グループポリシーがドメインコントローラー間で複製されない

この投稿では、問題に対する最適な解決策を提供します。グループポリシー適用されていないだけでなく、適用されていないドメインコントローラー間のレプリケーション一般的な Windows Server 環境では。

GPO がドメインコントローラー間で同期または複製されていない場合は、次の理由が考えられます。

Active Directory の問題。
セットアップに応じて、1 つ以上のドメインコントローラーで問題が発生します。
遅延または遅いファイルレプリケーションサービスの問題。
分散ファイルシステム (DFS) クライアントが無効になっています。
ドメインコントローラーへのネットワーク接続。

一部のクライアントマシンは、ドメイン内に複数のドメインコントローラーがあるシナリオで、サイトメンバーシップに基づいて DC を使用します。通常、各サイトに複数の DC がある場合、クライアントは「重み」に基づいて DC を選択できますが、通常はすべての DC が「均等に重み付け」されます。クライアントマシンが別の場所にある DC を使用する可能性もあります。したがって、DC が正しくレプリケートされていない場合、これらのサーバーでホストされている SYSVOL ディレクトリには正確にミラーリングされたデータがない可能性があり、その場合、クライアントマシンがどの DC を指しているかに応じて、ワークステーションは異なる結果を取得します。

グループポリシーがドメインコントローラー間で複製されない

一般的なシナリオでは、DC が 3 つあり、そのうちの 1 つである古い DC 2012 は廃止の対象となります。他の 2 つは DC 2016 で、これは新しいもので、現在 FSMO ホルダーです。ここで、SYSVOL レプリケーションに問題があり、DC 2016 で作成された変更が DC 2012 の SYSVOL ポリシーにレプリケートされません。

したがって、エンタープライズ環境で Windows Server セットアップ上のグループポリシーが適用されず、ドメインコントローラー間でレプリケーションが機能しない場合、IT 管理者であれば、以下に順不同で示す解決策が問題の解決に役立つはずです。

Microsoft ホットフィックスを適用する
DC レプリケーションの問題の一般的なトラブルシューティング
FRS を使用した (権限のあるまたは権限のない) SYSVOL データの同期
Microsoft サポートに問い合わせる

リストされた各ソリューションに関連するプロセスの説明を見てみましょう。

1] Microsoft ホットフィックスを適用します

Windows Server 2008 R2 または 2012 を実行している DC でこの問題が発生している場合は、トラブルシューティングを開始する前に、まず次の手順を適用する必要があります。Microsoft ホットフィックスすべての DC に適用します (2012 R2 には必要ありません)。 DC には、編集後にサーバーがファイルを開いたままにし、GPO を閉じて再度開いて編集がまったく適用されていないことが判明するまで、編集が機能しているように見えるという既知の問題があります。同様に、レプリケーションは機能しているように見えますが、同じデータがすべての DC に適切にレプリケートされていないため、一部のマシンは設定を取得しますが、他のマシンは取得しません。

読む:Windows で破損したグループポリシーを修復する方法

2] DC レプリケーションの問題の一般的なトラブルシューティング

続行する前に、DC レプリケーションの問題の一般的なトラブルシューティングに関する次の予備タスクを実行できます。各タスクが完了したら、問題が解決したかどうかを確認してください。

gpupdateを強制する。実行することで始めることができますgpupdate一貫性のない結果が発生しているワークステーションから。次のような出力が得られた場合コンピュータポリシーを正常に更新できませんでしたの場合、GPO の配信に全体的な問題が発生します。
DC で NETLOGON フォルダーと SYSVOL フォルダーを確認します。。最も基本的なレベルでは、DC にはデフォルトで NETLOGON フォルダーと SYSVOL フォルダーという 2 つの共有フォルダーが必要です。これら 2 つのフォルダーが DC 上に存在しない場合、AD の問題が発生し、GPO が適切に配信されません。
スクリプトを使用してレプリケーションを強制する。次のスクリプトを使用してレプリケーションを強制できます。GitHub.com。グループポリシーは、SYSVOL にある 2 つの部分ファイルと AD のバージョン属性で構成されていることがわかっているため、スクリプトを実行すると、ドメイン内のすべての DC に変更をレプリケートする簡単な方法になります。
トラブルシューティングツールを使用する。次のようなトラブルシューティングツールを使用するDCDIAG.exe、GPOTOOL.exe、またはDFSDIAG.exeレプリケーションに問題がある場合は、どの DC が問題であるかを特定できるはずです。これが決定したら、これらの指定されたサーバー上でシステムボリューム (SYSVOL) を再構築する必要があります。サイトに複数の DC がある場合、これを行う簡単な方法は、次のコマンドを実行して問題のある DC を単純に降格することです。DCプロモ– サーバーを再起動します – その後、DCPROMO を実行してもう一度再起動します。サイトに DC が 1 つだけ存在する場合は、Burflags Windows レジストリエントリを使用して SYSVOL を再構築できます。サイト上に存在する唯一の DC を降格するには、クライアントをドメインに再度参加させる必要がある場合があることに注意してください。

