Event ID 4933 Windows Server, AD и Роли

Event ID 4933: Synchronization of a replica of an AD NC ended — завершение репликации

Обновлено: 28.08.2026 · Официальная документация ↗

Что означает Event ID 4933 в Active Directory

Событие Event ID 4933 фиксируется в журнале безопасности контроллера домена при успешном или аварийном завершении цикла синхронизации контекста именования с удаленным контроллером-партнером (DRA). Поле Status Code указывает результат операции (код 0 означает полный успех).

Важные параметры в теле события

Status Code: Числовой код завершения (0 = успех, ненулевое значение = ошибка).
Destination DRA: Контроллер домена, принимающий реплику.
Source DRA: Контроллер домена, передающий обновления.
Naming Context: Имя синхронизированного раздела каталога.

Устранение ненулевых кодов статуса в Event ID 4933

Важно: Если поле Status Code отлично от нуля (например, 8453, 8524 или 1722), контроллеры домена потеряли способность обмениваться данными.

Расшифровка распространенных кодов ошибок:
- 1722 (0x6BA): Сервер RPC недоступен (проблема с сетью или фаерволом).
- 8453 (0x2105): Ошибка репликации из-за отсутствия прав 'Replicating Directory Changes'.
- 8524 (0x214C): Сбой поиска DNS-записи CNAME партнера по его DSA GUID.
Проверка доступности DNS-записей контроллеров:
Проверьте корректность регистрации SRV и CNAME записей в DNS:
```
dcdiag /test:dns /v
```
Тестирование RPC-связности:
Проверьте доступность порта RPC Endpoint Mapper на сервере-источнике:
```
Test-NetConnection -ComputerName dc02.corp.local -Port 135
```
Сброс защищенного канала контроллера домена:
Если возникли проблемы с доверием между контроллерами, обновите безопасный канал:
```
nltest /sc_verify:CORP
```

💡 Практика специалистов: При мониторинге безопасности настройте триггер на событие 4933, если Source DRA исходит от IP-адреса рабочей станции, а не зарегистрированного контроллера домена — это 100% индикатор атаки DCSync.

Частые вопросы (FAQ)

Что означает Status Code 0 в событии 4933?

Код 0 подтверждает, что репликация контекста именования завершилась успешно и все объекты были переданы без ошибок.

Как найти все события неудачной репликации через PowerShell?

Выполните: Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4933} | Where-Object { $_.Properties[6].Value -ne 0 }.

Может ли событие 4933 вызываться атакой DCSync?

Да, утилиты типа Mimikatz (DCSync) вызывают события 4932/4933 при несанкционированном запросе репликации паролей от имени фальшивого DC.

Какая утилита предоставляет полный графический отчет по репликации леса?

Бесплатная утилита Active Directory Replication Status Tool (ADREPLSTATUS) от Microsoft.