Известные проблемы: распространенные предупреждения и решения в Доменные службы Microsoft Entra

Основной компонент удостоверения и аутентификации для приложений, Доменные службы Microsoft Entra, иногда испытывает проблемы. Если вы столкнулись с проблемами, обратите внимание на общие предупреждения и соответствующие шаги по устранению неполадок, которые помогут снова запустить систему. В любое время вы также можете открыть запрос в поддержку Azure для получения дополнительной помощи по устранению проблем.

В этой статье содержатся сведения об устранении неполадок для распространенных оповещений в доменных службах.

AADDS100: отсутствующий каталог

Текст предупреждения

Возможно, был удален каталог Microsoft Entra, связанный с управляемым доменом. Управляемый домен больше не является поддерживаемой конфигурацией. Microsoft не может отслеживать, управлять, обновлять и синхронизировать управляемый домен.

Решение

При перемещении подписки Azure в новый каталог Microsoft Entra обычно возникает эта ошибка. Кроме того, удаление старого каталога Microsoft Entra, связанного с доменными службами, также приводит к этой ошибке.

Эта ошибка является неисправимой. Чтобы устранить оповещение, удалите имеющийся управляемый домен и повторно создайте его в новом каталоге. Если у вас возникли проблемы с удалением управляемого домена, откройте запрос в службу поддержки Azure для получения дополнительной справки по устранению неполадок.

AADDS101: Azure AD B2C работает в этом каталоге

Текст предупреждения

Доменные службы Microsoft Entra нельзя включить в Azure AD B2C Directory.

Решение

Доменные службы автоматически синхронизируются с каталогом Microsoft Entra. Если каталог Microsoft Entra настроен для B2C, доменные службы не могут быть развернуты и синхронизированы.

Чтобы использовать доменные службы, необходимо повторно создать управляемый домен в каталоге, отличном от Azure AD B2C, выполнив следующие действия.

1. Удалите управляемый домен из существующего каталога Microsoft Entra.
2. Создайте новый каталог Microsoft Entra, который не является Azure каталогом AD B2C.
3. Создайте заменяющий управляемый домен.

Сведения о работоспособности управляемого домена автоматически обновятся в течение двух часов, и оповещение исчезнет.

AADDS103: адрес находится в общедоступном диапазоне IP-адресов

Текст предупреждения

Диапазон IP-адресов для виртуальной сети, в которой включена Доменные службы Microsoft Entra находится в диапазоне общедоступных IP-адресов. Доменные службы Microsoft Entra необходимо включить в виртуальной сети с диапазоном частных IP-адресов. Эта конфигурация влияет на способность Microsoft отслеживать, управлять, обновлять и синхронизировать управляемый домен.

Решение

Прежде чем начать, убедитесь, что вы осведомлены о частных диапазонах IP-адресов версии 4.

Внутри виртуальной сети виртуальные машины могут запрашивать ресурсы Azure в том же диапазоне IP-адресов, который настроен для подсети. При настройке диапазона общедоступных IP-адресов для подсети запросы, маршрутизируемые в виртуальной сети, могут не достичь нужных веб-ресурсов. Эта конфигурация может привести к непредсказуемым ошибкам с доменными службами.

Чтобы устранить это оповещение, необходимо удалить имеющийся управляемый домен и повторно создать его в виртуальной сети с частным диапазоном IP-адресов. Этот процесс вызывает сбои, так как управляемый домен недоступен, и все созданные вами ресурсы, такие как подразделения или учетные записи служб, теряются.

1. Удалите управляемый домен из имеющегося каталога.
2. Чтобы обновить диапазон IP-адресов виртуальной сети, найдите и выберите Virtual network в Центр администрирования Microsoft Entra. Выберите виртуальную сеть для доменных служб, которая имеет неправильно установленный диапазон общедоступных IP-адресов.
3. В разделе Параметры выберите Диапазон адресов.
4. Обновите диапазон адресов, выбрав существующий диапазон адресов и изменив его или добавив диапазон адресов. Убедитесь, что новый диапазон IP-адресов находится в частном диапазоне IP-адресов. Когда все будет готово, сохраните изменения.
5. В левой части панели навигации выберите Подсети.
6. Выберите подсеть, которую вы хотите изменить, или создайте другую подсеть.
7. Обновите или укажите диапазон частных IP-адресов, а затем Сохраните изменения.
8. Создайте заменяющий управляемый домен. Обязательно выберите обновленную подсеть виртуальной сети с частным диапазоном IP-адресов.

