Event ID 1686: сбой синхронизации раздела схемы или конфигурации KCC
Симптомы ошибки разделов конфигурации (Event ID 1686)
В журнале Directory Service фиксируется ошибка Event ID 1686: The Knowledge Consistency Checker (KCC) has detected problems with the following directory partition. The partition is either the Configuration or Schema directory partition.
| Симптом | Последствия |
|---|---|
| Отказ репликации разделов Schema / Configuration | Изменения структуры лесов и сайтов блокируются на уровне ядра каталога |
| Невозможность добавления новых DC в домен | Мастер Dcpromo падает при попытке прочитать схему леса |
| Ошибки репликации FSMO ролей | Контроллер не может связаться с владельцем роли Schema Master или Naming Master |
Пошаговое устранение сбоя раздела Schema/Configuration (Event ID 1686)
- Определите контроллеры домена, удерживающие роли Schema Master и Domain Naming Master:
# Определение владельцев ролей уровня леса:
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster- Принудительно выполните синхронизацию разделов Schema и Configuration:
# Репликация раздела схемы:
$schemaNC = (Get-ADRootDSE).schemaNamingContext
$configNC = (Get-ADRootDSE).configurationNamingContext
$schemaDC = (Get-ADForest).SchemaMaster
repadmin /replicate (hostname) $schemaDC $schemaNC /force /full
repadmin /replicate (hostname) $schemaDC $configNC /force /full- Проверьте флаг валидности схемы (Schema Update Allowed):
# Проверка разрешения на модификацию схемы в реестре:
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters" -Name "Schema Update Allowed" -ErrorAction SilentlyContinue- Запустите проверку целостности метаданных конфигурации:
# Проверка репликации раздела конфигурации:
repadmin /showrepl * /rep:configuration /errorsonlyСовет: Если раздел схемы был поврежден в результате некорректного расширения сторонним ПО, проверьте журналы schupgr.log в папке C:\Windows\Debug\.
Частые вопросы (FAQ)
Почему сбой разделов Configuration и Schema критичнее доменного раздела?
Разделы Configuration и Schema едины для всего леса. Если они не реплицируются, нарушается работа всех доменов и сайтов предприятия.
Сколько разделов схемы существует в лесу Active Directory?
В лесу Active Directory существует ровно одна копия раздела Schema и ровно один сервер-владелец роли Schema Master.
Как принудительно захватить роль Schema Master при гибели сервера?
Используйте утилиту ntdsutil (roles -> connections -> connect to server -> seize schema master) или PowerShell: Move-ADDirectoryServerOperationMasterRole -Identity "НовыйDC" -OperationMasterRole SchemaMaster -Force.
Как проверить версию текущей схемы Active Directory?
Выполните: (Get-ADObject (Get-ADRootDSE).schemaNamingContext -Properties objectVersion).objectVersion.