Сегодня обнаружил в журнале такую штуку.
NTDS (568) NTDSA: Индекс INDEX_00020078 таблицы datatable поврежден (0).
И еще два связанных с этой проблемой сообщения.
В ходе проверки согласованности знаний не удается завершить топологию следующего сайта.
и тп.

Все сервисы сети работают. Почитал про ошибку подробнее, сказано, что реплицироваться с дополнительным контроллером не будет до устранения.

Взял крайний ntbackup'ный архив, в котором уже эта проблема была, закинул его на виртуалку, скопировал файлы из каталога NTDS куда положено и запустил ntdsutil
Checksum прошел нормально.
Integrity выдала, что база повреждена, крайний полный бэкап тогда то, операция прервана.
recovery выполнилось нормально. Сказала, что operation completed successfully и сказала, что если завершенно успешно, сделайте семантический тест. Сделал - все тип-топ.
Но integrity все равно пишет ошибку.
Соответственно, пока на рабочем серваке решил не делать ту же последовательность.
Может так и должно быть до первой загрузки после recovery?

Чего лучше сделать в данном контексте? Варианты.
1. Использовать последний полный бэкап? Он оказался староват, аж от февраля.
2. По логам выходит, что проблема возникла с месяц назад, а я именно в этот журнал не глядел.
Может больше подойдет вариант использовать второй контроллер, на нем реплика в отличие от бэкапа должна быть как раз месячной давности. По большому счету, ничего нового за месяц не делал, права особо не менял, а вот по сравнению с февралем изменения в правах помасштабнее были.
3. Сделать тот вариант, что сделал на виртуалке, может поможет, раз recovery рапортовал об успехе? Но другая проблема, на обеде загрузился в режим восстановления AD - не могу войти, не принимает пароль. Не могу понять почему, перед перезагрузом специально сменил пароль на восстановление AD, но система его не принимает. Не могу понять почему. Встроенная учетка админа переименована в root. Пробовал всякие пароли - и на восстановление, и на обычный вход в домен, не помогло. Какую учетку для восстановления он требует?

А он при снятии роли не попытается перекинуть все дела на второй? А то еще второго косяком заразит.

Sergey Orlov
Ты когда заводил первый контроллер с АД, он требовал установить пароль на АД, вот этот пароль и надо вводить

Штука в том, что не я создавал домен. Я пароль не знал и через ntdsutil перед уходом на перезагруз специально его сменил. Но не могу понять, какое имя пользователя вбивать.
Built-in Administrator заменен на root, но система не приняла ни пароль доменного рута, ни пароль, который забил я.
Загрузился как обычно, поглядел в ADUC свойства встроенного админа, там было указано только имя pre-Windows 2000 toor, а имя входа пользователя было пустое. Поправил, жду окончания дня, чтоб перегрузиться и проверить.

В общем, проблему с косячным индексом решил через ntdsutil files recovery и дефрагментацию базы.
После этого ntdsutil files integrity прошел нормально.
Ошибки из логов ушли. Буду наблюдать, не проявится ли какой косяк.