目錄服務爆成員數導致跨站點同步卡死（遠端程序呼叫封包過大）— 求連結值同步分段機制解法

Question

目錄服務爆成員數導致跨站點同步卡死（遠端程序呼叫封包過大）— 求連結值同步分段機制解法

Wei-Ting Chen 80

各位資深工程師好，

最近遇到一個非常棘手的網域目錄服務同步問題，想請教一下有沒有人處理過：

我們網域裡有一個歷史悠久的大型群組，裡面的直接成員數量突破十萬個。最近只要執行跨站點同步，廣域網路連結那邊就會一直跳出連線逾時。拉紀錄分析後發現，網域控制器在同步這個群組時，嘗試把整個成員清單塞進單一遠端程序呼叫封包裡，直接衝破了封包大小上限。

理論上網域功能層級提升之後，應該要有連結值同步機制來做分段傳送，但這個舊型群組似乎卡在舊版模式而無法正常套用。

請問在不暴力清空群組的前提下，有沒有能強制觸發連結值同步分段機制的安全處置流程？感謝各位！

0 則留言

1 個回答

您的回答

Answer 1

歡迎來到 Microsoft Q&A！

感謝您提供詳細資訊。

根據您的描述，這種行為符合在 Linked Value Replication（LVR，連結值複寫）引入並於樹系啟用之前所建立的舊版群組成員資格（legacy group memberships）的典型特徵。

在 Windows Server 2003 樹系功能層級（Forest Functional Level）之前，Active Directory 會將整個 member 屬性作為單一單位進行複寫。對於非常大型的群組而言，這可能產生大量複寫流量，並可能導致 RPC 逾時或跨站台複寫失敗等問題。自 Windows Server 2003 樹系功能層級開始，Linked Value Replication（LVR） 允許個別成員連結（membership links）分別進行複寫，大幅降低複寫負擔。

然而，提高樹系功能層級並不會自動將現有的群組成員資格轉換為 LVR 格式。在啟用 LVR 之前已存在的成員資格仍會被標記為 LEGACY，並持續使用舊式複寫機制，直到這些成員資格被更新為止。

若要確認這是否為您遇到的問題，請執行以下指令：

repadmin /showobjmeta <DCName> "<GroupDN>"

請檢查輸出結果中標記為 LEGACY 的 member 屬性項目。這些項目表示相關成員資格尚未享受到 LVR 的優勢。

很遺憾，目前沒有受支援的登錄設定（Registry）、安全性相關程序、樹系層級開關（forest-wide switch）或管理命令，可以直接將現有的 Legacy 連結原地強制轉換為 LVR。

受支援的修復方式是透過移除並重新加入受影響的成員來更新這些 Legacy 成員連結。當成員重新加入後，該連結會被標記為 PRESENT，並開始使用 LVR 機制。

建議採取以下步驟：

找出被標記為 LEGACY 的成員。
將這些成員從群組中移除。
將相同成員重新加入群組。
驗證中繼資料（metadata）是否顯示為 PRESENT，而非 LEGACY。

對於包含超過 100,000 名成員的大型群組，不建議在正式環境中執行完整的清空並重新加入（clear-and-repopulate）作業。建議先在測試環境中驗證此程序，並僅針對已識別出的 Legacy 成員連結，以受控且分批的方式進行修復，以降低對複寫的影響。

簡而言之，您的懷疑是合理的。該群組可能仍包含 LVR 啟用前建立的成員連結。然而，目前沒有任何受支援的方式可以透過「切換開關」來強制對既有 Legacy 連結啟用分段複寫／LVR。受支援的解決方案是重新寫入（re-write）這些 Legacy 成員連結，使其轉換為支援 LVR 的連結。

如需更多資訊，請參閱：

Active Directory 複寫概念 | Microsoft Learn

Remediate Active Directory Members that Don't Support LVR - Scripting Blog [archived]

變更不會復寫至目標網域控制器 - Windows Server | Microsoft Learn

如果此回答對您有所幫助，請點選 Accept Answer（接受答案）。

感謝您使用 Microsoft Q&A！