resetear canal seguro windows 2003.

Esto es debido a desincronizaciones, ya sea por cambios de hardware o por virtualizacion de servidores.

Instala el Windows server 2003 Support tools en el controlador de dominio con problemas. Estas herramientas estan localizadas en support|tools en el Windows Server 2003 CD-ROM. Para instalarlas clicka con el boton derecho en el fichero Suptools.msi en la carpeta Support\Tools y dale a instalar.
Para resetear el canal seguro de la cuenta de la máquina que te da problemas:
-En Server 1 - Start - Administrative Tools - Services -> parar el servicio "Kerberos Key Distribution Center" y seleccionar como startup type "Manual".
-Ejecutar lo siguiente desde E:\(directorio de las support tools):
netdom resetpwd /s:Server 2 /ud:dominio\administrator /pd:password
(OJO: sustituir por la password correcta.)
Comprobar que el comando no devuelve error y se ha completado con éxito.
-Reiniciar el servidor
-Arrancar el servicio "Kerberos Key Distribution Center" y poner el Startup type a "Automatico".
OJO:
Server1 es el servidor que te da problemas
Server 2 es un DC que está funcionando correctamente, el que tenga el rol de PDC emulator.

Catálogo Global

Algo interesante para saber, el catalogo global no entra dentro de ninguno de los 5 roles FSMO.
Además, en nuestro entorno de trabajo lo mejor es que todos los servidores sean catologo global para que se repliquen todos los cambios, así, llegue una modificación al servidor que llegue se replicará satisfactoriamente al Active Directory del resto.

http://julianrv.com/blog/2006/02/global-catalog-y-universal-group.html

Cómo quitar datos en Active Directory después de una degradación sin éxito de un controlador de dominio.

(Informacion extra en: http://support.microsoft.com/?id=216498)

Procedimiento 2: Windows 2000 (todas las versiones) y Windows Server 2003 RTM

1. Haga clic en Inicio, seleccione Programas y Accesorios y, a continuación, haga clic en Símbolo del sistema.
2. En el símbolo del sistema, escriba ntdsutil y presione ENTRAR.
3. Escriba metadata cleanup y presione ENTRAR. Según las opciones dadas, el administrador puede realizar la eliminación; pero para que ello sea posible se deben especificar parámetros de configuración adicionales.
4. Escriba connections y presione ENTRAR. Este menú se usa para conectar con el servidor específico donde se producen los cambios. Si el usuario que ha iniciado sesión no tiene permisos administrativos, se pueden suministrar credenciales diferentes especificando las credenciales que hay que usar antes de realizar la conexión. Para ello, escriba set creds NombreDeDominioNombreDeUsuarioContraseña y presione ENTRAR. Para escribir una contraseña nula, escriba null en el parámetro correspondiente a la contraseña.
5. Escriba connect to server nombreDeServidor y presione ENTRAR. Debe recibir la confirmación de que la conexión se ha establecido correctamente. Si se produce un error, compruebe que el controlador de dominio que se usa en la conexión está disponible y que las credenciales que ha suministrado tienen permisos administrativos en el servidor.
   
   Nota si intenta conectar con el mismo servidor que desea eliminar, cuando intente eliminar el servidor al que se hace referencia en el paso 15, puede aparecer un mensaje de error similar al siguiente:
   Error 2094. No se puede eliminar el objeto DSA
6. Escriba quit y presione ENTRAR. Aparecerá el menú Metadata Cleanup.
7. Escriba select operation target y presione ENTRAR.
8. Escriba list domains y presione ENTRAR. Se mostrará una lista de dominios del bosque, cada uno con un número asociado.
9. Escriba select domain número y presione ENTRAR, donde número es el número asociado al dominio del que es miembro el servidor que está quitando. El dominio que seleccione se usa para determinar si el servidor que se está quitando es el último controlador de dominio de ese dominio.
10. Escriba list sites y presione ENTRAR. Se mostrará una lista de sitios, cada uno con un número asociado.
11. Escriba select site número y presione ENTRAR, donde número es el número asociado al sitio del que es miembro el servidor que está quitando. Debe recibir una confirmación que enumere el sitio y el dominio que eligió.
12. Escriba list servers in site y presione ENTRAR. Se mostrará una lista de los servidores del sitio, cada uno con un número asociado.
13. Escriba select server número y presione ENTRAR, donde número es el número asociado al servidor que desea quitar. Aparecerá una confirmación donde se indica el servidor seleccionado, su nombre de host del Sistema de nombres de dominio (DNS) y la ubicación de la cuenta de equipo del servidor que desea quitar.
14. Escriba quit y presione ENTRAR. Aparecerá el menú Metadata Cleanup.
15. Escriba remove selected server y presione ENTRAR. Debe recibir la confirmación de que la eliminación se ha completado correctamente. Si aparece el mensaje de error siguiente:
    Error 8419 (0x20E3)
    No se encontró el objeto DSA
    el objeto de configuración NTDS puede haberse quitado ya de Active Directory porque lo haya quitado otro administrador o como consecuencia de la replicación de la eliminación con éxito del objeto después de ejecutar la utilidad Dcpromo.
    
    Nota: también puede ver este error cuando intenta enlazar con el controlador de dominio que se va a quitar. Ntdsutil tiene que enlazar con otro controlador de dominio distinto al que se va a quitar con la limpieza de metadatos.
16. Escriba quit en cada menú para salir de la utilidad Ntdsutil. Debe aparecer la confirmación de que la desconexión se ha completado correctamente.
17. Quite el registro cname de la zona _msdcs.dominio raíz del bosque en DNS. Suponiendo que el controlador de dominio (DC) se vaya a reinstalar y a volver a promover, se crea un nuevo objeto de configuración NTDS utilizando un nuevo GUID y un registro cname coincidente en DNS. Es mejor que los DC que existan no usen el registro cname antiguo.
    
    Es conveniente eliminar el nombre de host y otros registros DNS. Si se supera el tiempo de concesión que queda en la dirección del Protocolo de configuración dinámica de host (DHCP) asignada al servidor sin conexión, otro cliente puede obtener la dirección IP del DC problemático.

