DC间无法同步，复制访问被拒绝

（以下计算机名均为方便而改为简单的名字）
首先，说一下该问题出现的源头，之前公司买了一台群晖服务器，命名为PDC，而主域控的服务器名也为PDC，但是当时也没注意就将其命名为PDC的群晖服务器加入到了域中，这肯定会产生冲突，虽然马上将群晖服务器名改成了其他名字，但是主域控已经出现了问题。
首先群辉服务器无法与域控正常连接，并且无法与其他域控服务器，这里称之为GC（异地的域控服务器，与PDC相互复制）、IM（辅域控）进行同步，并且域控中逐渐有些用户出现了脱域的状态，此时在对客户机进行重新入域时会发生一些问题：
1.在入域时键入正确的PDC管理员用户密码时，始终提示用户名密码错误；
2.即使成功入域，在登录用户的账号密码时，会显示：“目前没有可用的登录服务器处理登录请求” 或 “此工作站和主域间的信任关系失败”；
3.用户在自己更新密码后，会出现还是只能用旧密码登录计算机，但是访问PDC服务器共享又需要新的密码才行。
但是在上述情况下，对于PDC的文件服务器访问又能通过域账号密码来访问，没有问题，
后来通过一个同事的方法，暂时让这些用户能正常登录电脑与共享了，在这里也分享一下：
1.将DNS设置指向到PDC的IP地址（DNS服务器也装在PDC上）；
2.对该用户在PDC上进行密码重置；
3.删除该用户所用电脑的计算机名，并重新入域，即可正常使用。
这一步完了之后我发现一个问题，PDC上无法显示刚进行入域的这台计算机的名称，不知道是否有关系，这里就没有深究了。
这里，我将在PDC上查询的各项信息贴出来给大佬们看下，跪求解决问题！
1.netdom query FSMO
C:\Users\Administrator>netdom query FSMO
架构主机               PDC.DOMAIN.COM
域命名主机        PDC.DOMAIN.COM
PDC                         PDC.DOMAIN.COM
RID 池管理器            PDC.DOMAIN.COM
结构主机       IM.DOMAIN.COM
命令成功完成。
2.nslookup
C:\Users\Administrator>nslookup
默认服务器:  localhost
Address:  127.0.0.1> set type=all
> _ldap._tcp.dc._msdcs.domain.com
服务器:  localhost
Address:  127.0.0.1_ldap._tcp.dc._msdcs.domain.com        SRV service location:
          priority       = 0
          weight         = 100
          port           = 389
          svr hostname   = PDC.domain.com
_ldap._tcp.dc._msdcs.domain.com        SRV service location:
          priority       = 0
          weight         = 100
          port           = 389
          svr hostname   = IM.domain.com
_ldap._tcp.dc._msdcs.domain.com        SRV service location:
          priority       = 0
          weight         = 100
          port           = 389
          svr hostname   = GC.domain.com
PDC.domain.com  internet address = 192.168.110.6
IM.domain.com   internet address = 192.168.110.2
GC.domain.com        internet address = 192.168.220.6
3.repadmin /syncall /force
C:\Users\Administrator>repadmin /syncall /force
回拨消息: 正在进行以下复制:
    从: 01._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
回拨消息: 发出复制命令发生错误: 8453 (0x2105):
    复制访问被拒绝。
    从: 01._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
回拨消息: 正在进行以下复制:
    从: 03._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
回拨消息: 发出复制命令发生错误: 8453 (0x2105):
    复制访问被拒绝。
    从: 03._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
回拨消息: SyncAll 已完成。SyncAll 报告以下错误:
发出复制命令发生错误: 8453 (0x2105):
    复制访问被拒绝。
    从: 01._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
发出复制命令发生错误: 8453 (0x2105):
    复制访问被拒绝。
    从: 03._msdcs.DOMAIN.COM
    到: 02._msdcs.DOMAIN.COM
4.repadmin /replsummary
C:\Users\Administrator>repadmin /replsummary
复制摘要开始时间: 2019-08-02 13:38:39正在开始用于复制摘要的数据收集，此操作可能需要一段时间:
  ......
