Microsoft MVP성태의 닷넷 이야기
글쓴 사람
홈페이지
첨부 파일
 

The SysVol Permissions for one or more GPOs on this domain controller and not in sync with the permissions for the GPOs on the Baseline domain controller.

지난 글에서,

Warning: DsGetDcName returned information for \[...], when we were trying to reach [...].
; https://www.sysnet.pe.kr/2/0/12183

문제를 수정하니, 새롭게 "SysVol"에 대해 "ACLs" 링크가 뜨는 단계로 넘어갔습니다.

ad_acl_sync_1.png

1 Domain controller(s) with replication in progress

The SysVol Permissions for one or more GPOs on this domain controller and not in sync with the permissions for the GPOs on the Baseline domain controller.

그러니까 SysVol 관련 폴더 중에,

NETLOGON     C:\WINDOWS\SYSVOL\sysvol\testad.com\SCRIPTS
SYSVOL       C:\WINDOWS\SYSVOL\sysvol       

접근 권한 설정이 동기화가 안 된다고 하는 것 같은데... 다행히 관련해서 찾아보면 답이 나옵니다.

Sysvol permissions for one or more GPO are not in sync
; https://social.technet.microsoft.com/Forums/windowsserver/en-US/f16b0af1-8772-4f96-a9ac-fac47943e8e9/sysvol-permissions-for-one-or-more-gpo-are-not-in-sync?forum=ws2016

그러니까, SysVol 관련 폴더에 대해 다음의 명령어를 각각 수행해 주면 됩니다.

icacls "{GPO UID}" /remove:g "<localdomain>\Domain Admins"
icacls "{GPO UID}" /grant "<localdomain>\Domain Admins":(OI)(CI)(F)

인자로 넘겨지는 "GPO UID"는 "C:\Windows\SYSVOL\sysvol\[localdomain]\Policies" 하위에 있는 폴더들입니다. 예를 들어, 제가 구성한 testad.com AD의 경우 다음과 같이 확인할 수 있습니다.

C:\Windows\SYSVOL\sysvol\testad.com\Policies>dir
 Volume in drive C has no label.
 Volume Serial Number is 6418-A8B8

 Directory of C:\Windows\SYSVOL\sysvol\testad.com\Policies

2013-08-22  오후 12:13    <DIR>          .
2013-08-22  오후 12:13    <DIR>          ..
2012-04-25  오후 08:33    <DIR>          {31B2F340-016D-11D2-945F-00C04FB984F9}
2013-08-22  오후 12:13    <DIR>          {5C2E45ED-7B54-4F33-93F4-FA2BF7FEDC21}
2012-03-12  오후 06:02    <DIR>          {6AC1786C-016F-11D2-945F-00C04fB984F9}
2012-03-12  오후 06:02    <DIR>          {EFAB19F9-E750-4C75-BB46-58A0CACBB66A}
               0 File(s)              0 bytes
               6 Dir(s)  18,722,938,880 bytes free

따라서, 각각의 GUID 이름의 폴더에 대해 다음과 같이 2번씩 명령어 수행을 해주면 됩니다.

C:\Windows\SYSVOL\sysvol\testad.com\Policies> icacls "{31B2F340-016D-11D2-945F-00C04FB984F9}" /remove:g "testad\Domain Admins"
C:\Windows\SYSVOL\sysvol\testad.com\Policies> icacls "{31B2F340-016D-11D2-945F-00C04FB984F9}" /grant "testad\Domain Admins":(OI)(CI)(F)

모두 적용한 후 동기화로 마무리를 하면,

c:\temp> repadmin /syncall
c:\temp> repadmin /syncall /AdePq

이제 Group Policy Management 화면에서 "Detect Now"로 다음과 같이 2개의 DC가 문제없이 동기화되었음을 확인할 수 있습니다.

ad_acl_sync_2.png




그런데, 궁금해서 GUID에 어떤 의미가 있는지 살펴봤습니다. ^^

Will SYSVOL translate a GPO GUID to NAME?
; https://deployhappiness.com/gpo-guid-to-name-powershell-quicktip/

위의 글에 따라, 각각의 GUID 값을 "Active Directory Module for Windows PowerShell" 환경에서 Get-GPO 명령어로 실행하면, 각각 다음과 같은 결과를 얻을 수 있습니다.

