Windows Server 2012 R2 Essentials迁移FSMO时DCPROMO报访问被拒绝

• Windows Server Essentials SKU的硬限制：和无角色数限制的数据中心版不同，Windows Server Essentials全版本默认规定域内仅允许存在1台运行Essentials SKU的域控制器，部署第二台Essentials版本DC会触发内置校验拦截，这是你数据中心版迁移正常、Essentials迁移失败的最常见原因。
• 高优先级GPO覆盖权限配置：你在默认域控制器策略中配置的权限，可能被更高优先级的GPO（比如设置了强制生效、链接在域根层级的策略）覆盖，导致实际生效的权限未包含你的操作用户组。
• Kerberos票据未更新：配置权限后未重新登录、未清空旧的Kerberos票据，导致权限变更未生效，所以whoami /all查询到的权限状态仍为Disabled。
• SYSVOL文件损坏：默认域控制器策略的本地配置文件损坏，即使策略显示应用成功，实际权限配置未写入系统。
• UAC权限过滤：执行DCPROMO时未使用提升权限的PowerShell，UAC自动过滤了高权限，导致操作时权限不足。

1. 验证Essentials版本限制
   在现有2012 R2 Essentials服务器上执行Get-WindowsFeature WindowsServerEssentials查看Essentials角色配置，同时查看事件查看器中「应用和服务日志- Windows Server Essentials」日志，确认是否存在多DC限制的相关告警。如果确实要部署第二台DC，需将新服务器替换为标准版/数据中心版Windows Server 2019，跳过Essentials SKU的限制。
2. 排查组策略优先级
   在你执行DCPROMO操作的用户上下文下，执行gpresult /h gpresult_report.html生成组策略结果报告，查看「用户权限分配」中「Enable computer and user accounts to be trusted for delegation」的最终生效配置，确认是否有高优先级GPO删除了管理员组的该权限。
3. 验证权限生效状态
   在2012 R2域控制器上用域管理员账户登录，打开提升的PowerShell执行klist purge清空所有Kerberos票据后重新登录系统，再次执行whoami /priv查看SeEnableDelegationPrivilege的状态，如果仍为Disabled，可使用ntrights工具手动配置权限：

ntrights +r SeEnableDelegationPrivilege -u "你的域名\域管理员用户名"

4. 检查默认域控制器策略文件完整性
   打开路径C:\Windows\SYSVOL\domain\Policies\{6AC1786C-016F-11D2-945F-00C04fB984F9}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf，确认该默认域控制器策略的安全模板中存在SeEnableDelegationPrivilege条目，且值包含域管理员组、企业管理员组对应的SID。
5. 临时禁用UAC远程过滤
   在待提升的2019服务器上打开注册表，定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System，新建DWORD值LocalAccountTokenFilterPolicy，设置值为1，重启服务器后右键PowerShell选择「以管理员身份运行」，再次执行DCPROMO命令测试。
6. 配置计算机账户委派属性
   打开2012 R2服务器上的「Active Directory用户和计算机」，找到已加入域的2019服务器的计算机账户，打开属性-委派选项卡，选择「信任此计算机来委派任何服务（仅Kerberos）」，保存配置后重试操作。

内容的提问来源于stack exchange，提问作者Ivo Kubita