23.07.2018

3018

DCDIAG liefert 0x00009005

Hallo,

ich weiß nicht weiter. Ich habe einen RODC installiert, der aber von den clients nicht genutzt wird, obwohl ich den User und die Workstation in der Kennwortreplikationsrichtlinie eingetragen habe.
set logonserver zeigt einen DC an.

Repadmin meldet Fehler 8341

C:\Windows\system32>repadmin /rodcpwdrepl rodc DC01 User01

Fehler beim Replizieren der geheimen Schlüssel für den Benutzer User01 vom voll
ständigen Domänencontroller <GUID=ef965cc2-3fbd-4486-a40a-ccfcedc02e68> auf den
schreibgeschützten Domänencontroller rodc.
Fehler: Ein Verzeichnisdienstfehler ist aufgetreten. (8341)

Weitere Forschungen mit DCDIAG ergaben folgenden Fehler:

Starting test: SystemLog
Fehler. Ereignis-ID: 0x00009005
Erstellungszeitpunkt: 07/23/2018 15:07:07
Ereigniszeichenfolge:
Das Zertifikat der Referenz Server für SSL hat keine angehängte Eigenschaft für Privatschlüsselinformationen. Dies kommt häufig vor, wenn ein Zertifikat nicht ordnungsgemäß gesichert wird und anschließend wiederhergestellt wird. Diese Nachricht wird auch bei einem Fehler bei der Zertifikatregistrierung angezeigt.
(Diese Meldung erscheit einige Male)

Wir haben eine zweitufige PKI in unserem AD. Ich habe aber keine Ahnung welches Zertifikat in der DCDIAG Meldung gemeint ist und wie ich das problem beheben kann.

Please help

Heini

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 381113

Url: https://administrator.de/contentid/381113

Ausgedruckt am: 22.11.2024 um 15:11 Uhr

17 Kommentare

Neuester Kommentar

Hallo Heini,
um wirklich effektiv helfen zu können ist es hilfreich mehr von der betroffenen Umgebgung zu wissen.

Steht der RODC am selben AD-Standort wie der WRDC?
Nach welcher Anleitung hast du den RODC eingerichtet?
Gibt es im Ereignisprotokoll (System, Anwendungen) auf deinen DCs relevante Fehler bzw. Warnungen?
Bitte die Ausgaben von dcdiag von allen DCs (anonymisiert) posten.

Gruß,
Dani

Hi Dani,

der RODC steht an einen via VPN verbudenen Standort mit einen Subnetzen die auch in "AD Standorte und Dienste" eingetragen sind.
Die Anleitung habe von https://www.wydler.eu/blog/2016/09/03/einen-rodc-unter-windows-server-20 ... habe ich durch einige Recherchen ergänzt.
Auf einem, von dreien, DC erhalte ich event-id 36869
Das Zertifikat der Referenz Server für SSL hat keine angehängte Eigenschaft für Privatschlüsselinformationen. Dies kommt häufig vor, wenn ein Zertifikat nicht ordnungsgemäß gesichert wird und anschließend wiederhergestellt wird. Diese Nachricht wird auch bei einem Fehler bei der Zertifikatregistrierung angezeigt.

DC01

Verzeichnisserverdiagnose

Anfangssetup wird ausgeführt:

Der Homeserver wird gesucht...

Homeserver = DC01

Identifizierte AD-Gesamtstruktur.

Identifizierte AD-Gesamtstruktur.

Identifizierte AD-Gesamtstruktur.

Identifizierte AD-Gesamtstruktur.

Guten Abend Heini,
ich glaube inzwischen, dass der Fehler nicht durch das Active Directory verursacht wird.

*Kann es sein, dass auf dem DC01 ein IIS installiert ist, der nicht auf den privaten Schlüssel des SSL-Zertifikats im Zertifikatsspeicher (Computer) zugreifen kann.

Alternativ könnte ich mir eine Gruppenrichtlinie vorstellen, welche versucht ein Zertifikat bei der PKI anzufordern, was aber fehlschlägt bzw. fehlerhaft ist.
Die PKI ist auf separaten Windows Servern installiert, die nichts anders machen (auch kein DC)?!