Сведения о работоспособности управляемого домена автоматически обновятся в течение двух часов, и оповещение исчезнет.

AADDS106: подписка Azure не найдена

Текст предупреждения

Удалена подписка Azure, связанная с управляемым доменом. Доменные службы Microsoft Entra требуется активная подписка для правильного функционирования.

Решение

Доменные службы требуют активной подписки и не могут быть перемещены в другую подписку. Если подписка Azure, с которым связан управляемый домен, удаляется, необходимо повторно создать Azure подписку и управляемый домен.

1. Создание подписки Azure.
2. Удалите управляемый домен из существующего каталога Microsoft Entra.
3. Создайте заменяющий управляемый домен.

AADDS107: подписка Azure отключена

Текст предупреждения

Ваша Azure подписка, связанная с управляемым доменом, не активна. Доменные службы Microsoft Entra требуется активная подписка для правильного функционирования.

Решение

Для доменных служб требуется активная подписка. Если подписка Azure, с которым связан управляемый домен, не активна, необходимо продлить ее для повторной активации подписки.

1. Продлите подписку Azure.
2. После продления подписки уведомление доменных служб позволяет повторно включить управляемый домен.

При повторном включении управляемого домена его работоспособность автоматически обновляется в течение двух часов, а также удаляется оповещение.

AADDS108: Подписка перемещена между каталогами

Текст предупреждения

Подписка, используемая Доменные службы Microsoft Entra, была перемещена в другой каталог. Доменные службы Microsoft Entra должна иметь активную подписку в том же каталоге, чтобы правильно функционировать.

Решение

Доменные службы требуют активной подписки и не могут быть перемещены в другую подписку. Если подписка Azure, с которым связан управляемый домен, перемещается, у вас есть два варианта:

• Переместите подписку обратно в предыдущий каталог или
• Удалить управляемый домен из существующего каталога и создать управляемый домен замены в выбранной подписке.

AADDS109. Ресурсы для управляемого домена не найдены

Текст предупреждения

Ресурс, используемый для управляемого домена, удален. Этот ресурс необходим для правильной работы Доменные службы Microsoft Entra.

Решение

Доменные службы создают ресурсы для правильной работы, таких как общедоступные IP-адреса, интерфейсы виртуальной сети и подсистема балансировки нагрузки. Если любые из вышеперечисленных ресурсов будут удалены, управляемый домен перейдет в неподдерживаемое состояние, что сделает его управление невозможным. Дополнительные сведения об этих ресурсах см. в разделе "Сетевые ресурсы", используемые доменными службами.

Это оповещение создается при удалении одного из этих необходимых ресурсов. Если ресурс был удален менее 4 часов назад, есть вероятность того, что платформа Azure может автоматически воссоздать удаленный ресурс. Ниже приведены инструкции о том, как проверить состояние и временные метки для удаления ресурсов:

1. В Центр администрирования Microsoft Entra найдите и выберите Domain Services. Выберите нужный управляемый домен, например aaddscontoso.com

2. На панели навигации слева выберите Работоспособность.

3. На странице состояния выберите предупреждение с идентификатором AADDS109.

4. Предупреждение будет отмечено меткой времени, значение которой соответствует времени первого обнаружения оповещения. Если с момента этой метки времени прошло меньше 4 часов, платформа Azure может автоматически воссоздать ресурс и устранить оповещение самостоятельно.

   По разным причинам оповещение может быть старше 4 часов. В этом случае можно удалить управляемый домен, а затем создать заменяющий управляемый домен для немедленного исправления или открыть запрос на поддержку, чтобы исправить экземпляр. В зависимости от характера проблемы поддержка может потребовать восстановления из резервной копии.

AADDS110. Подсеть, связанная с управляемым доменом, переполнена

Текст предупреждения

Подсеть, выбранная для развертывания Доменные службы Microsoft Entra, заполнена и не имеет места для дополнительного контроллера домена, который необходимо создать.