PS C:\temp> Get-GPO -GUID "{EFAB19F9-E750-4C75-BB46-58A0CACBB66A}"

DisplayName      : Policy for computers joined in TESTAD1
DomainName       : testad.com
Owner            : testad\Domain Admins
Id               : efab19f9-e750-4c75-bb46-58a0cacbb66a
GpoStatus        : AllSettingsEnabled
Description      :
CreationTime     : 2009-10-28 오전 9:53:25
ModificationTime : 2012-03-12 오후 4:33:21
UserVersion      : AD Version: 0, SysVol Version: 0
ComputerVersion  : AD Version: 0, SysVol Version: 0
WmiFilter        :


PS C:\temp> Get-GPO -GUID "{31B2F340-016D-11D2-945F-00C04FB984F9}"

DisplayName      : Default Domain Policy
DomainName       : testad.com
Owner            : testad\Domain Admins
Id               : 31b2f340-016d-11d2-945f-00c04fb984f9
GpoStatus        : AllSettingsEnabled
Description      :
CreationTime     : 2009-10-27 오후 4:09:21
ModificationTime : 2020-03-06 오전 9:59:04
UserVersion      : AD Version: 31, SysVol Version: 31
ComputerVersion  : AD Version: 87, SysVol Version: 87
WmiFilter        :

PS C:\temp> Get-GPO -GUID "{6AC1786C-016F-11D2-945F-00C04fB984F9}"

DisplayName      : Default Domain Controllers Policy
DomainName       : testad.com
Owner            : testad\Domain Admins
Id               : 6ac1786c-016f-11d2-945f-00c04fb984f9
GpoStatus        : AllSettingsEnabled
Description      :
CreationTime     : 2009-10-27 오후 4:09:21
ModificationTime : 2019-08-01 오후 2:49:01
UserVersion      : AD Version: 0, SysVol Version: 0
ComputerVersion  : AD Version: 6, SysVol Version: 6
WmiFilter        :

PS C:\temp> Get-GPO -GUID "{5C2E45ED-7B54-4F33-93F4-FA2BF7FEDC21}"

DisplayName      : GPO-firewall
DomainName       : testad.com
Owner            : testad\Domain Admins
Id               : 5c2e45ed-7b54-4f33-93f4-fa2bf7fedc21
GpoStatus        : AllSettingsEnabled
Description      :
CreationTime     : 2013-08-22 오후 12:13:42
ModificationTime : 2013-08-22 오후 12:13:47
UserVersion      : AD Version: 0, SysVol Version: 0
ComputerVersion  : AD Version: 0, SysVol Version: 0
WmiFilter        :

그러니까, 저 내용은 이 글의 첫 번째 이미지였던 "Replication in Progress - Details"에 나왔던 "GPO Name", "GPO GUID"의 내용과 동일합니다.




기타,,, 이 문제로 인터넷을 서핑하다가 알게 된 명령어 몇 개를 나열해 봅니다. ^^

PS C:\temp> Get-ADDomainController -Filter * | %{repadmin /syncall /edjQSA $_.hostname}
Syncing all NC's held on TESTAD1.testad.com.
Syncing partition: DC=ForestDnsZones,DC=testad,DC=com

Syncing partition: DC=DomainDnsZones,DC=testad,DC=com

Syncing partition: CN=Schema,CN=Configuration,DC=testad,DC=com

Syncing partition: CN=Configuration,DC=testad,DC=com

Syncing partition: DC=testad,DC=com

Syncing all NC's held on TESTAD2.testad.com.
Syncing partition: DC=DomainDnsZones,DC=testad,DC=com

Syncing partition: DC=ForestDnsZones,DC=testad,DC=com

Syncing partition: CN=Schema,CN=Configuration,DC=testad,DC=com

Syncing partition: CN=Configuration,DC=testad,DC=com

Syncing partition: DC=testad,DC=com

C:\temp> dfsrdiag syncnow /Partner:testad2.testad.com /RGName:"domain system volume" /Time:1 /verbose
[INFO] Duration in Minutes: 1, 1
[INFO] Computer Name: testad2
[INFO] Computer DNS: testad2.testad.com
[INFO] Domain DNS: testad.com
[INFO] Site Name: Default-First-Site-Name
[INFO] Computer Name: TESTAD1
[INFO] Computer DNS: testad1.testad.com
[INFO] Domain DNS: testad.com
[INFO] Site Name: Default-First-Site-Name
[INFO] Connected to WMI services on computer: testad1.testad.com
[INFO] Issuing query: SELECT * FROM DfsrConnectionInfo WHERE ReplicationGroupName="domain system volume" AND PartnerName="testad2" AND Inbound="true"
[INFO] Object Path: DfsrConnectionInfo.ConnectionGuid="D5E51877-29C4-4D30-9892-07A915E68686"
[INFO] Invoke ForceReplication() method on testad1.testad.com

[INFO] Execution Time: 0 seconds
Operation Succeeded

// 문제가 있을 때
C:\temp>nltest /query
Flags: 0
Connection Status = 1311 0x51f ERROR_NO_LOGON_SERVERS
The command completed successfully