Ahora que se ha eliminado el objeto de configuración NTDS, puede eliminar la cuenta de equipo, el objeto miembro FRS, el registro cname (o Alias) del contenedor _msdcs, el registro A (o Host) en DNS, el objeto trustDomain para un dominio secundario eliminado y el controlador de dominio.

Nota: no necesita quitar manualmente el objeto miembro de FRS en Windows Server 2003 RTM porque la utilidad Ntdsutil.exe ya lo ha quitado al ejecutarla. Además, los metadatos de la cuenta de equipo no se pueden quitar si la cuenta de equipo del DC contiene otro objeto hoja. Por ejemplo, los Servicios de instalación remota (RIS) podrían estar instalados en el DC.

La utilidad Adsiedit se incluye con la funcionalidad Herramientas de soporte de Windows tanto en Windows 2000 Server como en Windows Server 2003. Para instalar Herramientas de soporte de Windows, siga estos pasos:

• Windows 2000 Server: En el CD Windows 2000 Server, abra la carpeta Support\Tools, haga doble clic en Setup.exe y siga las instrucciones que aparecerán en la pantalla.
• Windows Server 2003: En el CD Windows Server 2003, abra la carpeta Support\Tools, haga doble clic en Suptools.msi, haga clic en Instalar y siga los pasos del Asistente para configuración de herramientas de soporte de Windows para completar la instalación.

1. Use ADSIEdit para eliminar la cuenta de equipo. Para ello, siga estos pasos:
   1. Haga clic en Inicio y en Ejecutar, escriba adsiedit.msc en el cuadro Abrir y haga clic en Aceptar.
   2. Expanda el contenedor Domain NC.
   3. Expanda DC=Su nombre de dominio, DC=COM, PRI, LOCAL, NET.
   4. Expanda OU=Domain Controllers.
   5. Haga clic con el botón secundario del mouse en CN=nombreDeControladorDeDominio y, a continuación, haga clic en Eliminar.
   Si aparece el mensaje de error "No se puede eliminar el objeto DSA" cuando intenta eliminar el objeto, cambie el valor de UserAccountControl. Para cambiar el valor de UserAccountControl, haga clic con el botón secundario del mouse en el controlador de dominio en ADSIEdit y, después, haga clic en Properties. En Select a property to view, haga clic en UserAccountControl. Haga clic en Clear, cambie el valor a 4096 y haga clic en Set. Ya puede eliminar el objeto.
   
   Nota: el objeto de suscriptor FRS se elimina cuando se elimina el objeto de equipo porque es un objeto secundario de la cuenta de equipo.
2. Use ADSIEdit para eliminar el objeto miembro FRS. Para ello, siga estos pasos:
   1. Haga clic en Inicio y en Ejecutar, escriba adsiedit.msc en el cuadro Abrir y haga clic en Aceptar.
   2. Expanda el contenedor Domain NC.
   3. Expanda DC=Su dominio, DC=COM, PRI, LOCAL, NET.
   4. Expanda CN=System.
   5. Expanda CN=File Replication Service.
   6. Expanda CN=Domain System Volume (SYSVOL share).
   7. Haga clic con el botón secundario del mouse en el controlador de dominio que está quitando y, a continuación, haga clic en Eliminar.
3. En la consola DNS, use el complemento DNS de MMC para eliminar el registro A en DNS. El registro A también se conoce como registro Host. Para eliminar el registro A, haga clic con el botón secundario del mouse en él y, después, haga clic en Eliminar. Elimine también el registro cname (también conocido como Alias) en el contenedor _msdcs. Para ello, expanda el contenedor _msdcs, haga clic con el botón secundario del mouse en el registro cname y, después, haga clic en Eliminar.
   
   Importante: si éste era un servidor DNS, quite la referencia a este DC en la ficha Servidores de nombres. Para ello, en la consola DNS, haga clic con el botón secundario del mouse en el nombre de dominio en Zonas de búsqueda directa, haga clic en Propiedades y quite este servidor de la ficha Servidores de nombres.
   
   Nota: si tiene zonas de búsqueda inversa, quite también el servidor de esas zonas.
4. Si el equipo eliminado era el último controlador de dominio de un dominio secundario y éste también se eliminó, use ADSIEdit para eliminar el objeto trustDomain del objeto secundario. Para ello, siga estos pasos:
   1. Haga clic en Inicio y en Ejecutar, escriba adsiedit.msc en el cuadro Abrir y haga clic en Aceptar.
   2. Expanda el contenedor Domain NC.
   3. Expanda DC=Su dominio, DC=COM, PRI, LOCAL, NET.
   4. Expanda CN=System.
   5. Haga clic con el botón secundario del mouse en el objeto Dominio de confianza y, a continuación, haga clic en Eliminar.
5. Use Sitios y servicios de Active Directory para quitar el controlador de dominio. Para ello, siga estos pasos:
   1. Inicie Sitios y servicios de Active Directory.
   2. Expanda Sitios.
   3. Expanda el sitio del servidor. El sitio predeterminado es Nombre-predeterminado-primer-sitio.
   4. Expanda Servidor.
   5. Haga clic con el botón secundario del mouse en el controlador de dominio y, a continuación, haga clic en Eliminar.

Sintaxis opcional avanzada con la versión del SP1 de Ntdsutil.exe

El SP1 de Windows Server 2003 introdujo una nueva sintaxis que se puede utilizar. Con la nueva sintaxis, ya no es necesario enlazar al DS y seleccionar el destino de la operación. Para utilizar la nueva sintaxis, debe conocer u obtener el DN del objeto de configuración NTDS del servidor que se va a degradar. Para utilizar la nueva sintaxis para la limpieza de metadatos, siga estos pasos:

1. Ejecute ntdsutil.
2. Cambie el símbolo del sistema de la limpieza de metadatos.
3. Ejecute el siguiente comando
   remove selected server
   A continuación se muestra un ejemplo de este comando.
   
   Nota: lo siguiente es una línea, pero se ha ajustado para mejorar la legibilidad.
   
   Remove selected server cn=servername,cn=servers,cn=sitename,cn=sites,cn=configuration,dc=
4. Quite el registro cname de la zona _msdcs.dominio raíz del bosque en DNS. Suponiendo que el controlador de dominio (DC) se vaya a reinstalar y a volver a promover, se crea un nuevo objeto de configuración NTDS utilizando un nuevo GUID y un registro cname coincidente en DNS. Es mejor que los DC que existan no usen el registro cname antiguo.
   