Решение

Подсеть виртуальной сети для доменных служб требует достаточных IP-адресов для автоматически созданных ресурсов. Этот диапазон IP-адресов предусматривает необходимость создания заменяющих ресурсов в случае события обслуживания. Чтобы свести к минимуму риск исчерпания доступных IP-адресов, не развертывайте другие ресурсы, такие как собственные виртуальные машины, в той же подсети виртуальной сети, что и управляемый домен.

Эта ошибка является неисправимой. Чтобы устранить оповещение, удалите имеющийся управляемый домен и заново создайте его. Если у вас возникли проблемы с удалением управляемого домена, откройте запрос в поддержку Azure для получения дополнительной помощи.

AADDS111: Учетная запись службы не авторизована

Текст предупреждения

Сервисный субъект, который используется службой доменных служб Microsoft Entra для обслуживания вашего домена, не авторизован для управления ресурсами в подписке Azure. Для обслуживания управляемого домена представитель службы должен получить права доступа.

Решение

Для управления и создания ресурсов в управляемом домене используются некоторые автоматически созданные служебные принципалы. При изменении прав доступа для одного из этих субъектов-служб домен не сможет правильно управлять ресурсами. Ниже перечислены шаги для понимания и предоставления прав доступа к служебному принципалу:

1. Узнайте о Azure управлении доступом на основе ролей и о предоставлении доступа к приложениям в Центр администрирования Microsoft Entra.
2. Проверьте доступ субъекта-службы с идентификатором abba844e-bc0e-44b0-947a-dc74e5d09022 и разрешите доступ, который ранее был запрещён.

AADDS112. Недостаточно IP-адресов в управляемом домене

Текст предупреждения

Определено, что подсеть виртуальной сети этого домена обладает недостаточным количеством IP-адресов. Доменные службы Microsoft Entra требуется по крайней мере два доступных IP-адреса в подсети, в которую она включена. Рекомендуется наличие не менее 3–5 свободных IP-адресов в подсети. Такая ситуация может происходить, если в подсети развернуты другие виртуальные машины, исчерпывающие количество доступных IP-адресов, или если наложено ограничение на количество доступных IP-адресов в подсети.

Решение

Подсеть виртуальной сети для доменных служб требует достаточно IP-адресов для автоматически созданных ресурсов. Этот диапазон IP-адресов предусматривает необходимость создания заменяющих ресурсов в случае события обслуживания. Чтобы свести к минимуму риск исчерпания доступных IP-адресов, не развертывайте другие ресурсы, такие как собственные виртуальные машины, в той же подсети виртуальной сети, что и управляемый домен.

Чтобы устранить это оповещение, необходимо удалить имеющийся управляемый домен и повторно создать его в виртуальной сети с достаточно большим диапазоном IP-адресов. Этот процесс нарушает работу, так как управляемый домен недоступен и все созданные пользовательские ресурсы, например подразделения или учетные записи служб, теряются.

1. Удалите управляемый домен из имеющегося каталога.
2. Чтобы обновить диапазон IP-адресов виртуальной сети, найдите и выберите Virtual network в Центр администрирования Microsoft Entra. Выберите виртуальную сеть для управляемого домена с небольшим диапазоном IP-адресов.
3. В разделе Параметры выберите Диапазон адресов.
4. Обновите диапазон адресов, выбрав существующий диапазон адресов и изменив его или добавив другой диапазон адресов. Убедитесь, что новый диапазон IP-адресов достаточно большой для диапазона подсети управляемого домена. Когда все будет готово, сохраните изменения.
5. В левой части панели навигации выберите Подсети.
6. Выберите подсеть, которую вы хотите изменить, или создайте другую подсеть.
7. Обновите или укажите достаточно большой диапазон IP-адресов, а затем сохраните изменения.
8. Создайте заменяющий управляемый домен. Обязательно выберите обновленную подсеть виртуальной сети с достаточно большим диапазоном IP-адресов.

Сведения о работоспособности управляемого домена автоматически обновятся в течение двух часов, и оповещение исчезнет.

AADDS113. Ресурсы невозможно восстановить

Текст предупреждения

Ресурсы, используемые Доменные службы Microsoft Entra, обнаружены в непредвиденном состоянии и не могут быть восстановлены.

Решение

Доменные службы создают ресурсы для правильной работы, таких как общедоступные IP-адреса, интерфейсы виртуальной сети и подсистема балансировки нагрузки. Если любой из этих ресурсов изменен, управляемый домен находится в неподдерживаемом состоянии и не может управляться. Дополнительные сведения об этих ресурсах см. в разделе "Сетевые ресурсы", используемые доменными службами.