目标 DSA            最大增量        失败/总数 %%     错误
PDC        36d.13h:50m:09s   10 /  10  100  (8453) 复制访问被拒绝。
IM             42d.18h:40m:59s   10 /  10  100  (2148074274) 目标主要名称不
正确。
GC               46m:03s    0 /  10    0
5.dcdiag
C:\Users\Administrator>dcdiag|more目录服务器诊断正在执行初始化设置:
正在尝试查找主服务器...
主服务器=PDC
*已识别的AD林。
已完成收集初始化信息。正在进行所需的初始化测试正在测试服务器:Default-First-Site-Name\PDC
开始测试:Connectivity
.........................PDC已通过测试Connectivity正在执行主要测试正在测试服务器:Default-First-Site-Name\PDC
开始测试:Advertising
.........................PDC已通过测试Advertising
开始测试:FrsEvent
.........................PDC已通过测试FrsEvent
开始测试:DFSREvent
.........................PDC已通过测试DFSREvent
开始测试:SysVolCheck
.........................PDC已通过测试SysVolCheck
开始测试:KccEvent
.........................PDC已通过测试KccEvent
开始测试:KnowsOfRoleHolders
.........................PDC已通过测试KnowsOfRoleHolders
开始测试:MachineAccount
*当前DC不在域控制器的OU中
帐户PDC不是DC帐户。该帐户无法复制。
警告:PDC的属性userAccountControl为:
0x91000=(WORKSTATION_TRUST_ACCOUNT|DONT_EXPIRE_PASSWD|TRUSTED_FO
R_DELEGATION)
DC的典型设置为0x82000=(SERVER_TRUST_ACCOUNT|TRUSTED_FOR_DELEGATI
ON)
这可能会影响复制?
.........................PDC没有通过测试MachineAccount
开始测试:NCSecDesc
.........................PDC已通过测试NCSecDesc
开始测试:NetLogons
.........................PDC已通过测试NetLogons
开始测试:ObjectsReplicated
.........................PDC已通过测试ObjectsReplicated
开始测试:Replications
[ReplicationsCheck，PDC]最近的复制尝试失败:
从GC到PDC
命名上下文:DC=ForestDnsZones,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:46。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源GC
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从IM到PDC
命名上下文:DC=ForestDnsZones,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:46。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源IM
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从GC到PDC
命名上下文:DC=DomainDnsZones,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:45。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源GC
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从IM到PDC
命名上下文:DC=DomainDnsZones,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:45。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源IM
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从IM到PDC
命名上下文:CN=Schema,CN=Configuration,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:42。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从GC到PDC
命名上下文:CN=Schema,CN=Configuration,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:45。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生883次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从IM到PDC
命名上下文:CN=Configuration,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:41。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生892次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源IM
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从GC到PDC
命名上下文:CN=Configuration,DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:42。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生892次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源GC
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从IM到PDC
命名上下文:DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:41。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生885次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源IM