Gruß,
Dani

Hi,

wie ist denn die Verbindung vom RODC zum Domaincontroller ?

Realisiert mit IPSec Tunnel ?

Alles Dienste sind erreichbar zum DC (kdc etc.
https://social.technet.microsoft.com/Forums/ie/en-US/d48425ad-5cf6-4982- ...

https://social.technet.microsoft.com/Forums/ie/en-US/d48425ad-5cf6-4982- ...

Guten Morgen.

Ja, auf DC01 ist die zweite Stude der PKI installiert und auch ein IIS.
Oha wie kann ich "der nicht auf den privaten Schlüssel des SSL-Zertifikats im Zertifikatsspeicher (Computer) zugreifen kann." das prüfen?

Alternativ könnte ich mir eine Gruppenrichtlinie vorstellen, welche versucht ein Zertifikat bei der PKI anzufordern, was aber fehlschlägt bzw. fehlerhaft ist.
Jeder Server bekommt automatisch ein Zertifikat, warum und wie das genau funktioniert weiß ich gerade nicht, muss ich recherchieren. Läauft schon so lange ...

Die PKI ist auf separaten Windows Servern installiert, die nichts anders machen (auch kein DC)?!
ok, sollte ich ändern. Muss ich planen...

Gruß
Heini

Langsam kommt wieder Licht ins Dunkel.

Unsere zweistufige PKI ist an dem Hauptstandort. Die Root CA ist offline die Untergeordnete CA ist leider noch auf einem DC.

Die Zweigstelle ist per IPSec angebunden alle Ports zwischen den DCs und dem RODC sind offen.

Ich habe gestern auf beiden CA die CRL aktualisiert, und die veralteten Zertifikate für
Verzeichnisdienst-E-Mail-Replikation, Kerberos-Authentifizierung und Domänencontrollerauthentifizierung aktualisiert und die alten gelöscht. Anschließen alle DCs und RODC neu gestartet.

Unter Zertifikate - Dienste habe ich:
Konsolenstamm
Zertifikate - Dienst (Active Directory-Domänendienste) auf lokalem Computer
NTDS\Eigene Zertifikate
Zertifikate
DC01.domain.intern ( im Icon mit Schlüssel (Sie besitzen einen privaten Schlüssel für dieses Zertifikat))
domain-intern-DC01-CA
domain-INTERN-Root-CA

Wenn ich mir mit "openssl s_client -showcerts -connect DC01:636" das Zertifikat anzeigen lasse bekomme ich eine Kette aus
Certificate chain
0 s:/CN=DC01.domain.intern
i:/DC=intern/DC=domain/CN=domain-intern-DC01-CA

BEGIN CERTIFICATE-----

END CERTIFICATE----- 1 s:/DC=intern/DC=domain/CN=domain-intern-DC01-CA i:/CN=DOMAIN-INTERN-Root-CA BEGIN CERTIFICATE-----

END CERTIFICATE-----

Im eventlog auf Server DC01 erscheint dann Ereignis-ID 36869
Das Zertifikat der Referenz Server für SSL hat keine angehängte Eigenschaft für Privatschlüsselinformationen. Dies kommt häufig vor, wenn ein Zertifikat nicht ordnungsgemäß gesichert wird und anschließend wiederhergestellt wird. Diese Nachricht wird auch bei einem Fehler bei der Zertifikatregistrierung angezeigt.

Vielen Dank
Heini

Hi,

funktioniert den jetzt die Anmeldung am RODC ?

MFG

Ich habe leider nach wie vor das Probelm

Das Zertifikat der Referenz Server für SSL hat keine angehängte Eigenschaft für Privatschlüsselinformationen. Dies kommt häufig vor, wenn ein Zertifikat nicht ordnungsgemäß gesichert wird und anschließend wiederhergestellt wird. Diese Nachricht wird auch bei einem Fehler bei der Zertifikatregistrierung angezeigt.