   Es conveniente eliminar el nombre de host y otros registros DNS. Si se supera el tiempo de concesión que queda en la dirección del Protocolo de configuración dinámica de host (DHCP) asignada al servidor sin conexión, otro cliente puede obtener la dirección IP del DC problemático.
5. Si el equipo eliminado era el último controlador de dominio de un dominio secundario y éste también se eliminó, use ADSIEdit para eliminar el objeto trustDomain del objeto secundario. Para ello, siga estos pasos:
   1. Haga clic en Inicio y en Ejecutar, escriba adsiedit.msc y haga clic en Aceptar.
   2. Expanda el contenedor Domain NC.
   3. Expanda DC=Su nombre de dominio, DC=COM, PRI, LOCAL, NET.
   4. Expanda CN=System.
   5. Haga clic con el botón secundario del mouse en el objeto Dominio de confianza y, a continuación, haga clic en Eliminar.
6. Use Sitios y servicios de Active Directory para quitar el controlador de dominio. Para ello, siga estos pasos:
   1. Inicie Sitios y servicios de Active Directory.
   2. Expanda Sitios.
   3. Expanda el sitio del servidor. El sitio predeterminado es Nombre-predeterminado-primer-sitio.
   4. Expanda Servidor.
   5. Haga clic con el botón secundario del mouse en el controlador de dominio y, a continuación, haga clic en Eliminar.

Correguir error en la compartición SYSVOL

Este documento hay que hacerlo cuando el sysvol no se comparte automáticamente en un servidor.

Sólo ocurre este error en redes con al menos dos servidores, por lo que pone en la documentación no ocurre nunca en una instalación con un único servidor. Tiene sentido porque este fallo se da cuando se tratan de replicar los permisos entre el servidor padre (PDC) y el resto de servidores (ya sea uno o más servidores secundarios BDC, aunque Microsoft dijo que a partir del 2003 dejaban de existir XD dichas definiciones)


http://support.microsoft.com/kb/315457


(Los pasos reales son todos estos, no hace falta copiar todo el documento ya que cierta parte es documentación, eso si, vale la pena leérselo todo, sino vas un poco perdido, bueno, que narices, yo fui perdido todo el documento, son la ostia de pasos.)

Cómo volver a generar el árbol de SYSVOL y su contenido en un dominio (sysvol is not shared)

