# 網域控制站執行 DCDiag 發現 NCSecDesc 測試失敗的解法

今天因為公司有需求必須架設壹台 **唯讀網域控制站** (RODC) 起來，由於我公司裡有兩台 DC，基本上運作沒啥問題，不疑有他的直接開始安裝，不過安裝過程實在是非常的不順利，問了幾個人都說 **RODC** 很簡單，也從來沒有人遇過有裝不起來的狀況（突然驚覺我經常遇到這種很背的事），不過還好後來還是解決了，特別記錄一下解決問題的過程筆記。

安裝第一部 RODC 之前，您必須先執行 **adprep /rodcprep** 命令。RODC 必須從執行 Windows Server 2008 的網域控制站複寫網域資料。因此，在決定 RODC 位置時，複寫乃是最重要的考量。

基本上我在 Windows Server 2008 的完整安裝上安裝 RODC，相關步驟請參考【[部署 RODC 的步驟](http://technet.microsoft.com/zh-tw/library/cc754629\(WS.10\).aspx)】，但是安裝到最後一步時卻發生以下錯誤：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/9aaeff6494ff836e56d3-image_581.png)

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/0979ae2077edb6903d9d-image_582.png)

這個問題實在讓我覺得莫名其妙，難道我的 AD 又髒掉了嗎？前幾天才剛設定好壹台 DC 並沒有發生任何複寫問題，而我用 [Repadmin](http://technet.microsoft.com/zh-tw/library/cc778305.aspx) 也查不出問題，且 **adprop /rodcprep** 也都執行過了，AD 物件與權限照理說應該都妥當設定才對，不過當我用 [網域控制站診斷工具 (DCDiag)](http://technet.microsoft.com/zh-tw/library/cc776854\(WS.10\).aspx) 檢查後才發現真正的問題：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/039960f2c8d28817ca56-image_583.png)

要解決這個問題，就必須靠 **adsiedit.msc** 工具來協助設定。以上圖為例，我一開始也看不太懂這句話的意思，後來才理解出這四行描述所表達的意思：**<Domain>\\Enterprise Read-only Domain Controllers** 這個物件在 **CN=Configuration,DC=<domain>,DC=<name>,DC=<name>** 這個節點沒有 **Replicating Directory Changes** 的存取權。其設定的方式如下：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/eedc52b5a218dc481cf2-image_584.png)

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/f8bced11af39383e8aad-image_585.png)

記得要選取 **Configuration** 這項，因為錯誤訊息所表示的就是這個 **naming context**：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/b6bd6f8ea94be6fa4d53-image_586.png)

以下是中文版的畫面：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/d1e44436495744f71e28-image_587.png)

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/efb0c05d852ae7f90494-image_588.png)

最後我們新增這個 **<domain>\\Enterprise Read-only Domain Controllers** 群組進來，並將 Replicating Directory Changes 權限勾選「允許」，再按下確定即可。

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/1fa3f8e99945616684a7-image_589.png) 

以下是中文版畫面：

![](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/422db10d0a9d8e33067c-image_590.png)

如此一來就大功告成！

雖然 RODC 安裝的問題已解決，但唯一無解的是為什麼我的 AD 就是比其他人少了這項權限呢？ Orz

**相關連結**

-   [唯讀網域控制站逐步指南](http://technet.microsoft.com/zh-tw/library/cc772234\(WS.10\).aspx)
-   [Domain Controllers doesn't have Replicating Directory Changes In Filtered Set](http://portal.sivarajan.com/2010/08/domain-controllers-doesn-have.html)
-   [Known Issues for Installing and Removing AD DS](http://technet.microsoft.com/en-us/library/cc754463\(WS.10\).aspx) / [安裝和移除 AD DS 的已知問題](http://technet.microsoft.com/zh-tw/library/cc754463\(WS.10\).aspx)