Это оповещение создается при изменении одного из этих необходимых ресурсов и не может быть автоматически восстановлено доменными службами. Чтобы устранить оповещение, откройте запрос в поддержку Azure для исправления экземпляра.

AADDS114: Подсеть недопустима

Текст предупреждения

Подсеть, выбранная для развертывания Доменные службы Microsoft Entra, является недопустимой и не может использоваться.

Решение

Эта ошибка является неисправимой. Чтобы устранить оповещение, удалите имеющийся управляемый домен и заново создайте его. Если у вас возникли проблемы с удалением управляемого домена, откройте запрос в поддержку Azure для получения дополнительной помощи.

AADDS115. Ресурсы заблокированы

Текст предупреждения

Один или несколько сетевых ресурсов, используемых в управляемом домене, не могут быть использованы, так как целевая область была заблокирована.

Решение

Блокировки ресурсов можно применять к Azure ресурсам, чтобы предотвратить изменение или удаление. Так как доменные службы — это управляемая служба, платформа Azure нуждается в способности вносить изменения конфигурации. Если блокировка ресурсов применяется к некоторым компонентам доменных служб, платформа Azure не может выполнять свои задачи управления.

Чтобы проверить блокировки ресурсов на компонентах доменных служб и удалить их, выполните следующие действия.

1. Для каждого сетевого компонента управляемого домена в группе ресурсов, например виртуальной сети, сетевого интерфейса или общедоступного IP-адреса, проверьте журналы операций в Центр администрирования Microsoft Entra. В этих журналах операций должно быть указано, почему операция завершается сбоем и к какому ресурсу применяется блокировка.
2. Выберите ресурс, к которому применяется блокировка, а затем в разделе Блокировки выберите и удалите блокировку.

AADDS116. Ресурсы недоступны для использования

Текст предупреждения

Один или несколько сетевых ресурсов, используемых в управляемом домене, не могут быть использованы из-за ограничений политики.

Решение

Политики применяются к Azure ресурсам и группам ресурсов, которые управляют допустимыми действиями конфигурации. Так как доменные службы — это управляемая служба, платформа Azure нуждается в способности вносить изменения конфигурации. Если политика применяется к некоторым компонентам доменных служб, платформа Azure может не выполнять свои задачи управления.

Чтобы проверить применение политик для компонентов доменных служб и обновить их, выполните следующие действия.

1. Для каждого сетевого компонента управляемого домена в группе ресурсов, таких как виртуальная сеть, сетевой адаптер или общедоступный IP-адрес, проверьте журналы операций в Центр администрирования Microsoft Entra. В этих журналах операций должно быть указано, почему операция завершается сбоем и где применяется ограничительная политика.
2. Выберите ресурс, к которому применяется политика, а затем в разделе Политики выберите и измените политику, чтобы она содержала меньше ограничений.

AADDS120. Управляемый домен столкнулся с ошибкой подключения одного или нескольких пользовательских атрибутов.

Текст предупреждения

Свойства расширения Microsoft Entra ниже не были успешно добавлены как настраиваемый атрибут для синхронизации. Это может произойти, если свойство конфликтует с встроенной схемой: [расширения]

Решение

Просмотрите оповещение Состояние службы домена и определите, какие свойства расширения Microsoft Entra не удалось внедрить. Перейдите на страницу настраиваемых атрибутов, чтобы найти ожидаемое LDAP-имя доменных служб расширения. Убедитесь, что LDAPName не конфликтует с другим атрибутом схемы AD или что это один из разрешенных встроенных атрибутов AD.

Затем выполните следующие действия, чтобы повторить подключение настраиваемого атрибута на странице настраиваемых атрибутов :

1. Выберите атрибуты, которые были неудачными, а затем выберите Удалить и Сохранить.
2. Дождитесь удаления оповещения о работоспособности или убедитесь, что соответствующие атрибуты удалены из OU AADDSCustomAttributes присоединенной к домену виртуальной машины.
   • Примечание: Если соответствующие атрибуты не удалены из ОЕ AADDSCustomAttributes в течение дня:
     1. Убедитесь, что в разделе addIns манифеста Azure AD Domain Services Sync не содержатся соответствующие атрибуты.
        • По Portal > Регистрация приложений > выберите "Все приложения" > "Azure AD Domain Services Sync" > на левой панели > Манифест
     2. Администратор контроллера домена AADDS может вручную удалить соответствующие атрибуты из AADDSCustomAttributes ОЕ , если раздел addIns не содержит соответствующие атрибуты. Оповещение должно быть снято в течение двух часов после удаления вручную.
3. Выберите Добавить и снова выберите нужные атрибуты, а затем нажмите Сохранить.

