Azure中创建abc.com树域并入xyz.com林同步Azure AD遇1908错误求助

开发者阿泽

2026-5-21

解决1908错误并成功创建abc.com树域同步至Azure AD

首先得说，1908错误的核心就是VM02找不到xyz.com的域控制器（也就是VM01），咱们先把这个基础连通问题搞定，再一步步完成树域创建和同步。

一、先排查修复VM02与VM01的域控制器连通性

先在VM02的命令提示符里敲 ping VM01的主机名 或者 ping VM01的私有IP，看看能不能正常通。如果不通，得检查这几点：

确保VM01和VM02在同一个Azure虚拟网络（VNet）里，或者已经通过VNet peering、VPN把两个网络打通了；
检查两台VM的网络安全组（NSG）规则，必须允许域相关的端口：TCP/UDP 53（DNS）、TCP 88（Kerberos）、TCP/UDP 135（RPC）、TCP 389（LDAP）、UDP 389（LDAP）、TCP 445（SMB）这些都得放开。

VM02必须能通过DNS找到xyz.com的DC，所以得把它的DNS服务器设为VM01的私有IP：

先去Azure门户找VM02，进「网络」->「网络接口」->「DNS服务器」，选「自定义」，添加VM01的私有IP，保存；
再在VM02本地打开 ncpa.cpl（直接在运行里输就行），右键当前网卡选「属性」，找到「Internet协议版本4（TCP/IPv4）」，点「属性」，确认DNS服务器是VM01的IP，改完重启网卡生效。

在VM02上敲 nslookup xyz.com，如果能返回VM01的IP，说明DNS配置没问题；要是不行，去VM01上看看DNS服务有没有正常运行，还有xyz.com的DNS区域是不是配置正确了。

等连通性没问题了，就可以开始建树域了：

打开VM02的「服务器管理器」，点「添加角色和功能」，选中「Active Directory域服务」，跟着向导完成安装。安装完会弹出提示，点「将此服务器提升为域控制器」。
进入配置向导后：
- 选「将域添加到现有林」，然后选「树域」；
- 父域填 xyz.com，新树域名称填 abc.com；
- 林功能级别和域功能级别跟xyz.com保持一致（都是Windows Server 2012）；
- 设置好目录服务还原模式（DSRM）的密码；
- 确认配置都对，点安装，等VM02重启完，abc.com的域控制器就部署好了。

因为已经有Azure AD Connect在VM01上跑了，只要更新一下配置就能同步abc.com的对象：

在VM01上打开Azure AD Connect向导，选「配置」，然后选「自定义同步选项」，输入Azure AD全局管理员的账号密码。
到「连接目录」那一步，确认已经连上了xyz.com的林，不用加新目录；
到「域和OU筛选」这一步，把abc.com域下你要同步的OU勾选上（要是想全同步就直接勾整个域）；
后面的步骤保持默认就行，完成配置更新后，Azure AD Connect会自动开始同步abc.com的用户、组这些对象到Azure AD。
想验证的话，去Azure门户进「Azure Active Directory」->「用户」，看看有没有abc.com的用户；或者在VM01上敲 Start-ADSyncSyncCycle -PolicyType Delta 手动触发一次同步，然后检查同步日志有没有错误。

域环境对时间同步要求很高，一定要确保VM01和VM02的时间一致，建议都配置成Azure的时间服务器；
如果建树域的时候还是报错，去VM02的事件查看器里看详细日志，比如是不是Kerberos认证的问题，要是遇到这种情况，可以先把VM02加入xyz.com域，再提升为域控制器试试。

内容的提问来源于stack exchange，提问作者Mital Parikh