12341235251413

周先生，您好：

感谢您联系微软客户支持。根据您提供的信息，您在使用dcpromo命令提升域控制器时遇到了权限问题。这可能是由于缺少所需的权限或信任委派设置不正确所致。

为了解决这个问题，您可以尝试以下步骤：

1. 确保您使用的帐户具有足够的权限来执行此操作。您需要使用域管理员帐户或具有域管理员权限的帐户来提升域控制器。
2. 如果您仍然遇到问题，请尝试使用其他帐户提升域控制器，或者尝试在其他计算机上执行此操作。

希望这些步骤能够帮助您解决问题。如果您需要进一步的帮助，请随时联系我们。

      此致

敬礼!

我是先将Server加入ix.com，然后使用IX\Administrator登陆Server，提升域控制器的。其他账户的话，是要求加入Domain Admins和Adminstrators吧？

周先生，您好：

是的，如果您使用其他帐户提升域控制器，该帐户需要是域管理员组和本地管理员组的成员。这将确保该帐户具有足够的权限来执行此操作。另外，请确保您的域管理员帐户和其他帐户的密码是强密码，并且定期更改密码以确保安全性。如果您有任何其他问题，请随时联系我们。

      此致

敬礼!

确认权限是足够的，因为用其他账户加入了Administrators组，登陆服务器后，在提升域控制器时第一个环节就报错了

做了如下操作：

（1）Administrator登陆IX-DC01服务器上，在本地安全策略、用户权限分配那里，设置了信任计算机和用户账户可以执行委派，指定为Administrators。

（2）检查IX-DC01服务器上Administrators用户组包含域Administrator和本地Administrator。

（3）在FSMO操作主机HX-DC01上，对Administrator设置委派，“为信任此用户作为任何服务的委派（仅Kerberos）”。

继续事件日志，每次提升域控制器报错后，都会有这条ID1168事件的错误

参考类似报错的方案（https://learn.microsoft.com/zh-cn/troubleshoot/windows-server/identity/access-denied-create-ntds-settings-object），确认Administrators具有“添加/删除副本”权限。

但一直报错第一个图片，看看还有其他办法吗？

周先生，您好：

对于事件1168，我们提出了以下选项来解决此问题

1. 从 Active Directory 回收站还原 KRBTGT_RODC 帐户（如果已启用）。
2. 从系统状态备份还原KRBTGT_RODC帐户
3. 降级和重新升级 RODC，因为每个 RODC KRBTGT_RODC帐户都是唯一的

 将 ms-ds-krbTGT-Link 值添加回KRBTGT_RODC帐户，事件停止出现。

参考链接：

多个 DC 记录事件 1168 内部错误的情况：发生 Active Directory 域服务错误 - Microsoft 社区中心

      此致

敬礼!