После успешной адаптации доменные службы ретроспективно заполняют синхронизированных пользователей и группы значениями пользовательских атрибутов, прошедших предварительную настройку. Значения настраиваемых атрибутов появляются постепенно в зависимости от размера клиента. Чтобы проверить состояние заполнения запасом, перейдите в раздел Работоспособность доменных служб и убедитесь, что Синхронизация с Microsoft Entra ID имеет обновленную метку времени мониторинга в последний час.

AADDS122: обнаружен конфликт объекта групповой политики (предварительная версия)

Текст предупреждения

Обнаружен конфликт объекта групповой политики. Просмотрите параметры групповой политики на контроллерах домена.

Решение

Просмотрите параметры групповой политики доменов и исправьте записи, которые имеют проблемы. В случае, если групповую политику не удается исправить, для восстановления из резервной копии следуйте шагам, приведенным в разделе Восстановление GPO из резервной копии.

Оповещения в количестве четырех отправляются каждые 7 дней в случае конфликта с групповой политикой, если проблема не была разрешена. Через 30 дней система автоматически исправит все оставшиеся проблемы, и уведомления будут сняты.

AADDS123: обнаружено использование Kerberos RC4 для выдачи сервисных билетов

Текст предупреждения

Сервисы Доменные службы Microsoft Entra обнаружили использование Kerberos RC4 для выдачи сервисного билета, что может препятствовать обеспечению безопасности в связи с CVE-2026-20833.

Решение

Обновления безопасности Windows, связанные с CVE-2026-20833, изменяют поведение KDC Kerberos так, чтобы по умолчанию использовать AES в первую очередь, уменьшая использование RC4. Если рабочие нагрузки по-прежнему используют RC4, сбои проверки подлинности могут происходить, когда включается принудительное соблюдение.

Чтобы устранить это оповещение, выполните следующие действия.

1. Отключите RC4 из параметров безопасности управляемого домена, следуя параметрам безопасности. Если у вас нет рабочих нагрузок, устройств или служб, которые явно зависят от RC4, вам не нужно переходить к следующим шагам.
2. Включите события безопасности для управляемого домена, следуя Включение аудитов безопасности и DNS для Доменные службы Microsoft Entra. Используйте пример запроса 7 для идентификации зависимостей RC4.
3. Отслеживайте идентификаторы событий тикета Kerberos 4768 и 4769, чтобы определить зависимости RC4, которые блокируют принудительное выполнение.
4. Для учетных записей служб, синхронизированных из локальной среды с помощью Microsoft Entra Connect, которые временно требуют RC4, явно настройте значение msDS-SupportedEncryptionTypes затронутой учетной записи службы в локальной Active Directory, чтобы включить RC4, как описано в Как управлять использованием KDC Kerberos для выдачи билетов учетной записи службы с использованием RC4 в связи с изменениями, связанными с CVE-2026-20833. Обновленный атрибут синхронизируется с управляемым доменом с помощью Microsoft Entra Connect.
5. Следите за безопасностью Kerberos на уровне домена с помощью параметров безопасности и избегайте широкой поддержки RC4, если никакие другие способы устранения рисков не возможны.
6. Продолжайте мониторинг событий системы, связанных с Kerberos, и работоспособности доменных служб до тех пор, пока оповещение не будет удалено.

Состояние управляемого домена автоматически обновляется в течение двух часов и удаляет оповещение после исправления зависимостей RC4.

Самостоятельная настройка RC4

Члены группы администраторов контроллера домена AAD могут настраивать параметры отмены RC4 непосредственно в управляемом домене. Файлы конфигурации размещаются в зашифрованном общем ресурсе SMB на каждом контроллере домена.

