Samba-tool dbcheck - erfolgloses Fixing bei nTSecurityDescriptor

Hallochen!

Ein Samba-DC ist eine MS-AD-Domäne als 2.DC integriert. Beim Aufruf von samba-tool dbcheck werden am Ende 671 Objekte mit 392 Fehlern benannt. Laut der Konsolenausgabe geht es in allen Fällen um "Not fixing nTSecurityDescriptor on ". Wird das Kommando mit --fix --yes ergänzt, dann wird das zwar ausgeführt, aber letztlich ohne Wirkung. Die bisherige Recherche deutet darauf hin, dass es sich um irgendein ACL-Problem handeln könnte. Betroffene Objekte sind zum Beispiel "CN=Folder Operators,OU=Security Groups, ..." oder "CN=Password Settings Container,CN=System, ..."

Wer könnte mir einen hilfreichen Tipp geben, wie das Fixing zum Erfolg geführt werden kann? Liegt es am root auf dem Samba-DC und dessen Berechtigungen? Ist es ein Replikationsproblem?

Hintergrund: Ursprünglich originäre W2k3R2-Domäne (mit Ex2k3); später auf W2k8R2 (mit Ex2010) migriert; bisher fehlerloser / störungsfreier AD-Betrieb; nunmehr Samba-DC hinzugefügt. Laut Stichproben-Vergleich im ADSI-Explorer stimmen die betroffenen Objekte auf beiden DC sowohl bei den Attributen als auch bei der Sicherheit-Registerkarte überein.

Schon vorab Danke für Anregungen und Hilfstellungen.

LG HansDampf06