C:\temp>nltest.exe /dsregdns
Flags: 0
Connection Status = 1311 0x51f ERROR_NO_LOGON_SERVERS
The command completed successfully

// 문제가 없을 때
C:\temp>nltest /query
Flags: 0
Connection Status = 0 0x0 NERR_Success
The command completed successfully




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]





[최초 등록일: ]
[최종 수정일: 3/12/2020 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  6  7  [8]  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12089정성태12/23/2019463디버깅 기술: 146. gflags와 _CrtIsMemoryBlock을 이용한 Heap 메모리 손상 여부 체크
12088정성태12/23/2019392Linux: 28. Linux - 윈도우의 "Run as different user" 기능을 shell에서 실행하는 방법
12087정성태12/21/2019545디버깅 기술: 145. windbg/sos - Dictionary의 entries 배열 내용을 모두 덤프하는 방법 (do_hashtable.py)
12086정성태12/20/2019618디버깅 기술: 144. windbg - Marshal.FreeHGlobal에서 발생한 덤프 분석 사례
12085정성태12/20/2019506오류 유형: 586. iisreset - The data is invalid. (2147942413, 8007000d) 오류 발생 - 두 번째 이야기 [1]
12084정성태12/21/2019576디버깅 기술: 143. windbg/sos - Hashtable의 buckets 배열 내용을 모두 덤프하는 방법 (do_hashtable.py)
12083정성태12/17/2019799Linux: 27. linux - lldb를 이용한 .NET Core 응용 프로그램의 메모리 덤프 분석 방법 [1]
12082정성태12/17/2019597오류 유형: 585. lsof: WARNING: can't stat() fuse.gvfsd-fuse file system
12081정성태12/16/2019693개발 환경 구성: 465. 로컬 PC에서 개발 중인 ASP.NET Core 웹 응용 프로그램을 다른 PC에서도 접근하는 방법 [1]
12080정성태12/16/2019871.NET Framework: 870. C# - 프로세스의 모든 핸들을 열람
12079정성태12/13/2019661오류 유형: 584. 원격 데스크탑(rdp) 환경에서 다중 또는 고용량 파일 복사 시 "Unspecified error" 오류 발생
12078정성태12/13/20191034Linux: 26. .NET Core 응용 프로그램을 위한 메모리 덤프 방법 [1]
12077정성태12/13/2019755Linux: 25. 자주 실행할 명령어 또는 초기 환경을 "~/.bashrc" 파일에 등록
12076정성태12/17/2019845디버깅 기술: 142. Linux - lldb 환경에서 sos 확장 명령어를 이용한 닷넷 프로세스 디버깅 - 배포 방법에 따른 차이
12075정성태12/18/2019934디버깅 기술: 141. Linux - lldb 환경에서 sos 확장 명령어를 이용한 닷넷 프로세스 디버깅
12074정성태12/11/2019597디버깅 기술: 140. windbg/Visual Studio - 값이 변경된 경우를 위한 정지점(BP) 설정(Data Breakpoint)
12073정성태12/10/20191074Linux: 24. Linux/C# - 실행 파일이 아닌 스크립트 형식의 명령어를 Process.Start로 실행하는 방법
12072정성태12/9/2019433오류 유형: 583. iisreset 수행 시 "No such interface supported" 오류
12071정성태12/9/2019688오류 유형: 582. 리눅스 디스크 공간 부족 및 safemode 부팅 방법
12070정성태12/9/20191228오류 유형: 581. resize2fs: Bad magic number in super-block while trying to open /dev/.../root
12069정성태12/19/2019851디버깅 기술: 139. windbg - x64 덤프 분석 시 메서드의 인자 또는 로컬 변수의 값을 확인하는 방법
12068정성태11/28/20191374디버깅 기술: 138. windbg와 Win32 API로 알아보는 Windows Heap 정보 분석 [2]파일 다운로드2
12067정성태11/27/2019846디버깅 기술: 137. 실제 사례를 통해 Debug Diagnostics 도구가 생성한 닷넷 웹 응용 프로그램의 성능 장애 보고서 설명 [1]파일 다운로드1
12066정성태11/27/2019599디버깅 기술: 136. windbg - C# PInvoke 호출 시 마샬링을 담당하는 함수 분석 - OracleCommand.ExecuteReader에서 OpsSql.Prepare2 PInvoke 호출 분석
12065정성태11/25/2019754디버깅 기술: 135. windbg - C# PInvoke 호출 시 마샬링을 담당하는 함수 분석파일 다운로드1
12064정성태11/25/20191068오류 유형: 580. HTTP Error 500.0/500.33 - ANCM In-Process Handler Load Failure
1  2  3  4  5  6  7  [8]  9  10  11  12  13  14  15  ...