Доступ к файлам конфигурации

Подключитесь к скрытой общей папке SMB на контроллере домена, используя следующий UNC-путь:

\\<domain-controller-name>\CustomerExecutionScripts$

Замените <domain-controller-name> именем узла контроллера домена управляемого домена. Для общего ресурса требуются шифрование SMB и следующие разрешения:

• Полный доступ кадминистраторам домена
• Изменение доступа кадминистраторам контроллера домена AAD

Общая папка содержит следующие файлы:

Использование

1. Подключитесь к общей папке CustomerExecutionScripts$ на контроллере домена.
2. Измените rc4-configuration.json, указав нужные параметры.
3. Сохраните файл.
4. Дождитесь следующего цикла оценки (примерно 10 минут).
5. Проверьте rc4-status.json, чтобы убедиться, что изменения применены.

Варианты конфигурации

Принимаются только значения, перечисленные в таблице. Недопустимые значения отклоняются, а rc4-status.json отображает ошибки проверки.

Примеры конфигураций

Начните с режима аудита, чтобы определить использование RC4 перед применением (рекомендуемый первый шаг):

{
    "version": 1,
    "rc4DefaultDisablementPhase": 1,
    "defaultDomainSupportedEncTypes": 60,
    "serviceAccountsRequiringRc4": []
}

Перейдите в режим принудительного выполнения с исключениями для отдельных служебных учетных записей:

{
    "version": 1,
    "rc4DefaultDisablementPhase": 2,
    "defaultDomainSupportedEncTypes": 24,
    "serviceAccountsRequiringRc4": ["svc-legacy-app", "svc-old-service"]
}

Проверка примененных изменений

После завершения цикла оценки проверьте rc4-status.json в той же общей папке, чтобы убедиться, что изменения применены. Каждый параметр показывает status значение:

Состояния сервисной учетной записи в rc4-status.json:

Если в файле состояния configurationValid имеет значение false, значит, в файле конфигурации есть синтаксическая ошибка или ошибка валидации. Просмотрите массив errors для получения подробных сведений и исправьте rc4-configuration.json.

Примеры статусов

Все параметры синхронизированы, исправление не требуется:

{
    "lastEvaluated": "2026-05-04T14:30:00Z",
    "lastRemediated": "2026-05-04T14:30:00Z",
    "configurationValid": true,
    "currentState": {
        "rc4DefaultDisablementPhase": {
            "desired": 1,
            "actual": 1,
            "status": "InSync"
        },
        "defaultDomainSupportedEncTypes": {
            "desired": 60,
            "actual": 60,
            "status": "InSync"
        },
        "serviceAccounts": []
    },
    "errors": []
}

Изменения, примененные к обновлениям учетной записи службы:

{
    "lastEvaluated": "2026-05-04T14:30:00Z",
    "lastRemediated": "2026-05-04T14:30:00Z",
    "configurationValid": true,
    "currentState": {
        "rc4DefaultDisablementPhase": {
            "desired": 2,
            "actual": 1,
            "status": "Applied"
        },
        "defaultDomainSupportedEncTypes": {
            "desired": 24,
            "actual": 60,
            "status": "Applied"
        },
        "serviceAccounts": [
            {
                "account": "svc-legacy-app",
                "status": "Updated",
                "previousEncTypes": 24,
                "currentEncTypes": 28
            },
            {
                "account": "svc-old-service",
                "status": "AlreadyCompliant",
                "previousEncTypes": 28,
                "currentEncTypes": 28
            }
        ]
    },
    "errors": []
}

Частичный отказ из-за ошибок учетной записи службы:

{
    "lastEvaluated": "2026-05-04T14:30:00Z",
    "lastRemediated": "2026-05-04T14:30:00Z",
    "configurationValid": true,
    "currentState": {
        "rc4DefaultDisablementPhase": {
            "desired": 2,
            "actual": 2,
            "status": "InSync"
        },
        "defaultDomainSupportedEncTypes": {
            "desired": 24,
            "actual": 24,
            "status": "InSync"
        },
        "serviceAccounts": [
            {
                "account": "svc-legacy-app",
                "status": "Updated",
                "previousEncTypes": 24,
                "currentEncTypes": 28
            },
            {
                "account": "svc-missing",
                "status": "NotFound",
                "previousEncTypes": null,
                "currentEncTypes": null
            },
            {
                "account": "svc-broken",
                "status": "Failed",
                "previousEncTypes": null,
                "currentEncTypes": null
            }
        ]
    },
    "errors": [
        "Failed to update service account 'svc-broken': Access is denied."
    ]
}

Прежде чем rc4 окончательно отключен, команда доменных служб запускает контролируемый предварительный тест зависимостей, чтобы помочь вам определить и исправить зависимости RC4. Дополнительные сведения о графике и подготовке см. в разделе Предварительное тестирование зависимостей перед прекращением поддержки RC4.