Lista detallada de pasos
A continuación se detallan los pasos que se llevan a cabo en reinicio de una rama o el centro:
1.
En todos los controladores de dominio del dominio, detenga el FRS y, a continuación, establezca el valor de tipo de inicio de servicio para FRS en manual.
2.
En un controlador de dominio único, configure el conjunto de réplicas de SYSVOL como autorizado. Este controlador de dominio de referencia contendrá la copia autorizada del árbol de SYSVOL para todos los demás miembros del conjunto de réplicas. Por ejemplo, otros controladores de dominio del dominio se replicarán directa o transitivamente desde este controlador de dominio de referencia. Elija el controlador de dominio de referencia en función de la conectividad y los recursos físicos del servidor. Este controlador de dominio se conocerá como el "controlador de dominio de referencia" en los pasos siguientes. Para configurar el conjunto de réplicas de SYSVOL como autorizado, siga estos pasos:
a.
Haga clic en Inicio, en Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.
b.
Busque la entrada BurFlags, bajo la subclave del Registro siguiente, y haga clic en ella:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Cumulative Replica Sets\GUID
GUID es el GUID del conjunto de réplicas del volumen de sistema del dominio que aparece en la siguiente subclave del Registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Replica Sets\GUID
c.
En el menú Edición, seleccione Modificar.
d.
Escriba D4 como nombre del valor DWORD y, a continuación, presione ENTRAR.
3.
En todos los controladores de dominio del dominio, compruebe que la estructura de archivos y los puntos de unión son correctos. Para ello, siga estos pasos:
a.
Compruebe que las carpetas siguientes existen en el árbol de SYSVOL:
\SYSVOL\SYSVOL\domain\SYSVOL\staging\domain\SYSVOL\staging areas\SYSVOL\domain\Policies\SYSVOL\domain\scripts\SYSVOL\SYSVOL
b.
Compruebe que existen los siguientes puntos de análisis:
\SYSVOL\SYSVOLNombre de dominio DNSEste punto de análisis se debe vincular a la carpeta \SYSVOL\domain. \SYSVOL\staging\Nombre de dominio DNSEste punto de análisis se debe vincular a la carpeta \SYSVOL\staging\domain.
La ruta de acceso predeterminada para el árbol de SYSVOL está bajo la carpeta \WINDOWS o \WINNT en la partición donde esté instalado el sistema operativo. Sin embargo, el árbol de SYSVOL se puede instalar en cualquier partición que tenga formato del sistema de archivos NTFS. Compruebe que cada controlador de dominio del dominio tiene todas las carpetas requeridas y que existen los puntos de análisis. Vuelva a crear cualquier carpeta que falte según corresponda. No utilice el Explorador de Windows para mover o copiar el contenido del árbol de SYSVOL, o se pueden dañar los puntos de análisis.
El árbol de SYSVOL contiene puntos de análisis para otras carpetas del árbol de SYSVOL. Estos puntos de análisis están en el sistema de archivos NTFS. Considere un punto de análisis como una carpeta de origen que se asigna o señala a una carpeta de destino cuando se tiene acceso a la carpeta de origen. El contenido de las carpetas de análisis aparece como imágenes reflejadas. Los dos puntos de análisis siguientes para un árbol de SYSVOL se instalan en la carpeta C:\WINNT\SYSVOL:
•
C:\WINNT\SYSVOL\SYSVOL\Nombre de dominio DNS. Este punto de análisis se vincula a la carpeta C:\WINNT\SYSVOL\domain.
•
C:\WINNT\SYSVOL\staging areas\Nombre de dominio DNSEste punto de análisis se vincula a carpeta C:\WINNT\SYSVOL\staging\domain.
En cada controlador de dominio del dominio, siga estos pasos:
1.
Haga clic en Inicio y en Ejecutar, escriba cmd y haga clic en Aceptar.
2.
Escriba ntfrsutl ds findstr /i "root stage" y, a continuación, presione ENTRAR. El comando NTFRSUTIL devuelve el directorio raíz actual para el conjunto de réplicas de SYSVOL al que se hace referencia como "raíz del conjunto de réplicas" y la carpeta de ensayo. Por ejemplo, este comando devuelve:
Root: C:\WINNT\SYSVOL\domainStage: C:\WINNT\SYSVOL\staging\domain
3.
Escriba Linkd %systemroot%\SYSVOL\SYSVOL\ Nombre de dominio DNS y, a continuación, presione ENTRAR. El comando LINKD devuelve lo siguiente:
El Nombre de dominio DNS de origen está vinculado a %systemroot%\SYSVOL\domain
4.
Escriba linkd “%systemroot%\SYSVOL\staging areas\Nombre de dominio DNS" y, a continuación, presione ENTRAR. Este comando devuelve lo siguiente:
El Nombre de dominio DNS de origen está vinculado a %systemroot%\SYSVOL\Staging\domain
Nota: la ruta de acceso que indica el comando LINKD varía, dependiendo de la ubicación de la carpeta SYSVOL\SYSVOL\Nombre de dominio DNS. Si la carpeta de SYSVOL está en la ubicación predeterminada, en la carpeta %systemroot%\SYSVOL, utilice los comandos que se muestran. De otro modo, escriba la ruta de acceso real de las carpetas de SYSVOL. Por ejemplo, si los comandos NTFRSUTL y LINKD se ejecutan en un controlador de dominio en el dominio contoso.com y la carpeta de SYSVOL está en la carpeta C:\Windows\SYSVOL, la sintaxis del comando y los resultados para las carpetas SYSVOL y Staging aparecerán de forma similar a lo siguiente: C:\>ntfrsutl ds findstr /i "root stage" Root: C:\windows\sysvol\domain Stage: C:\windows\sysvol\staging\domain C:\>Linkd %systemroot%\SYSVOL\SYSVOL\Contoso.com Source domain.com is linked to C:\WINDOWS\SYSVOL\domain C:\>linkd “%systemroot%\SYSVOL\staging areas>\Contoso.com Source domain.com is linked to C:\WINDOWS\SYSVOL\staging\domain
Para volver a crear los puntos de unión si el comando LINKD informa de que hay puntos de unión no válidos o que faltan puntos de unión, siga estos pasos:
1.
Escriba linkd C:\WINNT\SYSVOL\sysvol\nombreDeDominioDNS Origen, donde Origen es la ruta de acceso raíz determinada mediante el comando NTFRSUTL.
2.
Escriba C:\linkd C:\WINNT\SYSVOL\staging areas\nombreDeDominioDNS Origen, donde Origen es la ruta de acceso de ensayo determinada mediante el comando NTFRSUTL.
Para obtener información adicional acerca de cómo crear puntos de unión, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
205524 (http://support.microsoft.com/kb/205524/) Cómo crear y manipular puntos de unión de NTFS
5.
En todos los controladores de dominio del dominio, compruebe que hay disponible suficiente espacio de ensayo. La proporción del tamaño del área de ensaño con respecto al tamaño del conjunto de datos depende en diversos factores. Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
329491 (http://support.microsoft.com/kb/329491/) Configurar un espacio de área de ensayo correcto para conjuntos de duplicados
Para determinar el tamaño de la raíz del conjunto de réplicas, haga clic con el botón secundario del mouse (ratón) en la raíz del conjunto de réplicas que utiliza la carpeta Winnt\SYSVOL\domain en el Explorador de Windows y, a continuación, haga clic en Propiedades.Para ajustar el tamaño de la carpeta de ensayo, siga estos pasos:
a.
Haga clic en Inicio, en Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.
b.
Busque la siguiente subclave del Registro y haga clic en ella:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters
c.
Haga clic con el botón secundario del mouse en Staging Space Limit in KB y, a continuación, haga clic en Modificar.
d.
Haga clic decimal, escriba el tamaño de la carpeta de ensayo en Kilobytes y, a continuación, haga clic en Aceptar.
e.
Cierre el Editor del Registro.
6.
En el controlador de dominio de referencia, genere un conjunto de directivas y secuencias de comandos adecuado y, a continuación, póngalos en una carpeta temporal fuera de las carpetas de conjunto de réplicas de SYSVOL en el controlador de dominio de referencia de FRS.Para finalizar este paso, examine Active Directory para determinar las directivas de grupo que todavía se utilizan y que contenga los datos huérfanos. La información de la directiva se encuentra en el contenedor Directivas de grupo. Para ver este contenedor, siga estos pasos:
a.
Inicie Usuarios y equipos de Active Directory.
b.
En el menú Ver, haga clic en Características avanzadas si aún no está seleccionado.
c.
Expanda el contenedor del dominio, expanda el contenedor Sistema y, a continuación, expanda el contenedor Directivas. En el panel derecho de Usuarios y equipos de Active Directory se muestran todos los objetos de directiva de grupo (GPO) de Active Directory. Debería haber una asignación unívoca entre los GPO válidos de Active Directory y las carpetas Directiva de grupo en el árbol de SYSVOL.
•
Si la carpeta de SYSVOL contiene un nombre de carpeta que tiene un GUID que no aparece en Active Directory, el sistema de archivos contiene un GPO huérfano y puede eliminar sin ningún riesgo la carpeta del sistema de archivos.
•
Si Active Directory contiene un GUID de directiva de grupo que no está asignado a un GUID de la carpeta SYSVOL\domain\policies de ningún controlador de dominio del dominio, puede eliminar sin ningún riesgo esa configuración de directiva de Active Directory.
Nota: si algún controlador de dominio que participe en el dominio tiene una versión más reciente de una directiva de grupo en su árbol de SYSVOL local, asegúrese de que se copia en una ubicación temporal en el controlador de dominio de referencia.
d.
En el controlador de dominio de referencia, elimine cualquier archivo o carpeta que esté en la raíz del conjunto de réplicas de FRS o en las carpetas de ensayo del conjunto de réplicas. En los conjuntos de réplicas de SYSVOL predeterminados, elimine los archivos y carpetas que se encuentren debajo de las dos carpetas siguientes:
C:\WINNT\SYSVOL\domain C:\WINNT\SYSVOL\staging\domain
Nota: No elimine las carpetas solas.
e.
En el controlador de dominio de referencia, reinicie el FRS y, a continuación, compruebe que existen los recursos compartidos de SYSVOL y NETLOGON.
f.
En el controlador de dominio de referencia, copie las directivas, las carpetas de secuencias de comandos y el contenido de las carpetas de la ubicación temporal que utilizó en el paso c a la carpeta raíz del conjunto de réplicas de FRS. En la carpeta de SYSVOL, la ubicación predeterminada para la raíz del conjunto de réplicas es la siguiente:
C:\WINNT\SYSVOL\domain
g.
En todos los controladores de dominio excepto en el de referencia, configure el FRS para que no esté autorizado. Para ello, siga estos pasos:
1.
Haga clic en Inicio, en Ejecutar, escriba regedit y, a continuación, haga clic en Aceptar.
2.
Busque la entrada BurFlags, bajo la subclave del Registro siguiente, y haga clic en ella:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Cumulative Replica Sets\GUID
GUID es el GUID del conjunto de réplicas del volumen de sistema del dominio que aparece en la siguiente subclave del Registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Replica Sets\GUID
3.
En el menú Edición, seleccione Nuevo y haga clic en Valor DWORD.
4.
Escriba D2 como nombre del valor DWORD y, a continuación, presione ENTRAR.
Nota: en los controladores de dominio que no participen en la replicación del Sistema de archivos distribuido (DFS), establezca el valor DWORD en D2 en la subclave del Registro siguiente para las modificaciones masivas:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process atStartup\BurFlags
h.
Cierre el Editor del Registro.
El FRS está programado para reinicializar su base de datos y sobrescribir el contenido del árbol de SYSVOL con datos de un asociado de nivel superior. En sitios grandes, recomendamos que utilice una solución por etapas para regenerar el árbol de SYSVOL. Este enfoque ayuda a evitar sobrecargar un controlador de dominio único o hacer que el FRS consiga su contenido de un controlador de dominio que no haya finalizado su propia regeneración del volumen del sistema. Este proceso conlleva establecer la configuración del valor del Registro Burflags en D2 en todos los controladores de dominio del sitio central antes de continuar con los sitios sucursales o satélites. Utilice la entrada del registro Replica Set Parent para especificar un controlador de dominio de origen para la configuración D2:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFrs\Parameters\SYSVOL Seeding\DOMAIN SYSTEM VOLUME (SYSVOL SHARE)
•
Replica Set ParentTipo: REG_SZ Valor: controlador de dominio de origen
Nota: si esta entrada del Registro no existe, créela. Recomendamos que un controlador de dominio único no sea el origen para más de 10 o 15 controladores de dominio al mismo tiempo. Si tiene que hacer que haya más de 15 controladores de dominio con un único origen, debe iniciar el FRS en sólo 15 asociados de nivel inferior de cualquier controlador de dominio de origen determinado y, a continuación, debe esperar a que ellos completen la generación del árbol de SYSVOL antes de que se inicie el servicio FRS en el siguiente grupo de 15 equipos. Notas
•
No recomendamos que más de 15 controladores de dominio de dominio generen su contenido de un único controlador de dominio al mismo tiempo.
•
La replicación entrante depende de una programación que se define en el vínculo del sitio pertinente o en el objeto de conexión utilizado por el controlador de dominio de destino que permite la replicación. Si la programación de replicación se deshabilita, la replicación entrante se retrasará.
•
Si se usa la entrada del Registro "Replica set parent", el FRS originará los datos al reiniciar el servicio, independientemente de que la replicación esté habilitada o deshabilitada el día o la hora en que se produjera el reinicio del servicio. Una vez que se haya completado la generación inicial, toda replicación adicional se basará en los programas de conexión. Si no se utiliza la entrada del Registro, el FRS iniciará la replicación según la programación definida en el vínculo del sitio pertinente u objeto de conexión.
7.
En todos los controladores de dominio del dominio excepto en el de referencia, elimine cualquier archivo o carpeta debajo de la raíz del conjunto de réplicas de FRS y de los directorios de ensayo del conjunto de réplicas. Por ejemplo, en los conjuntos de réplicas de SYSVOL predeterminados, elimine los archivos y carpetas de las dos ubicaciones siguientes:
C:\WINNT\SYSVOL\domain C:\WINNT\SYSVOL\staging\domain
Nota: no elimine las carpetas solas. Este paso permite una replicación más rápida del árbol de SYSVOL para el origen dado. Evita que el servidor de FRS tenga que mover el contenido existente antes de replicar los datos nuevos. Este paso no es obligatorio pero se recomienda.
8.
En todos los controladores de dominio del sitio del centro, excepto en el de referencia, reinicie el FRS y, a continuación, compruebe que SYSVOL y NETLOGON están compartidos.
9.
En todos los controladores de dominio que no sean de referencia en los sitios de las ramas, inicie el servicio FRS y compruebe que SYSVOL y NETLOGON están compartidos.