読む:Windows 11/10 のグループポリシー結果ツール (GPResult.exe) を使用して設定を確認する

3] FRS を使用して (権限のあるまたは権限のない) SYSVOL データを同期する

すべての Active Directory ドメインコントローラーに存在する SYSVOL フォルダー階層は、主に DC 間でレプリケートされた 2 つの重要なデータセットを保存するために使用されますが、SYSVOL レプリケーションは Active Directory レプリケーションとは別に行われます。一方が障害を起こしても、もう一方は完全に機能する可能性があります。場合によっては、SYSVOL レプリケーションが失敗し、手動介入なしでは再開できない場合があります。その場合は、FRS を使用して SYSVOL データの権威同期 (1 つの DC に対して) または非権威同期 (複数の DC) を実行する必要があります。

ファイルレプリケーションサービス (FRS) が廃止されたために使用されていない場合、以下の手順は適用されません。ただし、Windows Server 2008 以前で作成された Active Directory ドメインではまだ使用されている可能性があります。 FRS が使用されているかどうかを確認するには、DC 上の管理者特権のコマンドプロンプトで以下のコマンドを実行します。

dfsrmig /getmigrationstate

出力に移行状態が次のように示されている場合は、排除されたの場合、FRS は使用されません。

FRS を使用して SYSVOL データの権限のある同期または権限のない同期を実行するには、次の手順に従います。

これはレジストリ操作であるため、次のようにすることをお勧めします。レジストリをバックアップするまたはシステムの復元ポイントを作成する必要な予防措置として。
非権限同期の場合は、次の場所に移動して、環境内に別の DC が存在し、その SYSVOL データのコピーが最新であることを確認します。%systemroot%\SYSVOLグループポリシーテンプレートファイルやスクリプトファイルの変更日を確認します。

完了したら、次のように続行できます。

ファイルレプリケーションサービスを停止します。
を押します。Windowsキー+Rをクリックして「実行」ダイアログを呼び出します。
[ファイル名を指定して実行] ダイアログボックスで、次のように入力します。登録編集Enter キーを押して、レジストリエディタを開く。
レジストリキーに移動またはジャンプします以下のパス:

HKLM\CCS\Services\NtFrs\Parameters\Backup/Restore\Process at Startup

その場所の右側のペインで、バーフラッグスプロパティを編集するためのエントリです。
でV値データフィールドに入力しますD4(権威のあるものに対して) またはD2(権限のない場合) 要件に応じて。
クリックわかりましたまたは Enter キーを押して変更を保存します。
レジストリエディタを終了します。
次に、ファイルレプリケーションサービスを開始します。
次に、イベントビューアを起動し、ファイルレプリケーションサービスのイベントログを確認します。アプリケーションとサービスのログ情報イベント 13516 の場合。このイベントが表示されるまでに数分かかる場合があります。
イベント 13516 が表示されたら、以下のコマンドを実行します。

net share

次に、出力に SYSVOL 共有と NETLOGON 共有が存在することを確認します。

DC が 1 つあるドメインでは、この手順中に SYSVOL データ自体が変更されるべきではありません。複数の DC があるドメインでは、権限のある同期が完了した後、他の DC の FRS イベントログにエラーまたは警告がないか確認して、他の 1 つ以上の DC で SYSVOL の非権限同期を実行する必要がある場合があります。イベント。また、影響を受ける DC の SYSVOL フォルダー階層内のデータを既知の良好な DC 上の対応するデータと比較して、データが一致していることを確認することもできます。

4] Microsoft サポートに連絡する

もしグループポリシーがドメインコントローラー間で複製されない問題が解決しない場合は、連絡する必要があるかもしれませんマイクロソフトプロフェッショナルサポート。請求はインシデントごとに行われ、チケット作成のための電話は受け付けていないため、チケットはオンラインでのみ開始する必要があります。

この投稿がお役に立てば幸いです!

読む:ドメインコントローラーへのネットワーク接続がないため、グループポリシーの処理が失敗しました

ドメインコントローラー間のレプリケーションの問題を解決するにはどうすればよいですか?

まず、Microsoft Hotfix を使用できます。これはほとんどの場合にうまく機能します。その後、コマンドプロンプトを使用して変更を強制的に更新できます。一方、FRS を使用して SYSVOL 設定を同期することもできます。それらを詳しく学びたい場合は、前述のガイドを参照する必要があります。

レプリケーションのステータスを確認するにはどうすればよいですか?

AD レプリケーションのエラーまたは問題を表示および診断するには、次のいずれかを実行できます。Microsoft サポートおよびリカバリアシスタントツールまたは、DC 上で AD ステータスレプリケーションツールを実行します。レプリケーションのステータスは、リパドミン/showrepl出力。 Repadmin は、リモートサーバー管理ツール (RSAT) の一部です。グループポリシーを変更する場合、クライアントコンピューターに変更が反映されるまで 2 時間 (90 分と 30 分のオフセット) 待つ必要がある場合があります。場合によっては、マシンを再起動するまで一部の変更が有効にならないことがあります。