gOxiA=苏繁=SuFan Blog

HOWTO:解决 Hyper-V 下 DC 出现的 Time-Service ID12 警告信息

        当我们将 DC 部署在虚拟机中时极有可能会遭遇 Time-Service ID12 的警告信息，参考 TechNet Library 使用 w32tm 重新配置时间源即可解决问题，此外在执行前建议在 Hyper-V 控制台中修改当前虚拟机的配置，将 Integration Services 下的 Time synchronization 复选去掉。

        之后打开 CMD 环境，键入如下命令：

        之后重新启动 Windows Time Service，为此键入：

        最后重新同步事件源，为此键入：

        重新启动服务器后该警告信息不再出现，参考资料：Event ID 12 – Domain Hierarchy Time Source Acquistion

HOWTO:解决 ActiveDirectory_DomainService ID1220 故障

        Windows Server 2008 ActiveDirectory 环境下可能会出现 ActiveDirectory_DomainService ID1220 故障问题，内容大致为“由于服务器无法获取证书，通过安全套接字层（SSL）的 LDAP 此时无法使用。”如下图所示：

        在 TechNet Library 中提供了解决方案，只需要将企业根证书导入到本地服务账号中 Active Directory Domain Services 的 NTDS＼个人 下即可！为此，运行 MMC 控制台并添加 证书 单元，选择服务账户，之后选择本地计算机，最后选择 Active Directory Domain Services。

        选中 NTDS＼个人，鼠标右键单击选择 所有任务 下的 导入，跟随向导选择已经导出并存储在本地的企业根证书。

        完成导入后重新启动服务器，故障解决！参考文档：Event ID 1220 – LDAP over SSL

  HOWTO:解决 WinRM 服务无法创建以下SPN… 的 WinRM ID10154 警告

        当在 Windows Server 2008 R2 上安装 Active Directory 服务后，重新启动服务器会收到类似“WinRM 服务无法创建以下 SPN: /WSMAN/DC.contoso.com; WSMAN/DC。”的警告！来自于系统日志，事件来源：Windows Remote Management，事件ID：10154。具体的错误信息如下图所示。

        根据事件属性中的提示使用 setspn.exe 创建了相关的 SPN 未果，又在网上使用中文关键词进行了查询仍没有任何收获，而使用英文时能找到几篇相关的帖子，根据提示进行了排错也都未能解决问题（让使用 Adsiedit 修改 CN=AdminSDHolder 的安全属性）。最后没辙，通过微软中文技术论坛向 Partner Support 寻求帮助，得到的解答与网上搜索到使用 Adsiedit 修改相关安全属性的方法一致，但是唯一不同的是要修改 CN=ServerName 的安全属性，赋予 Network Service 账号对该对象有”已验证的到服务主体名称的写入（Validated Write to service principal name）”的权限。由于解答中权限部分使用的是英文，害得 gOxiA 理解了半天，不过还好最终算是解决了！赋予了账号权限后，重新启动 WinRM 服务，会发现“WinRM ID10154”警告消失（出现的“WinRM ID10149”警告可以忽略）。

        最后补充一下出现该警告的原因是：Network Service 在这个 Object 上没有相关的 ACE，所以 WinRM 没能建立日志中提到的 SPNs。