复制。
在下次同步时将自动更正该问题。
[ReplicationsCheck，PDC]最近的复制尝试失败:
从GC到PDC
命名上下文:DC=DOMIAN,DC=COM
复制生成一个错误(8453):
复制访问被拒绝。
失败发生在2019-08-0212:46:45。
上次成功发生在2019-06-2623:48:30。
自从上次成功已发生888次失败。
目标PDC的计算机帐户
配置错误。
请检查userAccountControl字段。
Kerberos错误。
该计算机帐户不存在，或者与
目标、源或KDC服务器不匹配。
请验证KDC的域分区是否与企业的其他分区同步。
工具repadmin/syncall可以用于该目的。
复制延迟警告
错误:缺少期望的通知链接。
将延迟新更改和该路径的源GC
复制。
在下次同步时将自动更正该问题。
.........................PDC没有通过测试Replications
开始测试:RidManager
.........................PDC已通过测试RidManager
开始测试:Services
无效的服务启动类型:PDC上的EventSystem，当前值为DEMAND_STA
RT，要求的值为
AUTO_START
无效的服务启动类型:PDC上的IsmServ，当前值为DEMAND_START，
要求的值为AUTO_START
.........................PDC没有通过测试Services
开始测试:SystemLog
发生了一个错误事件。EventID:0x40000004
生成时间:08/02/201913:22:47
事件字符串:
Kerberos客户端收到了一个来自服务器ABC$的KRB_AP_ERR_MODIFIED错
误。使用的目标名称为cifs/IT07.DOMIAN.COM。这表明目标服务器无法解密客户端提供的
票证。当不是在目标服务正在使用的帐户上注册目标服务器主体名称(SPN)时会出现这种情
况。请确保目标SPN是在(并且仅在)服务器使用的帐户上注册的。当目标服务正在使用目
标服务帐户的其他密码而不是Kerberos密钥发行中心(KDC)的密码时也会出现这种错误。
请确保服务器和KDC上的服务均已更新为使用当前密码。如果服务器名称未完全限定，并
且目标域(DOMIAN.COM)与客户端域(DOMIAN.COM)不同，则请检查这两个域中是否有相同名
称的服务器帐户，或使用完全限定的名称标识
.........................PDC没有通过测试SystemLog
开始测试:VerifyReferences
一些与DCPDC相关的对象存在问题:
[1]问题:缺少要求的数值
基本对象:CN=PDC,CN=Computers,DC=DOMIAN,DC=COM
基本对象描述:“DC帐户对象”
值对象属性名称:frsComputerReferenceBL
值对象描述:“SYSVOLFRS成员对象”
建议操作:请参阅知识库文章:Q312862.........................PDC没有通过测试VerifyReferences
正在ForestDnsZones
上运行分区测试
开始测试:CheckSDRefDom
.........................ForestDnsZones已通过测试CheckSDRefDom
开始测试:CrossRefValidation
.........................ForestDnsZones已通过测试CrossRefValidation
正在DomainDnsZones
上运行分区测试
开始测试:CheckSDRefDom
.........................DomainDnsZones已通过测试CheckSDRefDom
开始测试:CrossRefValidation
.........................DomainDnsZones已通过测试CrossRefValidation
正在Schema
上运行分区测试
开始测试:CheckSDRefDom
.........................Schema已通过测试CheckSDRefDom
开始测试:CrossRefValidation
.........................Schema已通过测试CrossRefValidation正在Configuration
上运行分区测试
开始测试:CheckSDRefDom
.........................Configuration已通过测试CheckSDRefDom
开始测试:CrossRefValidation
.........................Configuration已通过测试CrossRefValidation正在DOMIAN
上运行分区测试
开始测试:CheckSDRefDom
.........................DOMIAN已通过测试CheckSDRefDom
开始测试:CrossRefValidation
.........................DOMIAN已通过测试CrossRefValidation正在DOMIAN.COM
上运行企业测试
开始测试:LocatorCheck
.........................DOMIAN.COM已通过测试LocatorCheck
开始测试:Intersite
.........................DOMIAN.COM已通过测试Intersite先把这些贴出来请大佬们看一下，折腾好久了，网上也查了好多资料有类似情况但是又不完全相同，在这个理先感谢大佬了。

解决方案 »

免费领取超大流量手机卡，每月29元包185G流量+100分钟通话, 中国电信官方发货

冲突造成的bug？没遇过，最坏情况，全部重置？
这个样子啊，还有其它的域控吗？把PDC从AD里删除，然后重新提升域控
如果没有的话，我也不知道怎么办了。
现有PDC（主域控）IM（辅域控）GC（异地域控）
主要的文件就在PDC上，如果删除PDC域控的话，文件权限需要重新做么
直接删除的话，域控中没有主域控是不行的吧
你的意思是先退出域控，再进去域控升级为主域控？
现在后两者是可以互通同步的，就是主域控有问题
检查下DNS中的各条记录
文件权限是基于文件系统的，即使系统重装，加回域里面，权限依然可以工作。
建议把PDC从AD里清除，然后重新提升成域控制器
我觉得Transfer FSMO role 到其他DC。  一共5个roleFlush DNS Client Cache
主要看 PDC Emulatorin power shell;Move-ADDirectoryServerOperationMasterRole -Identity "yourWorkingDCName" -OperationMasterRole 0,1,2 -Force 以上命令 seize PDC Emulator, RID master, and Infrastructure Master Roles 然后把他们assign给主机 “yourWorkingDCName"