Exchange 2013创建DAG后新增成员服务器报错“用户'NT AUTHORITY\SYSTEM'无法验证计算机账户‘DAG’”，“目前没有可用的登录服务器，无法处理登陆请求。”
问题
全部回复
-
您好，
请问您在新建DAG时是否在ADUC中已经重新启用了该DAG?
>请问是不是还漏了什么端口没开？
对于DAG和DC之间，也就是Exchange服务器和DC之间的网络通信，您需要打开所有端口：
根据我的研究，报错“用户'NT AUTHORITY\SYSTEM'无法验证计算机账户‘DAG’”，是由于该DAG缺少相应的权限。请您再次检查权限是否有问题。
而报错“目前没有可用的登录服务器，无法处理登陆请求。”
请您检查以下几点：
- 客户端本地连接的DNS是否指向域里的DNS服务器
- DNS服务管理里面是否出现了两个客户端指向一个IP
- 域控强制Kerberos验证使用TCP协议，以防止丢包
- 设置[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters] "MaxPacketSize"=dword:00000001
- 用命令“PING 域控IP -t ”查看是否有ping不通丢数据包情况
如果仍然无法添加成员，请您检查 %系统盘%:\ExchangeSetupLogs\DagTasks文件夹下的add-databaseavailabiltygroupserver日志，其中会有报错的详细记录。
您也可以将包含错误的记录分享出来，以便更好的排查错误。请注意将日志中包含的私人信息进行打码处理。
并且您也可以按照此文章的指引创建一个新的DAG进行测试：创建数据库可用性组。
此致,
Lou
如果以上回复对您有所帮助，建议您将其“标记为答复”. 如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnsf@microsoft.com.
- 已建议为答案 ZhengqiLou 2021年1月25日 6:34
- 取消建议作为答案 ZhengqiLou 2021年1月29日 1:12
-
您好，
感谢您的回复！但是十分抱歉，我这边看不到您上传的截图，如果可以的话请您重新上传一下或者复制报错的文字（请注意一定要遮盖私人信息）。
我在我的环境中做了测试，也复现了相同的错误：
错误信息具体为：A server-side database availability group administrative operation failed. Error The operation failed. CreateCluster errors may result from incorrectly configured static addresses. Error: Computer account 'DAG1' couldn't be validated by user 'NT AUTHORITY\SYSTEM'. Error: An attempt to use the specified cluster name failed because an enabled computer object with the given name already exists in the domain. [Server: Exchange2016-1.contoso.com]
之后我在ADUC里为Exchange Trusted Subsystem添加了完全控制权，并Disable了DAG1账户，然后创建成功。
我的具体测试步骤：
- 在ADUC里创建新的Computer，不做任何更改。
- 在EAC中创建同名DAG,创建时出现警告，创建成功。
- 添加成员服务器，失败报错。
- 在ADUC中为Exchange Trusted Subsystem添加完全控制权限然后Disable DAG的账户，然后添加成员成功。
在此之前没有对DNShostname进行修改，因为该属性会在添加成员时自动设置。也没有为添加DAG的A记录。
关于端口问题，Exchange服务器与服务器间的端口您需要开放443，25，80，587，其他的您可以参考这个官方文档：Exchange 中的客户端和邮件流的网络端口
而对于域控制器和Exchange服务器之间的端口，如果您需要使用Kerberos验证，您也可能需要打开464端口以适用于密码更改。如何为 Active Directory 域和信任配置防火墙
还有这篇英文官方文章：Active Directory and Active Directory Domain Services Port Requirements也有关于AD和域控制器之间需要开放的端口。
另外关于第二个错误，应该是由于AD账户和服务器没有按照正确的方式相互通讯。您可以尝试登录本地管理员账户，脱离该域再重新加入。
如果该问题继续发生，请您说明一下时什么操作引起了这个错误，还有错误的详细信息。
此致,
Lou
如果以上回复对您有所帮助，建议您将其“标记为答复”. 如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnsf@microsoft.com.
- 已建议为答案 ZhengqiLou 2021年1月29日 1:12
-
您好，
感谢您的回复，关于端口的话，464端口适用与Kerberos验证的密码修改，您需要打开这个端口才能修改密码。
您可以参考我之前提供的这篇文章：如何为 Active Directory 域和信任配置防火墙。
请问您是在Windows Firewall上设置了入站出站规则来限制端口么，可以的话请您提供下规则和端口号，以便我进行一个更详细的测试。
关于您提供的报错信息: 群集API失败“opencluster因0x6d9而失败”，根据我的了解，的确可能与防火墙有关，但该错误也有不同的报错信息，比如以下截图。您能否重试一下添加成员，然后分享一下错误信息？（在提供信息时请您注意给私人信息打码，以防泄露）
非常抱歉回复您的时间有点晚，希望您周末愉快。
此致,
Lou
如果以上回复对您有所帮助，建议您将其“标记为答复”. 如果您对我们的论坛支持有任何的建议，可以通过此邮箱联系我们：tnsf@microsoft.com.
- 已建议为答案 ZhengqiLou 2021年2月11日 8:44