AUTOR: Moi

Crear un dominio en Windows 2003 con DCpromo

Lo más importante del dcpromo es tener varios conocimientos que de normal no se tienen:
- El cable de red de la maquina debe estar conectado siempre que se toquen temas de red, dns, dcpromo, etc. Si no se tiene conectado el sistema no instala bien las cosas. El dns no se temina de configurar, el dcpromo revienta, etc.
- Dcpromo sirve tanto para promocionar a domain controler como para depromocionar (quitar un servidor de controlador de dominio), esto es tanto para poner y como para quitar los servicios de dominio del directorio activo (Active Directory Domain Services), ya que a fin de cuentas lo que importa de un controlador de dominio es el Active Directory o LDAP.
- En w2003 server Se puede hacer un dcpromo desde un backup del directorio activo, algo novedoso e interesante, además probado y funciona. Para poder hacer esto se debe lanzar el dcpromo con la opción advanced (dcpromo /adv)

Web donde resume todo esto (en español):
http://julianrv.com/blog/2006/01/uso-avanzado-de-dcpromo-y-solucin-de.html


Fallos muy comunes al promocionar o depromocionar un servidor que no es el único en la red.
- Si un servidor tiene alguno de los roles principales del dominio no puedes depromocionarlo. (hay 5 roles principales)
- Si el Directorio Activo esta corrupto salen errores y nunca termina la ejecución del dcpromo, tanto para promocionar como para depromocionar.
- Si no tienes conexión con otro servidor que tenga el Directorio Activo el dcpromo no funciona.

