Fui incumbido de delegar uma série de tarefas quotidianas do nosso domínio a um grupo de técnicos que não tem Domain Adminsfiliação. Uma dessas tarefas é a criação de novas raízes Dfs baseadas em domínio (Server 2008 R2 Enterprise DCs). E é aqui que estou preso.
O c0de
Isso é basicamente apenas tentar criar uma raiz Dfs baseada em domínio, usando um controlador de domínio arbitrário (primeiro na lista) como o primeiro servidor de namespace:
$DfsnRootName="test"
$DCList = Get-ADDomainController -Filter * | ForEach-Object { ,$_.HostName }
New-DfsnRoot -Path "\\domain.contoso.com\$DfsnRootName" -TargetPath "\\$($DCList[0])\$dfsnRootName" `
-Description "Dfs-Root für $DfsnRootName" -EnableAccessBasedEnumeration $true -Type DomainV2
$DCList | ForEach-Object {
New-DfsnRootTarget -Path "\\domain.contoso.com\$DfsnRootName" `
-TargetPath "\\$_\$dfsnRootName" -State Online
}
Teh err0r
O código acima está lançando uma exceção mencionando a falta de acesso a um recurso CIM. O caminho ROOT\Microsoft\Windows\DFSN\MSFT_DFSNamespacefornecido em CategoryInfo se parece com um caminho WMI:
New-DfsnRoot : Access to a CIM resource was not available to the client.
At line:1 char:1
+ New-DfsnRoot -Path "\\domain.contoso.com\$DfsnRootName" -TargetPath "\\$($DCList ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : PermissionDenied: (MSFT_DFSNamespace:ROOT\Microsoft\...FT_DFSNamespace) [New-DfsnRoot], CimException
+ FullyQualifiedErrorId : MI RESULT 2,New-DfsnRoot
PS Z:\> $Error[0].CategoryInfo
Category : PermissionDenied
Activity : New-DfsnRoot
Reason : CimException
TargetName : MSFT_DFSNamespace
TargetType : ROOT\Microsoft\Windows\DFSN\MSFT_DFSNamespace
As tentativas inúteis de resolução:
Eu tenho "permissões de gerenciamento delegado" por meio do console Dfs para todo o domínio:
que é efetivamente apenas adicionar uma ACE de "controle total" para o principal adicionado ao CN=Dfs-Configuration,CN=Systemcontêiner do AD.
E como eu estava recebendo um erro indicando permissões ausentes no Service Control Manager usando o assistente "Add Dfs root"dfsmgmt.msc em , usei sc sdset scmanagerpara manipular a string SDDL adicionando o respectivo grupo com permissões "KA" (key access), análogo ao BUILTIN\AdministratorsACE que existe por padrão.
Dessa forma, posso usar o assistente "Adicionar raiz Dfs" para percorrer todas as etapas, mas a criação da raiz em si ainda está falhando - "O servidor de namespace \ADSRV0\Test não pode ser adicionado. Acesso negado"
W00t?