AADDS500: синхронизация не завершалась в течение длительного времени

Текст предупреждения

Управляемый домен был в последний раз синхронизирован с Microsoft Entra ID [дата]. Пользователи могут не иметь возможности войти в управляемый домен, или членство в группах может быть не синхронизировано с Azure AD.

Решение

Проверьте работоспособность доменных служб для любых оповещений, указывающих на проблемы в конфигурации управляемого домена. Проблемы с конфигурацией сети могут блокировать синхронизацию Microsoft Entra ID. Если вы можете устранить оповещения, указывающие на проблему с конфигурацией, подождите два часа и проверьте, успешно ли завершилась синхронизация.

К остановке синхронизации в управляемом домене приводят следующие распространенные причины:

• Необходимое сетевое подключение заблокировано. Дополнительные сведения о том, как проверить виртуальную сеть Azure на наличие проблем и что требуется, см. в статье поиск и устранение неполадок групп безопасности сети и в требованиях к сети для доменных служб.
• Синхронизация паролей не была настроена и не была успешно завершена при развертывании управляемого домена. Можно настроить синхронизацию паролей для только облачных пользователей или гибридных пользователей из локальной среды.

AADDS501: резервная копия не создавалась уже некоторое время

Текст предупреждения

Последняя резервная копия управляемого домена создана [дата].

Решение

Проверьте работоспособность доменных служб для оповещений, указывающих на проблемы в конфигурации управляемого домена. Проблемы с конфигурацией сети могут блокировать успешное создание резервных копий платформы Azure. Если вы можете устранить оповещения, указывающие на проблему с конфигурацией, подождите два часа и проверьте, успешно ли завершилась синхронизация.

AADDS503: блокировка из-за неактивной подписки

Текст предупреждения

Управляемый домен приостановлен, так как подписка Azure, связанная с доменом, не активна.

Решение

Для доменных служб требуется активная подписка. Если подписка Azure, с которым связан управляемый домен, не активна, необходимо продлить ее для повторной активации подписки.

1. Продлите подписку Azure.
2. После продления подписки уведомление доменных служб позволяет повторно включить управляемый домен.

При повторном включении управляемого домена его работоспособность автоматически обновляется в течение двух часов, а также удаляется оповещение.

AADDS504: блокировка из-за неправильной конфигурации

Текст предупреждения

Управляемый домен блокируется из-за неправильной конфигурации. Служба не могла исправлять и обновлять контроллеры управляемого домена, а также управлять ими в течение долгого времени.

Решение

Проверьте работоспособность доменных служб для оповещений, указывающих на проблемы в конфигурации управляемого домена. Если вы можете устранить оповещения, указывающие на проблему с конфигурацией, подождите два часа и проверьте, завершилась ли синхронизация. Когда будете готовы, откройте запрос в службу поддержки Azure для повторного включения управляемого домена.

AADDS600: нерешенные оповещения о состоянии здоровья в течение 30 дней

Оповещение

Microsoft не может управлять контроллерами домена для этого управляемого домена из-за не устраненных предупреждений о работоспособности [идентификаторы]. Это блокирует критические обновления системы безопасности для этих контроллеров домена. Выполните действия, описанные в оповещении, чтобы устранить проблему. Сбой в решении этой проблемы в течение 30 дней приведет к приостановке управляемого домена.

Решение

Проверьте работоспособность доменных служб для оповещений, указывающих на проблемы в конфигурации управляемого домена. Если вы можете устранить оповещения, указывающие на проблему конфигурации, подождите шесть часов и проверьте, удаляется ли оповещение. Откройте запрос в поддержку Azure, если вам нужна помощь.

Следующие шаги

Если у вас по-прежнему возникли проблемы, откройте запрос в поддержку Azure для получения дополнительной справки по устранению неполадок.