Se acabaron las clases por hoy ^_^
AUTOR: Moi

Asumir funciones de servidor principal de dominio

Responder a errores en el servidor principal de operaciones

Algunas de las funciones de servidor principal de operaciones son cruciales para el funcionamiento de la red. Otras pueden dejar de estar disponibles durante algún tiempo antes de que su ausencia se convierta en un problema. Por lo general, observará que el poseedor de una función relativa a las operaciones con un solo servidor principal no está disponible cuando intenta realizar algunas funciones que controla el servidor principal de operaciones en particular.

Si un servidor principal de operaciones no está disponible debido a un error del equipo o a un problema de la red, puede asumir su función. Esto también se conoce como forzar la transferencia de la función de servidor principal de operaciones.

Antes de forzar la transferencia, determine primero la causa y la duración esperada del error del equipo o de la red. Si la causa es un problema de la interconexión en red o un error del servidor que se va a resolver pronto, espere a que el poseedor de la función esté disponible de nuevo. Si el controlador de dominio que desempeña actualmente la función tiene un error, debe determinar si se puede recuperar y ponerse de nuevo en conexión.

En general, asumir esta función es un paso drástico que únicamente se debe considerar si el servidor principal de operaciones actual no va a volver a estar disponible. La decisión depende de la función y del tiempo que el poseedor de la función en particular no estará disponible. En los temas siguientes se discutirá el efecto de los diversos errores del poseedor de la función.

Error del servidor principal de esquemas

La pérdida temporal del servidor principal de operaciones de esquemas no será visible para los usuarios de la red. Tampoco será visible para los administradores de la red, a menos que intenten modificar el esquema o instalar una aplicación que lo modifique durante la instalación.

Si el servidor principal de esquemas no va a estar disponible durante un período inaceptable, puede transferir la función al servidor de operaciones en espera. Sin embargo, asumir esta función es un paso drástico que sólo debe considerar si el error del servidor de esquemas es permanente.

Important

• Un controlador de dominio cuya función de servidor principal de esquemas se ha transferido nunca se debe poner de nuevo en conexión.

Para obtener información acerca de los procedimientos relativos al modo de asumir la función de servidor principal de esquemas, consulte Asumir la función de servidor principal de esquemas

Para asumir la función de servidor principal de esquemas

1. Haga clic en Inicio y Ejecutar, y después escriba cmd.
2. En el símbolo del sistema, escriba ntdsutil.
3. En el símbolo del sistema de ntdsutil, escriba roles.
4. En el símbolo del sistema fsmo maintenance, escriba connections.
5. En el símbolo del sistema server connections, escriba connect to server, seguido del nombre de dominio completo.
6. En el símbolo del sistema server connections, escriba quit.
7. En el símbolo del sistema fsmo maintenance, escriba seize schema master.
8. En el símbolo del sistema fsmo maintenance, escriba quit.
9. En el símbolo del sistema de ntdsutil, escriba quit.

Error del servidor principal de nombres de dominio

Los usuarios de la red no advierten la pérdida temporal del servidor principal de nombres de dominio. Tampoco será visible para los administradores de la red, a menos que intenten agregar o quitar un dominio del bosque.

Si el servidor principal de nombres de dominio no va a estar disponible durante un período inaceptable, puede transferir la función al servidor de operaciones en espera. Sin embargo, asumir esta función es un paso drástico que sólo debe considerar si el error del servidor principal de nombres de dominios es permanente.

Important

• Un controlador de dominio cuya función de servidor principal de nombres de dominio se ha transferido nunca se debe poner de nuevo en conexión.

Para obtener información acerca de los procedimientos relativos al modo de asumir la función de servidor principal de nombres de dominio, consulte Asumir la función de servidor principal de nombres de dominio

Para asumir la función de maestro de nombres de dominio

1. Haga clic en Inicio y Ejecutar, y después escriba cmd.
2. En el símbolo del sistema, escriba ntdsutil.
3. En el símbolo del sistema de ntdsutil, escriba roles.
4. En el símbolo del sistema fsmo maintenance, escriba connections.
5. En el símbolo del sistema server connections, escriba connect to server, seguido del nombre de dominio completo.
6. En el símbolo del sistema server connections , escriba quit.
7. En el símbolo del sistema fsmo maintenance, escriba seize domain naming master.
8. En el símbolo del sistema fsmo maintenance , escriba quit.
9. En el símbolo del sistema de ntdsutil, escriba quit.

Error del servidor principal de identificadores relativos

La pérdida temporal del servidor principal de operaciones de identificadores relativos no será visible para los usuarios de la red. Tampoco será visible para los administradores de la red, a menos que estén creando objetos y el dominio donde lo hacen se haya quedado sin identificadores relativos.

Si el servidor principal de identificadores relativos no va a estar disponible durante un período inaceptable, puede transferir la función al servidor principal de operaciones. Sin embargo, asumir esta función es un paso drástico que sólo debe considerar si el error del servidor principal de identificadores relativos es permanente.

Important

• Un controlador de dominio cuya función de servidor principal de identificadores relativos se ha transferido nunca se debe poner de nuevo en conexión.

Para obtener información acerca de los procedimientos para asumir la función de servidor principal de identificadores relativos, consulte Asumir la función de servidor principal de identificadores relativos

Para asumir la función de servidor principal de identificadores relativos

1. Haga clic en Inicio y Ejecutar, y después escriba cmd.
2. En el símbolo del sistema, escriba ntdsutil.
3. En el símbolo del sistema de ntdsutil, escriba roles.
4. En el símbolo del sistema fsmo maintenance, escriba connections.
5. En el símbolo del sistema server connections, escriba connect to server, seguido del nombre de dominio completo.
6. En el símbolo del sistema server connections, escriba quit.
7. En el símbolo del sistema fsmo maintenance, escriba seize RID master.
8. En el símbolo del sistema de fsmo maintenance, escriba quit.
9. En el símbolo del sistema de ntdsutil, escriba quit.

