴

최근 덧글

[orion] 연휴 전에 재현 프로젝트 올리자 생각해 놓고 여의치 않아서 못 ...[정성태] 아래의 글에 정리했으니 참고하세요. C# - Typed D...[정성태] 간단한 재현 프로젝트라도 있을까요? 저런 식으로 설명만 해...[정성태] 저도 해 본 것은 아니지만 어차피 in-process로 pyth...[정성태] Full Text Search With ElasticSearch...[정성태] When I define a window class with n...[정성태] What is the process by which the cu...[정성태] Why doesn't the clock in the taskba...[정성태] 오히려 그 글을 읽지 않았다고 생각하시는 것이 편합니다. (기억...[GM B] 늦었지만 답변감사드립니다. 제가 좀 바빠서 이제서야... ...

글쓰기

제목

이름

암호

전자우편

HTML

홈페이지

유형

내용

<div style='display: inline'>
<h1 style='font-family: Malgun Gothic, Consolas; font-size: 20pt; color: #006699; text-align: center; font-weight: bold'>The SysVol Permissions for one or more GPOs on this domain controller and not in sync with the permissions for the GPOs on the Baseline domain controller.</h1>

지난 글에서, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Warning: DsGetDcName returned information for \[...], when we were trying to reach [...].
; <a target='tab' href='https://www.sysnet.pe.kr/2/0/12183'>https://www.sysnet.pe.kr/2/0/12183</a>
</pre>
 
문제를 수정하니, 새롭게 "SysVol"에 대해 "ACLs" 링크가 뜨는 단계로 넘어갔습니다. 
 
<img alt='ad_acl_sync_1.png' src='/SysWebRes/bbs/ad_acl_sync_1.png' /> 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
1 Domain controller(s) with replication in progress

The SysVol Permissions for one or more GPOs on this domain controller and not in sync with the permissions for the GPOs on the Baseline domain controller.
</pre>
 
그러니까 SysVol 관련 폴더 중에, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
NETLOGON C:\WINDOWS\SYSVOL\sysvol\testad.com\SCRIPTS
SYSVOL C:\WINDOWS\SYSVOL\sysvol 
</pre>
 
접근 권한 설정이 동기화가 안 된다고 하는 것 같은데... 다행히 관련해서 찾아보면 답이 나옵니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Sysvol permissions for one or more GPO are not in sync
; <a target='tab' href='https://social.technet.microsoft.com/Forums/windowsserver/en-US/f16b0af1-8772-4f96-a9ac-fac47943e8e9/sysvol-permissions-for-one-or-more-gpo-are-not-in-sync?forum=ws2016'>https://social.technet.microsoft.com/Forums/windowsserver/en-US/f16b0af1-8772-4f96-a9ac-fac47943e8e9/sysvol-permissions-for-one-or-more-gpo-are-not-in-sync?forum=ws2016</a>
</pre>
 
그러니까, SysVol 관련 폴더에 대해 다음의 명령어를 각각 수행해 주면 됩니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
icacls "{GPO UID}" /remove:g "&lt;localdomain&gt;\Domain Admins"
icacls "{GPO UID}" /grant "&lt;localdomain&gt;\Domain Admins":(OI)(CI)(F)
</pre>
 
인자로 넘겨지는 "GPO UID"는 "C:\Windows\SYSVOL\sysvol\[localdomain]\Policies" 하위에 있는 폴더들입니다. 예를 들어, 제가 구성한 testad.com AD의 경우 다음과 같이 확인할 수 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
C:\Windows\SYSVOL\sysvol\testad.com\Policies&gt;dir
 Volume in drive C has no label.
 Volume Serial Number is 6418-A8B8

