Tombstone Lifetime überschritten: Domain Controller sauber zurückholen

Donnerstagmorgen, 8 Uhr: In der Außenstelle läuft wieder der Server, der seit dem Frühjahr im Lager stand. Er ist ein Domain Controller. repadmin meldet Fehler 8614, im Protokoll steht Ereignis 2042, und der letzte erfolgreiche Replikationsvorgang liegt über 200 Tage zurück. Willkommen bei der überschrittenen Tombstone Lifetime.

Was ist die Tombstone Lifetime?

Wird ein Objekt im Active Directory gelöscht, verschwindet es nicht sofort. Es wird zu einem Tombstone, einem Grabstein mit wenigen Restattributen, und dieser Grabstein repliziert zu allen DCs. So erfährt jeder DC von der Löschung.

Wie lange der Grabstein erhalten bleibt, legt die Tombstone Lifetime (TSL) fest. Danach entfernt ihn die Garbage Collection endgültig. Sie läuft standardmäßig alle 12 Stunden auf jedem DC. Der Wert steht im Attribut tombstoneLifetime. Ist es nicht gesetzt, gilt ein Standardwert, der davon abhängt, auf welchem Betriebssystem der Wald ursprünglich erstellt wurde:

dsquery * "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=contoso,DC=com" -scope base -attr tombstonelifetime

Steht dort nichts, gilt der Standardwert. Ein auffällig kleiner Wert erklärt Fehler 8614 auch nach kurzen Ausfällen.

Warum der DC nicht mehr replizieren darf

Der alte DC hat die Löschungen der letzten Monate nie erhalten, und die Grabsteine sind auf den anderen DCs längst weg. Er kann also nie mehr erfahren, dass diese Objekte gelöscht wurden. Solche Objekte heißen Lingering Objects. Würde er normal replizieren, kämen gelöschte Benutzer und Gruppen zurück. Deshalb stoppt Active Directory die Replikation mit diesem Partner. Fehler 8614 ist eine Quarantäne, kein Defekt.

Diagnose: Ist die TSL wirklich überschritten?

1. Ereignis 2042 und Fehler 8614

Ereignis 2042 im Protokoll „Directory Service“ meldet: Die Zeit seit der letzten Replikation mit dem Quell-DC hat die Tombstone Lifetime überschritten, die Replikation wurde gestoppt. Häufig kommt Ereignis 1925 dazu.

Get-WinEvent -FilterHashtable @{LogName='Directory Service'; Id=2042,1925,1988,1388} |
  Select-Object TimeCreated, Id, MachineName, Message | Format-List

2. Letzter Erfolg in repadmin

repadmin /showrepl zeigt je Partner das Ergebnis 8614 (0x21a6), die Zahl der Fehlversuche und den Zeitpunkt „Last success“. Liegt der weiter zurück als die TSL, ist der Fall klar. Für den Überblick über alle DCs:

repadmin /showrepl DC-AST01
repadmin /replsummary
repadmin /showrepl * /csv > C:\ISW\showrepl.csv
dcdiag /s:DC-AST01 /test:replications

3. Zeit und Partner prüfen

Ein Zeitsprung um die TSL erzeugt dasselbe Fehlerbild. Deshalb Datum und Uhrzeit in Ereignissen und mit w32tm /query /status prüfen. Außerdem auf den Partnern nach den Ereignissen 1988 und 1388 suchen: Sie zeigen, dass Lingering Objects bereits angekommen sind.

Beheben: DC entfernen und neu aufbauen

Zuerst den alten DC vom Netz trennen und die FSMO-Rollen mit netdom query fsmo ermitteln. Dann ist der Neuaufbau der Standardweg. Ein DC, der monatelang aus war, hat ohnehin kaum eigene Änderungen, die verloren gehen könnten.

1. Auf dem alten DC, weiterhin ohne Netz, erzwungen herabstufen und herunterfahren.
2. Sofort auf einem gesunden Replikationspartner die Metadaten bereinigen, inklusive DNS-Einträgen und Serverobjekt in „Standorte und Dienste“.
3. FSMO-Rollen prüfen und bei Bedarf auf einen gesunden DC übernehmen.
4. Den Server neu als DC installieren und die Replikation prüfen.

# 1. auf DC-AST01 (ohne Netz)
Uninstall-ADDSDomainController -ForceRemoval -DemoteOperationMasterRole `
  -LocalAdministratorPassword (Read-Host 'Lokales Admin-Kennwort' -AsSecureString)

# 2. auf DC01
ntdsutil "metadata cleanup" "connections" "connect to server DC01" q "remove selected server CN=DC-AST01,CN=Servers,CN=Aussenstelle,CN=Sites,CN=Configuration,DC=contoso,DC=com" q q

# 3. auf DC01
netdom query fsmo
Move-ADDirectoryServerOperationMasterRole -Identity DC01 `
  -OperationMasterRole PDCEmulator, RIDMaster, InfrastructureMaster -Force

# 4. auf DC-AST01 nach Neuinstallation bzw. Domänenbeitritt
Install-ADDSDomainController -DomainName contoso.com -SiteName Aussenstelle -InstallDns -Credential (Get-Credential)
repadmin /replsummary
dcdiag /v /c /e /q

Hat er doch repliziert? Partner auf Lingering Objects prüfen

Wurde die Quarantäne aufgehoben oder fehlte Strict Replication Consistency auf den Partnern, reicht der Neuaufbau nicht. Dann werden die Partner gegen einen gesunden Referenz-DC geprüft. Microsoft empfiehlt dafür Lingering Object Liquidator v2, alternativ repadmin – immer erst im Beratungsmodus:

repadmin /showrepl DC01          # objectGuid des Referenz-DCs
repadmin /removelingeringobjects DC02 <objectGuid-DC01> "DC=contoso,DC=com" /advisory_mode
repadmin /removelingeringobjects DC02 <objectGuid-DC01> "DC=contoso,DC=com"
repadmin /regkey * +strict

Das für jeden betroffenen DC und jede Partition wiederholen, auch für Konfiguration und Schema. Der letzte Befehl aktiviert Strict Replication Consistency auf allen DCs, damit Lingering Objects nicht mehr unbemerkt zurückkehren.

Fallstricke

Vorbeugen und Compliance

• Server, die länger aus waren, zuerst ohne Netzwerk starten und Zeit sowie letzten Replikationserfolg prüfen
• Den letzten Replikationserfolg aller DCs täglich auswerten: bei 50 Prozent der TSL handeln, bei 90 Prozent über die erzwungene Herabstufung entscheiden
• Ereignisse 2042, 1925, 1988 und 1388 zentral alarmieren
• Strict Replication Consistency auf allen DCs aktivieren
• tombstoneLifetime auslesen und dokumentieren
• DCs, die nicht mehr gebraucht werden, sauber herabstufen statt sie einzulagern

Das zahlt direkt auf die Anforderungen ein: BSI IT-Grundschutz APP.2.2 (Active Directory Domain Services) und DER.4 (Notfallmanagement) sowie NIS2 Art. 21 Abs. 2 lit. c mit der Aufrechterhaltung des Betriebs und dem Krisenmanagement.

Fazit

Fehler 8614 ist die Notbremse des Active Directory, nicht der Fehler. Wer sie per Registry löst, holt sich gelöschte Objekte in den ganzen Wald zurück. Isoliert einschalten, sauber entfernen, neu aufbauen – mit einem zweiten gesunden DC ist das in 60 bis 120 Minuten pro DC erledigt.