Error del emulador PDC

La pérdida del emulador del controlador principal del dominio (PDC) afecta a los usuarios de la red. Por lo tanto, cuando el emulador PDC no está disponible, es posible que tenga que asumir inmediatamente la función.

Si el servidor principal emulador PDC actual no va a estar disponible durante un período inaceptable y su dominio tiene clientes sin el software de cliente de Windows 2000, o si contiene controladores de dominio de reserva de Windows NT, transfiera la función de servidor principal emulador PDC al servidor principal de operaciones en espera. Cuando el emulador PDC original vuelva a estar en servicio, puede transferir de nuevo la función al controlador de dominio original.

Para obtener información acerca de los procedimientos relativos al modo de asumir la función de emulador PDC, consulte Asumir la función de emulador PDC

Para asumir la función de emulador PDC

1. Haga clic en Inicio y Ejecutar, y después escriba cmd.
2. En el símbolo del sistema, escriba ntdsutil.
3. En el símbolo del sistema de ntdsutil, escriba roles.
4. En el símbolo del sistema fsmo maintenance, escriba connections.
5. En el símbolo del sistema server connections, escriba connect to server, seguido del nombre de dominio completo.
6. En el símbolo del sistema server connections, escriba quit.
7. En el símbolo del sistema fsmo maintenance, escriba seize PDC.
8. En el símbolo del sistema de fsmo maintenance, escriba quit.
9. En el símbolo del sistema de ntdsutil, escriba quit.

Error del servidor principal de infraestructuras

Los usuarios de la red no advierten la pérdida temporal de un servidor principal de infraestructuras. Tampoco será visible para los administradores de la red, a menos que hayan movido recientemente o cambiado el nombre de una gran cantidad de cuentas.

Si el servidor principal de infraestructuras no va a estar disponible durante un período inaceptable, puede transferir la función a un controlador de dominio que no sea un catálogo global pero que esté conectado correctamente a uno de cualquier dominio y, si es posible, del mismo sitio que el catálogo global actual. Cuando el servidor principal de infraestructuras original vuelva a estar en servicio, puede transferir de nuevo la función al controlador de dominio original.

Para obtener información acerca de los procedimientos relativos al modo de asumir la función de servidor principal de infraestructuras, consulte Asumir la función de servidor principal de infraestructuras

Para asumir la función de servidor principal de infraestructuras

1. Haga clic en Inicio y Ejecutar, y después escriba cmd.
2. En el símbolo del sistema, escriba ntdsutil.
3. En el símbolo del sistema de ntdsutil, escriba roles.
4. En el símbolo del sistema fsmo maintenance, escriba connections.
5. En el símbolo del sistema server connections, escriba connect to server, seguido del nombre de dominio completo.
6. En el símbolo del sistema server connections , escriba quit.
7. En el símbolo del sistema fsmo maintenance, escriba seize infrastructure master.
8. En el símbolo del sistema fsmo maintenance , escriba quit.
9. En el símbolo del sistema de ntdsutil, escriba quit.

Para obtener información general acerca de los servidores principales de operaciones, consulte Operaciones de un solo servidor principal

Operaciones de un solo maestro

Active Directory permite realizar la replicación Multimaster del almacén de datos de directorio entre todos los controladores del dominio. Algunos cambios no se pueden realizar por el método Multimaster, por lo que sólo un controlador de dominio, denominado maestro de operaciones, acepta las solicitudes de este tipo de cambios.

Dado que las funciones de maestro de operaciones pueden moverse a otros controladores de dominio del mismo domino o del bosque, esas funciones se denominan a veces operaciones flexibles de un solo maestro.

En cualquier bosque de Active Directory hay cinco funciones de maestro de operaciones que se asignan a uno o más controladores de dominio. Algunas funciones deben estar presentes en todos los bosques. Otras funciones deben estar presentes en todos los dominios del bosque.

Funciones de maestro de operaciones en todo el bosque

Cada bosque de Active Directory debe tener las siguientes funciones:

• Maestro de esquema
• Maestro de nombres de dominio

Estas funciones deben ser únicas en el bosque. Es decir, en todo el bosque sólo puede haber un maestro de esquema y un maestro de nombres de dominio.

Maestro de esquema

El controlador maestro de esquema del dominio controla todas las actualizaciones y modificaciones al esquema. Para poder actualizar el esquema de un bosque, debe tener acceso al maestro de esquema. En un momento dado, sólo puede haber un maestro de esquema en todo el bosque.

Maestro de nombres de dominio

El controlador de dominio al que se asigna la función de maestro de nombres de dominio controla la adición o eliminación de dominios en el bosque. En un momento dado, sólo puede haber un maestro de nombres de dominio en todo el bosque.

Funciones de maestro de operaciones en todo el dominio

Cada dominio del bosque debe tener las siguientes funciones:

• Maestro de identificadores relativos
• Emulador del controlador principal de dominio (PDC, Primary Domain Controller)
• Maestro de infraestructuras

Estas funciones deben ser únicas en cada dominio. Esto significa que en cada dominio del bosque sólo puede haber un maestro de identificadores relativos, un emulador del PDC y un maestro de infraestructuras.

Maestro de identificadores relativos

El maestro de identificadores relativos asocia secuencias de identificadores relativos a cada uno de los distintos controladores de su dominio. En un momento dado, sólo puede haber un controlador de dominio que actúe como maestro de identificadores relativos en cada dominio del bosque.

Cada vez que un controlador de dominio crea un objeto de usuario, grupo o equipo, asigna al objeto un Id. de seguridad único. El Id. de seguridad consta de un Id. de seguridad de dominio (que es el mismo para todos los Id. de seguridad creados en un dominio específico) y de un Id. relativo que es único para cada Id. de seguridad creado en el dominio.

Para mover un objeto de un dominio a otro (mediante Movetree.exe), debe iniciar la operación en el controlador de dominio que actúa como maestro de identificadores relativos del dominio que contiene el objeto en ese momento.

