¿Qué significa el código NTSTATUS 0xC00002DC (STATUS_DS_HAVE_PRIMARY_MEMBERS)?

STATUS_DS_HAVE_PRIMARY_MEMBERS

Qué significa STATUS_DS_HAVE_PRIMARY_MEMBERS

La relación de grupo primario es especial: una cuenta puede apuntar al RID del grupo mediante primaryGroupID sin aparecer como miembro explícito en member/memberOf. Por eso un grupo aparentemente vacío puede seguir siendo security-relevant.

STATUS_DS_HAVE_PRIMARY_MEMBERS protege esa relación cuando se intenta convertir el grupo a distribution/security-disabled. La corrección exige mover de forma controlada los primary members, no forzar el cambio de groupType.

Qué comprobar

• Obtenga el RID del SID del grupo.
• Busque cuentas cuyo primaryGroupID coincida con ese RID.
• Cambie primero la relación de primary group con herramientas soportadas.
• Revalide permisos antes de convertir el grupo a distribution.

Referencias técnicas

• Microsoft Open Specifications: valores NTSTATUS
• primaryGroupID attribute
• AD DS primary-group definition
• Changing group scope or type