Directory of C:\Windows\SYSVOL\sysvol\testad.com\Policies

2013-08-22 오후 12:13 &lt;DIR&gt; .
2013-08-22 오후 12:13 &lt;DIR&gt; ..
2012-04-25 오후 08:33 &lt;DIR&gt; {31B2F340-016D-11D2-945F-00C04FB984F9}
2013-08-22 오후 12:13 &lt;DIR&gt; {5C2E45ED-7B54-4F33-93F4-FA2BF7FEDC21}
2012-03-12 오후 06:02 &lt;DIR&gt; {6AC1786C-016F-11D2-945F-00C04fB984F9}
2012-03-12 오후 06:02 &lt;DIR&gt; {EFAB19F9-E750-4C75-BB46-58A0CACBB66A}
 0 File(s) 0 bytes
 6 Dir(s) 18,722,938,880 bytes free
</pre>
 
따라서, 각각의 GUID 이름의 폴더에 대해 다음과 같이 2번씩 명령어 수행을 해주면 됩니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
C:\Windows\SYSVOL\sysvol\testad.com\Policies&gt; icacls "{31B2F340-016D-11D2-945F-00C04FB984F9}" /remove:g "testad\Domain Admins"
C:\Windows\SYSVOL\sysvol\testad.com\Policies&gt; icacls "{31B2F340-016D-11D2-945F-00C04FB984F9}" /grant "testad\Domain Admins":(OI)(CI)(F)
</pre>
 
모두 적용한 후 동기화로 마무리를 하면, 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
c:\temp&gt; repadmin /syncall
c:\temp&gt; repadmin /syncall /AdePq
</pre>
 
이제 Group Policy Management 화면에서 "Detect Now"로 다음과 같이 2개의 DC가 문제없이 동기화되었음을 확인할 수 있습니다. 
 
<img alt='ad_acl_sync_2.png' src='/SysWebRes/bbs/ad_acl_sync_2.png' /> 
 
<hr style='width: 50%' /> 
 
그런데, 궁금해서 GUID에 어떤 의미가 있는지 살펴봤습니다. ^^ 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
Will SYSVOL translate a GPO GUID to NAME?
; <a target='tab' href='https://deployhappiness.com/gpo-guid-to-name-powershell-quicktip/'>https://deployhappiness.com/gpo-guid-to-name-powershell-quicktip/</a>
</pre>
 
위의 글에 따라, 각각의 GUID 값을 "Active Directory Module for Windows PowerShell" 환경에서 Get-GPO 명령어로 실행하면, 각각 다음과 같은 결과를 얻을 수 있습니다. 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
PS C:\temp&gt; Get-GPO -GUID "{EFAB19F9-E750-4C75-BB46-58A0CACBB66A}"

DisplayName : Policy for computers joined in TESTAD1
DomainName : testad.com
Owner : testad\Domain Admins
Id : efab19f9-e750-4c75-bb46-58a0cacbb66a
GpoStatus : AllSettingsEnabled
Description :
CreationTime : 2009-10-28 오전 9:53:25
ModificationTime : 2012-03-12 오후 4:33:21
UserVersion : AD Version: 0, SysVol Version: 0
ComputerVersion : AD Version: 0, SysVol Version: 0
WmiFilter :

PS C:\temp&gt; Get-GPO -GUID "{31B2F340-016D-11D2-945F-00C04FB984F9}"

DisplayName : Default Domain Policy
DomainName : testad.com
Owner : testad\Domain Admins
Id : 31b2f340-016d-11d2-945f-00c04fb984f9
GpoStatus : AllSettingsEnabled
Description :
CreationTime : 2009-10-27 오후 4:09:21
ModificationTime : 2020-03-06 오전 9:59:04
UserVersion : AD Version: 31, SysVol Version: 31
ComputerVersion : AD Version: 87, SysVol Version: 87
WmiFilter :

PS C:\temp&gt; Get-GPO -GUID "{6AC1786C-016F-11D2-945F-00C04fB984F9}"

DisplayName : Default Domain Controllers Policy
DomainName : testad.com
Owner : testad\Domain Admins
Id : 6ac1786c-016f-11d2-945f-00c04fb984f9
GpoStatus : AllSettingsEnabled
Description :
CreationTime : 2009-10-27 오후 4:09:21
ModificationTime : 2019-08-01 오후 2:49:01
UserVersion : AD Version: 0, SysVol Version: 0
ComputerVersion : AD Version: 6, SysVol Version: 6
WmiFilter :