Fehler. Ereignis-ID: 0x00009005

Ich weiß nicht welches Zertifikat das sein soll. Openssl liefert folgendes

openssl s_client -showcerts -connect 192.168.5.1:636

CONNECTED(00000003)
depth=2 CN = domain-INTERN-Root-CA
verify return:1
depth=1 DC = intern, DC = domain, CN = domain-intern-DC01-CA
verify return:1
depth=0 CN = DC01.domain.intern
verify return:1
---
Certificate chain
0 s:/CN=DC01.domain.intern
i:/DC=intern/DC=domain/CN=domain-intern-DC01-CA

BEGIN CERTIFICATE-----
Bla

END CERTIFICATE-----
1 s:/DC=intern/DC=domain/CN=domain-intern-DC01-CA
i:/CN=domain-INTERN-Root-CA

BEGIN CERTIFICATE-----
bla

END CERTIFICATE-----
---
Server certificate
subject=/CN=DC01.domain.intern
issuer=/DC=intern/DC=domain/CN=domain-intern-DC01-CA
---
No client certificate CA names sent
Client Certificate Types: RSA sign, DSA sign, ECDSA sign
Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Shared Requested Signature Algorithms: RSA+SHA512:ECDSA+SHA512:RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1
Peer signing digest: SHA1
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 4358 bytes and written 483 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-SHA384
Session-ID: 6B31000036E8CCDE92945C1364D55F00271BB5566496967E46918AB802453EEB
Session-ID-ctx:
Master-Key: 16350105BDB84E157BDC681CDA4D12858F1DC6F7329FFA4B355E823C5583921DB85EB938E501712CFF4DA60837A6A302
Key-Arg : None
Krb5 Principal: None
PSK identity: None
PSK identity hint: None
Start Time: 1532429561
Timeout : 300 (sec)
Verify return code: 0 (ok)
---

Ist das OK so?

OK, der Groschen ist gefallen. Wenn man die Logs im Ereignisprotokoll löscht, verschwinden auch die Fehler in DCDIAG.

Auf dem RODC beibt aber folgende Meldung:

C:\Windows\system32>repadmin /rodcpwdrepl rodc dc01 user01

Fehler beim Replizieren der geheimen Schlüssel für den Benutzer user01 vom voll
ständigen Domänencontroller <GUID=ef965cc2-3fbd-4486-a40a-ccfceded2e68> auf den
schreibgeschützten Domänencontroller rodc.
Fehler: Ein Verzeichnisdienstfehler ist aufgetreten. (8341)

C:\Windows\system32>repadmin /prp view rodc user01
RODC "CN=RODC,OU=Domain Controllers,DC=domain,DC=intern":
Prinzipal CN=user01,OU=Benutzer,DC=domain,DC
=intern befindet sich in der Zulassungsliste des schreibgeschützten Domänencontr
ollers.

Ich habe jetzt mal mit Wireshark geschaut was reapadmin macht. Die Verbindung geht auf Port 389 und nicht 636. Der DC schickt als Antwort
0000208d nameerr dsid 03100238 problem 2001 no_object data 0 best match of

Hi,

und wenn du den RODC nochmal runterstufst und neu zur Domäne hinzufügst ?
Für mich sieht es so aus , ob die Domäne nicht repliziert wurde.
MFG

Guten Abend Heini,

Ja, auf DC01 ist die zweite Stude der PKI installiert und auch ein IIS.

Warum man das eigentlich nicht macht, muss ich hoffentlich nicht näher ausführen. Der Fehler wird nicht durch das AD bzw. GC/DC verursacht sondern durch den IIS bzw. PKI. Ist eine etwas längere Geschichte.

Oha wie kann ich "der nicht auf den privaten Schlüssel des SSL-Zertifikats im Zertifikatsspeicher (Computer) zugreifen kann." das prüfen?

Wenn es ein 0815 Zertifikatstemplate ist, ist der Export des privaten Schlüssels deaktiviert. Dies ist nur über die Anpassung des Templates zu ändern. Danach muss das Zertifikat erneut ausgestellt werden. Darum hat man eine Spielwiese um sowas im Vorfeld ausführlich zu testen und zu dokumentieren.