Emulador del PDC

Si el dominio contiene equipos que operan sin el software de cliente de Windows 2000 o si contiene controladores de reserva (BDC, Backup Domain Controller) de Windows NT, el emulador del PDC actúa como un controlador principal de dominio de Windows NT. Se ocupa de procesar los cambios de contraseña de los clientes y replica las actualizaciones en los BDC. En un momento dado, sólo puede haber un controlador de dominio que actúe como emulador del PDC en cada dominio del bosque.

En un dominio de Windows 2000 que funciona en modo nativo, el emulador del PDC recibe la replicación preferencial de los cambios a las contraseñas realizados por otros controladores del dominio. Si una contraseña ha cambiado recientemente, ese cambio tarda algún tiempo en replicarse en cada controlador del dominio. Si una autenticación de inicio de sesión produce un error en otro controlador de dominio debido a una contraseña incorrecta, ese controlador de dominio reenviará la solicitud de autenticación al emulador del PDC antes de rechazar el intento de inicio de sesión.

Maestro de infraestructuras

El maestro de infraestructuras es responsable de actualizar las referencias de grupos a usuarios cada vez que hay alguna variación o cambio de nombre en los miembros de un grupo. En un momento dado, sólo puede haber un controlador de dominio que actúe como maestro de infraestructuras en cada dominio.

Al cambiar de nombre o mover un miembro de un grupo (si el miembro reside en un dominio distinto del grupo), puede que durante un tiempo parezca que el grupo no contiene ese miembro. El maestro de infraestructuras del dominio del grupo es responsable de actualizar el grupo de forma que sepa en todo momento el nuevo nombre o ubicación del miembro. El maestro de infraestructuras distribuye la actualización mediante la replicación Multimaster.

La seguridad no se pone en peligro durante el tiempo que transcurre entre el cambio de nombre de un miembro y la actualización del grupo. Sólo un administrador que esté examinando la pertenencia a ese grupo en particular podría darse cuenta de la falta momentánea de coherencia.

Autor: Moi

Transferir funciones de servidor principal de dominio

Transferir una función de servidor principal de operaciones significa moverla de un controlador de dominio a otro, con la colaboración del poseedor original de la función. Según la función de servidor principal de operaciones que se vaya a transferir, la transferencia se realiza con uno de los tres complementos de Active Directory.

Función	Complemento
Servidor principal de esquemas	Esquema de Active Directory
Servidor principal de nombres de dominio	Dominios y confianzas de Active Directory
Servidor principal de identificadores relativos	Usuarios y equipos de Active Directory
Emulador PDC	Usuarios y equipos de Active Directory
Servidor principal de infraestructuras	Usuarios y equipos de Active Directory

Para obtener información general acerca de las funciones de servidor principal de operaciones, consulte Operaciones de un solo servidor principal

Para ver procedimientos que describen la transferencia de las funciones de servidor principal de operaciones, consulte:

• Transferir la función de servidor principal de esquemas

Para transferir la función de servidor principal de esquemas

1. Abra Esquema de Active Directory
2. En el árbol de consola, haga clic con el botón secundario del mouse (ratón) en Esquema de Active Directory y, a continuación, haga clic en Cambiar el controlador de dominio.
3. Haga clic en Cualquier controlador de dominio para permitir que Active Directory seleccione el nuevo servidor principal de operaciones de esquemas.
   O bien, haga clic en Especificar nombre y escriba el nombre del nuevo equipo servidor principal de esquemas.
4. En el árbol de consola, haga clic con el botón secundario del mouse (ratón) en Esquema de Active Directory y, a continuación, haga clic en Maestro de operaciones.
5. Haga clic en Cambiar.

• Transferir la función de servidor principal de nombres de dominio

Para transferir la función de servidor principal de nombres de dominio

1. Abra Dominios y confianzas de Active Directory
2. En el árbol de la consola, haga clic con el botón secundario del mouse (ratón) en el nodo del controlador de dominio que se convertirá en el nuevo servidor principal de nombres de dominio y, a continuación, haga clic en Conectar con el dominio.
3. Escriba el nombre del dominio o haga clic en Examinar y seleccione el dominio de la lista.
4. En el árbol de la consola, haga clic con el botón secundario del mouse en Dominios y confianzas de Active Directory y, a continuación, haga clic en Maestro de operaciones.
5. Haga clic en Cambiar.

• Transferir la función de servidor principal de identificadores relativos

Para transferir la función de servidor principal de identificadores relativos

1. Abra Usuarios y equipos de Active Directory
2. En el árbol de la consola, haga clic con el botón secundario del mouse (ratón) en el nodo del controlador de dominio que se convertirá en el nuevo servidor principal de identificadores relativos y, a continuación, haga clic en Conectar con el dominio.
3. Escriba el nombre del dominio o haga clic en Examinar y seleccione el dominio de la lista.
4. En el árbol de la consola, haga clic con el botón secundario del mouse en Usuarios y equipos de Active Directory y, a continuación, haga clic en Maestros de operaciones.
5. Haga clic en la ficha RID y, a continuación, en Cambiar.

• Transferir la función de emulador PDC

Para transferir la función de emulador PDC

1. Abra Usuarios y equipos de Active Directory
2. En el árbol de la consola, haga clic con el botón secundario del mouse (ratón) en el nodo del controlador de dominio que se convertirá en el nuevo servidor principal emulador PDC y, a continuación, haga clic en Conectar con el dominio.
3. Escriba el nombre del dominio o haga clic en Examinar y seleccione el dominio de la lista.
4. En el árbol de la consola, haga clic con el botón secundario del mouse en Usuarios y equipos de Active Directory y, a continuación, haga clic en Maestros de operaciones.
5. En la ficha PDC haga clic en Cambiar.

• Transferir la función de servidor principal de infraestructuras

Para transferir la función de servidor principal de infraestructuras

1. Abra Usuarios y equipos de Active Directory
2. En el árbol de la consola, haga clic con el botón secundario del mouse (ratón) en el nodo del controlador de dominio que se convertirá en el nuevo servidor principal de infraestructuras y, a continuación, haga clic en Conectar con el dominio.
3. Escriba el nombre del dominio o haga clic en Examinar y seleccione el dominio de la lista.
4. En el árbol de la consola, haga clic con el botón secundario del mouse en Usuarios y equipos de Active Directory y, a continuación, haga clic en Maestros de operaciones.
5. En la ficha Infraestructura haga clic en Cambiar

Autor: Moi