Event ID 1988 AD: обнаружены фантомные объекты (Lingering Objects) — очистка
Симптомы обнаружения фантомных объектов (Event ID 1988)
В журнале Directory Service фиксируется критическая ошибка Event ID 1988: Active Directory Domain Services Replication encountered the existence of objects in the following partition that have been deleted from the local domain controllers database.
Репликация между данным контроллером домена и его партнером полностью блокируется защитным механизмом Strict Replication Consistency во избежание «воскрешения» удаленных учетных записей.
| Признак | Описание проблемы |
|---|---|
| Блокировка репликации раздела | repadmin возвращает ошибку 8606 / 0x219e (Insufficient attributes were given) |
| Наличие удаленных объектов | Один DC содержит объект, удаленный на других DC дольше срока Tombstone Lifetime |
| Расхождение данных AD | Удаленный пользователь отображается на одном сервере, но отсутствует на других |
Пошаговое удаление фантомных объектов (Event ID 1988)
- Определите параметры из текста события Event ID 1988: найдите Source DC GUID, Object GUID и Directory Partition.
- Удалите фантомные объекты с помощью утилиты repadmin: выполните команду на эталонном контроллере домена (содержащем актуальную базу), указав проблемный сервер:
# Синтаксис: repadmin /removelingeringobjects <Проблемный_DC> <Раздел_NC> /action
# Пример очистки раздела домена:
repadmin /removelingeringobjects DC02.domain.local aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee "DC=domain,DC=local" /advisory_mode
# После проверки отчета в журнале выполните реальное удаление (без ключа /advisory_mode):
repadmin /removelingeringobjects DC02.domain.local aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee "DC=domain,DC=local" - Очистите конфигурационные разделы и разделы DNS при необходимости:
# Очистка раздела конфигурации:
repadmin /removelingeringobjects DC02.domain.local aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee "CN=Configuration,DC=domain,DC=local"
# Очистка раздела DNS:
repadmin /removelingeringobjects DC02.domain.local aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee "DC=DomainDnsZones,DC=domain,DC=local"- Возобновите репликацию:
# Принудительная репликация после очистки:
repadmin /syncall /AePdqВнимание: Никогда не отключайте строгую согласованность репликации (Strict Replication Consistency = 0) для «быстрого решения» — это приведет к повторному распространению удаленных объектов-призраков по всей сети!
Частые вопросы (FAQ)
Что такое Lingering Object (фантомный объект)?
Это объект, который был удален на одном контроллере домена, но из-за отключения другого DC от репликации на срок, превышающий Tombstone Lifetime (180 дней), остался на нем в живом виде.
Как узнать GUID эталонного контроллера домена?
Выполните команду repadmin /showrepl на эталонном DC и скопируйте значение DSA Object GUID.
Что делает параметр /advisory_mode в repadmin?
Режим advisory только сканирует и записывает найденные фантомные объекты в журнал событий Directory Service (Event 1984), не удаляя их физически.
Сколько составляет срок жизни захороненных объектов (Tombstone Lifetime) по умолчанию?
В современных версиях Windows Server по умолчанию Tombstone Lifetime составляет 180 дней.