Windows 2003 AD域增加域控制器的一个问题处理

本来博主想做windows server 2003 AD域的迁移，例如迁移到windows server 2012。但是在Windows Server 2012上安装好AD域，提升为域控的时候最后检查时一直出错，提示“WMI 拒绝访问”，具体内容如下。

[2018/08/30:14:55:08.268]
Adprep 无法通过 Windows 管理规范(WMI)从服务器 dc.nbhao.org 中检索数据。

[用户操作]

查看 C:Windowsdebugadpreplogs20180830145508-test 目录中的日志文件 ADPrep.log，了解可能的故障原因。
[2018/08/30:14:55:08.268]
Adprep 遇到 Win32 错误。

错误代码: 0x5 错误消息: 拒绝访问。


DSID Info:
DSID: 0x1810012a
HRESULT = 0x80070005
NT BUILD: 9600
NT BUILD: 16384

[2018/08/30:14:55:08.268]
Adprep 在执行 Exchange 架构检查时失败。

[状态/结果]

Active Directory 域服务架构未升级。

[用户操作]

查看 C:Windowsdebugadpreplogs20180830145508-test 目录中的日志文件 ADPrep.log 以查找故障的可能原因。
[2018/08/30:14:55:08.268]
Adprep 遇到 Win32 错误。

错误代码: 0x5 错误消息: 拒绝访问。


DSID Info:
DSID: 0x1810012a
HRESULT = 0x80070005
NT BUILD: 9600
NT BUILD: 16384

回过来看日志，其实就是WMI远程无法访问。

检查服务

先登录2003系统，查看一下几个服务是否开启。

COM+ Event System
Remote Access Connetion Manager
Remote Procedure Call(RPC)
Remote Registry
Server
Windows Management Instrumentation

检查配置

服务都开启后再检查下dcom的配置。

1、检查注册表

中键值 HKLMSoftwareMicrosoftOLEEnableDCOM的键值设为 Y 。

2、检查WMI是否已经安装

在运行窗口中输入 wbemtest，本地是否可以直接连接。

这样说明WMI服务本地可连接。

3、检查DCOM权限

在运行窗口中输入 dcomcnfg，打开组件服务窗口，在组件服务->计算机->我的电脑 上右键属性，选择com安全选项卡。在“访问权限”下，单击“编辑限制”。确保“Everyone”有本地访问和远程访问的权限。在“启动和激活权限”下，单击“编辑限制”。确保“Everyone”有本地启动和本地激活的权限。或者也可以更具自己实际用户选择权限。

检查“默认属性”选项卡，“在此计算机上启用分布式 COM”的勾是否已经选上。

还是在组件服务窗口，在组件服务->计算机->我的电脑->DCOM配置里找到“Windows Management and Instruments”，右键属性，检查安全选项卡里的用户权限。

4、检查WMI的权限

在运行窗口输入WMImgmt.msc，打开窗口后右击“WMI控制（本地）”，打开“WMI控制（本地）属性”，找到安全选项卡，选择root/cimv2，点击 安全设置，检查用户权限。

最后服务也起了，配置也检查了，都没什么问题，但是wbemtest远程还是无法连接。

找了多种方法，最后发现原来是dcom配置默认协议里删除了tcp/ip的关系，添加“面向连接的TCP/IP”后重启问题终于可以连接。

总结

WMI远程可以连接后，AD提升域控制器的检查就顺利完成。这次问题检查费了一段时间，这台windows server 2003 服务器应该是之前使用360或者其他软件做过安全优化，把认为危险的端口和服务都停止了。所以服务器上不要使用360或者安全狗等第三方优化软件，否则有的是坑。

参考文档：

https://social.technet.microsoft.com/Forums/lync/en-US/4f33837b-1cb1-4648-85b1-3ba87cbfe93e/wmi-remote-quotaccess-deniedquot?forum=winserverManagement

https://www.cnblogs.com/echozhjun/archive/2010/01/21/1653059.html

https://jingyan.baidu.com/article/db55b609f2be764ba20a2f60.html

http://blog.51cto.com/bingdian/20846