C:\Windows\system32>repadmin /rodcpwdrepl rodc dc01 user01

Führst du den Befehl aus dem RODC aus oder auf dem DC01? Da du mehrere WRDC hast, müsstest du auch klären welcher WRDC der Replikationspartner ist. Denn ich meine, nur dieser kann Einträge auf den RODC replizieren.

Gruß,
Dani

Hi Dani,

die Zertifikatsprobleme sind vorerst behoben.

C:\Windows\system32>repadmin /rodcpwdrepl rodc dc01 user01

Führst du den Befehl aus dem RODC aus oder auf dem DC01? Da du mehrere RWDC hast, müsstest du auch klären welcher RWDC der Replikationspartner ist. Denn ich meine, nur dieser kann Einträge auf den RODC replizieren.

Ich habe den Befehl auf dem RODC ausgeführt. Auch gegen alle RWDC`s mit gleichem Fehler. Wenn ich auf dem RODC LDP starte, kann ich mich gegen alle RWDC´s problemlos verbinden.

C:\Windows\system32>repadmin /showrepl

Repadmin: Befehl "/showrepl" wird für den vollständigen DC "localhost" ausgeführt
SITE_B\RODC
DSA-Optionen: IS_GC DISABLE_OUTBOUND_REPL IS_RODC
Standortoptionen: (none)
DSA-Objekt-GUID: 8bff0711-c78b-482d-af6e-7a109247c87
DSA-Aufrufkennung: 970737e7-ba82-4624-bd7b-ed512abd684

EINGEHENDE NACHBARN=====================================

DC=domain,DC=intern
SITE_A\DC01 über RPC
DSA-Objekt-GUID: ef965cc2-3fbd-4486-a40a-ccfcedd02e68
Letzter Versuch am 2018-07-25 14:06:55 war erfolgreich.

CN=Configuration,DC=domain,DC=intern
SITE_A\DC01 über RPC
DSA-Objekt-GUID: ef965cc2-3fbd-4486-a40a-ccfcedd02e68
Letzter Versuch am 2018-07-25 14:06:54 war erfolgreich.

CN=Schema,CN=Configuration,DC=domain,DC=intern
SITE_A\DC01 über RPC
DSA-Objekt-GUID: ef965cc2-3fbd-4486-a40a-ccfcedd02e68
Letzter Versuch am 2018-07-25 14:06:55 war erfolgreich.

DC=ForestDnsZones,DC=domain,DC=intern
SITE_A\DC01 über RPC
DSA-Objekt-GUID: ef965cc2-3fbd-4486-a40a-ccfcedd02e68
Letzter Versuch am 2018-07-25 14:06:55 war erfolgreich.

DC=DomainDnsZones,DC=domain,DC=intern
SITE_A\DC01 über RPC
DSA-Objekt-GUID: ef965cc2-3fbd-4486-a40a-ccfcedd02e68
Letzter Versuch am 2018-07-25 14:06:55 war erfolgreich.

Gruß
Heini

Wenn ich in "Active Directory-Benutzer und Computer" die Eigenschaften des RODC ansehe, stehen unter "Kennwortrichtlinie - Erweitert - Konten, deren Kennwörter auf diesem Schreibgeschützten DC gespeichtert werden" drei Rechner und drei User. ??

Gruß
Karsten

Guten Abend Karsten,

ich habe gerade kein Zugriff auf eines unserer Systeme. Ich meine aber, dass von diesen 6 Konten jeweils das Passwort auf dem RODC zwischengespeichert wird.

Ist dein Benutzer user1 auch drin? Ich vermute mal die Antwort lautet nein.

Gruß,
Dani

Hallo.

Der Befehl repadmin /rodcpwdrepl rodc DC01 User1 liefert immer noch den Fehler
Fehler beim Replizieren der geheimen Schlüssel für den Benutzer dose vom vollstä
ndigen Domänencontroller <GUID=ef965cc2-3fbd-4486-a40a-ccfeeed02e68> auf den schreibgeschützten Domänencontroller rodc.
Fehler: Ein Verzeichnisdienstfehler ist aufgetreten. (8341)

Aber die Anmeldung an den rodc klappt nun, bzw er wird als logonserver angezeigt.