Что означает код NTSTATUS 0xC00002D8 (STATUS_DS_GLOBAL_CANT_HAVE_UNIVERSAL_MEMBER)?

STATUS_DS_GLOBAL_CANT_HAVE_UNIVERSAL_MEMBER

Что означает STATUS_DS_GLOBAL_CANT_HAVE_UNIVERSAL_MEMBER

STATUS_DS_GLOBAL_CANT_HAVE_UNIVERSAL_MEMBER (0xC00002D8) — глобальная группа не может содержать универсальную группу.

Что проверить

Зафиксируйте DN учётной записи/группы, выполняемую операцию и контроллер домена, который её отклонил.

• Проверьте тип группы, область действия, членство, ACL и специальные ограничения для защищённых или чувствительных объектов.
• Если операция зависит от SAM/секретов домена, сопоставьте код с событиями Directory Service/Security на том же контроллере.

Исходная формулировка

• a Global group cannot contain a Universal group as a member
• Inspect the parent’s GroupScope , the candidate group’s scope, and the domains represented by the candidate’s members. This is not a transient replication problem and it is not fixed by reissuing the same LDAP modify request.
• The parent is a Global group and the attempted nested member is Universal. Global groups are limited to accounts and Global groups from their own domain; a Universal group can represent membership from across the forest and therefore cannot be placed inside that narrower scope.
• Use a scope that matches the intended direction of membership. Often the valid layout is Global groups nested into a Universal or Domain Local group, not a Universal group nested into a Global group. Any conversion should be checked against existing nesting and access-control impact first.
• Native-mode nesting rules | Active Directory security groups | Group scope conversion rules

Технические ссылки

• Native-mode nesting rules
• Active Directory security groups
• Group scope conversion rules

Нужно найти другой код? Найти другой код состояния или ошибки.