PS C:\temp&gt; Get-GPO -GUID "{5C2E45ED-7B54-4F33-93F4-FA2BF7FEDC21}"

DisplayName : GPO-firewall
DomainName : testad.com
Owner : testad\Domain Admins
Id : 5c2e45ed-7b54-4f33-93f4-fa2bf7fedc21
GpoStatus : AllSettingsEnabled
Description :
CreationTime : 2013-08-22 오후 12:13:42
ModificationTime : 2013-08-22 오후 12:13:47
UserVersion : AD Version: 0, SysVol Version: 0
ComputerVersion : AD Version: 0, SysVol Version: 0
WmiFilter :
</pre>
 
그러니까, 저 내용은 이 글의 첫 번째 이미지였던 "Replication in Progress - Details"에 나왔던 "GPO Name", "GPO GUID"의 내용과 동일합니다. 
 
<hr style='width: 50%' /> 
 
기타,,, 이 문제로 인터넷을 서핑하다가 알게 된 명령어 몇 개를 나열해 봅니다. ^^ 
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
PS C:\temp&gt; Get-ADDomainController -Filter * | %{repadmin /syncall /edjQSA $_.hostname}
Syncing all NC's held on TESTAD1.testad.com.
Syncing partition: DC=ForestDnsZones,DC=testad,DC=com

Syncing partition: DC=DomainDnsZones,DC=testad,DC=com

Syncing partition: CN=Schema,CN=Configuration,DC=testad,DC=com

Syncing partition: CN=Configuration,DC=testad,DC=com

Syncing partition: DC=testad,DC=com

Syncing all NC's held on TESTAD2.testad.com.
Syncing partition: DC=DomainDnsZones,DC=testad,DC=com

Syncing partition: DC=ForestDnsZones,DC=testad,DC=com

Syncing partition: CN=Schema,CN=Configuration,DC=testad,DC=com

Syncing partition: CN=Configuration,DC=testad,DC=com

Syncing partition: DC=testad,DC=com
</pre>
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
C:\temp&gt; dfsrdiag syncnow /Partner:testad2.testad.com /RGName:"domain system volume" /Time:1 /verbose
[INFO] Duration in Minutes: 1, 1
[INFO] Computer Name: testad2
[INFO] Computer DNS: testad2.testad.com
[INFO] Domain DNS: testad.com
[INFO] Site Name: Default-First-Site-Name
[INFO] Computer Name: TESTAD1
[INFO] Computer DNS: testad1.testad.com
[INFO] Domain DNS: testad.com
[INFO] Site Name: Default-First-Site-Name
[INFO] Connected to WMI services on computer: testad1.testad.com
[INFO] Issuing query: SELECT * FROM DfsrConnectionInfo WHERE ReplicationGroupName="domain system volume" AND PartnerName="testad2" AND Inbound="true"
[INFO] Object Path: DfsrConnectionInfo.ConnectionGuid="D5E51877-29C4-4D30-9892-07A915E68686"
[INFO] Invoke ForceReplication() method on testad1.testad.com

[INFO] Execution Time: 0 seconds
Operation Succeeded
</pre>
 
<pre style='margin: 10px 0px 10px 10px; padding: 10px 0px 10px 10px; background-color: #fbedbb; overflow: auto; font-family: Consolas, Verdana;' >
// 문제가 있을 때
C:\temp&gt;nltest /query
Flags: 0
Connection Status = 1311 0x51f ERROR_NO_LOGON_SERVERS
The command completed successfully

C:\temp&gt;nltest.exe /dsregdns
Flags: 0
Connection Status = 1311 0x51f ERROR_NO_LOGON_SERVERS
The command completed successfully

// 문제가 없을 때
C:\temp&gt;nltest /query
Flags: 0
Connection Status = 0 0x0 NERR_Success
The command completed successfully
</pre>

<hr />[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

</div>

첨부파일

스팸 방지용 인증 번호

1344 (왼쪽의 숫자를 입력해야 합니다.)