Strict Replication Consistency и висячие объекты (Lingering Objects) в AD
Симптомы блокировки репликации из-за висячих объектов
В журнале Directory Service контроллера домена регистрируются события Event ID 1988 или Event ID 1388: «Active Directory Domain Services Replication has encountered the existence of lingering objects in the local partition». Репликация с партнером полностью блокируется механизмом Strict Replication Consistency для предотвращения распространения удаленных объектов-призраков.
| Событие | Причина | Статус репликации |
|---|---|---|
| Event ID 1988 | Обнаружен висячий объект (Lingering Object), удаленный дольше периода Tombstone Lifetime | Заблокирована входящая репликация с данным DC |
| Event ID 1388 | Попытка записи висячего объекта в локальную базу NTDS | Заблокирована запись объекта |
| repadmin /showrepl: Error 8606 | The replication operation encountered a database error (0x219E) | Отказ репликации раздела домена |
Пошаговое удаление висячих объектов и восстановление репликации
- Найдите проблемный висячий объект в тексте события Event ID 1988: в описании события указан GUID партнерского DC, GUID объекта и его Distinguished Name (DN).
- Удалите висячие объекты с помощью утилиты repadmin: выполните очистку на здоровом контроллере домена:
# Удаление висячих объектов без отключения защиты (выполнять на DC, зафиксировавшем ошибку):
repadmin /removelingeringobjects ИМЯ_СБОЙНОГО_DC GUID_ЭТАЛОННОГО_DC dc=vashdomen,dc=local /advisory_mode
# После проверки логов удалите объекты в реальном режиме (без advisory_mode):
repadmin /removelingeringobjects ИМЯ_СБОЙНОГО_DC GUID_ЭТАЛОННОГО_DC dc=vashdomen,dc=local- Включите строгую согласованность репликации (Strict Replication Consistency) на всех DC: убедитесь, что защита активна:
# Включение строгой согласованности на всех контроллерах домена леса:
repadmin /regkey * +strict- Запустите репликацию заново:
# Принудительная синхронизация раздела:
repadmin /syncall /ApdqeВнимание: Никогда не отключайте строгую согласованность (repadmin /regkey -strict) на постоянной основе! Это приведет к воскрешению тысяч старых удаленных пользователей и групп (reanimated objects) по всему предприятию.
Частые вопросы (FAQ)
Что такое висячий объект (Lingering Object) в Active Directory?
Это объект, который был удален на одном DC, но сохранился на другом DC, отключенном от сети на срок, превышающий время жизни захоронения (Tombstone Lifetime, обычно 180 дней).
Какой стандартный срок Tombstone Lifetime в Windows Server?
Для всех современных лесов Windows Server значение по умолчанию составляет 180 дней (ранее в старых системах было 60 дней).
Как узнать Tombstone Lifetime вашего домена через PowerShell?
Выполните: (Get-ADObject (Get-ADRootDSE).ConfigurationNamingContext -Properties tombstoneLifetime).tombstoneLifetime.
Что делать, если контроллер домена был выключен более 180 дней?
Его категорически запрещено включать в рабочую сеть. Выполните понижение роли в изолированной сети или удалите его метаданные через Remove-ADDomainController.