Błąd "Failed to configure extension point keys: 2" podczas promocji kontrolera domeny Windows Server 2022

Question

Błąd "Failed to configure extension point keys: 2" podczas promocji kontrolera domeny Windows Server 2022

Mich Mag 0

Próbuję dodać nowy kontroler domeny (Windows Server 2022) do istniejącej domeny Active Directory. Promocja kończy się błędem natychmiast po rozpoczęciu instalacji, zanim nastąpi jakakolwiek komunikacja sieciowa.

Windows Server 2012 R2, drugi DC
Windows Server 2022 build 20348.4647, główny DC, wszystkie role FSMO
Windows Server 2022 build 20348.4647, nowa VM – promocja się nie udaje.

Wszystkie maszyny wirtualne na VMware.

Błąd w dcpromo.log:

06/25/2026 10:34:25 [INFO] Validating path C:\Windows\SYSVOL.
06/25/2026 10:34:25 [INFO] Path is on a fixed disk drive.
06/25/2026 10:34:25 [INFO] Path is on an NTFS volume
06/25/2026 10:34:25 [INFO] Start the worker task
06/25/2026 10:34:25 [ERROR] Failed to configure extension point keys: 2
06/25/2026 10:34:25 [INFO] The attempted domain controller operation has completed

Co zostało sprawdzone i wykluczone:

Czas systemowy – zsynchronizowany między wszystkimi DC
DNS – poprawnie skonfigurowany, replikacja działa bez błędów
Porty sieciowe – 135, 389, 445, 88, 464 otwarte
Uprawnienia rejestru – SYSTEM i Administrators mają FullControl
Aktywacja Windows – serwer aktywowany
Rola AD DS – zainstalowana poprawnie
Konto komputera w AD – istnieje, jeden obiekt, SPN poprawnie ustawione
Windows Update – system w pełni zaktualizowany (build 20348.4647)
Próba promocji ze źródłem WS 2022 oraz WS 2012 R2 – ten sam błąd

Co dokładnie oznacza błąd "Failed to configure extension point keys: 2"?

Który klucz rejestru jest tworzony w momencie wystąpienia błędu?

Jak naprawić ten błąd?

Komentarze: 0

1 odpowiedź

Twoja odpowiedź

Answer 1

Hi Mich,

Błąd Failed to configure extension point keys: 2 to wprost kod Win32 ERROR_FILE_NOT_FOUND (0x2), co oznacza, że podczas promocji DCPROMO nie jest w stanie utworzyć lub odczytać wymaganych wpisów rejestru dla punktów rozszerzeń AD DS. Operacja ta dotyczy głównie gałęzi związanych z Winlogon i AD DS, przede wszystkim HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions oraz HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters. W praktyce problem niemal zawsze wynika z uszkodzonego obrazu systemu, nieprawidłowych ACL na kluczach nadrzędnych (często złamane dziedziczenie) albo ingerencji hardeningu/antywirusa blokującego dostęp SYSTEM podczas tworzenia kluczy.

Ponieważ uprawnienia deklarujesz jako poprawne, sprawdź faktyczne dziedziczenie ACL na HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon i HKLM\SYSTEM\CurrentControlSet\Services, upewniając się że SYSTEM i TrustedInstaller mają pełną kontrolę oraz że dziedziczenie nie jest przerwane. Następnie uruchom sfc /scannow i dism /online /cleanup-image /restorehealth, bo ten konkretny błąd bardzo często pojawia się na obrazach z lekką korupcją komponentów. Jeśli to nowa VM, najszybszym i najbardziej niezawodnym rozwiązaniem jest ponowne wdrożenie maszyny z czystego ISO zamiast template’u, bo ten błąd nie wynika z komunikacji AD tylko z lokalnego stanu systemu. Dodatkowo możesz potwierdzić dokładnie brakujący klucz przez ProcMon filtrowany na RegCreateKey/NAME NOT FOUND dla procesu lsass.exe w momencie promocji, co wskaże konkretną ścieżkę powodującą wyjątek.

Harry.