Windows Server 2003 域控制器缺少 SYSVOL 與 NETLOGON 共享完整排解指南

副本域控制器 (或新網域首個 DC) 常出現缺少 SYSVOL 與 NETLOGON 共享問題，導致群組原則、登入腳本無法運作。本文依微軟官方知識庫整理完整排查步驟：檢查 NTDS 連接物件、驗證 AD 複寫、確認 FRS 複寫來源、檢查共用資料夾權限、驗證 DNS 解析等關鍵點。

核心排查步驟

1. NTDS 連接物件：使用 dssite.msc (站台與服務) 檢查問題 DC 與上游 DC 之間是否存在雙向入站連接物件。若無，執行「檢查複寫拓撲」強制 KCC 建立，或手動建立連接物件。刪除重複連接物件 (事件 ID 13557)。
2. Active Directory 複寫：使用 repadmin /showreps 確認同站台 5 分鐘、跨站台 3 小時 (最短 15 分鐘) 複寫正常。在事件檢視器啟用 NTDS 診斷日誌 (註冊表 HKEY_LOCAL_MACHINE\System\CCS\Services\NTDS\Diagnostics\Replication Events = 5) 並強制複寫觀察事件。
3. FRS 複寫來源：Dcpromo 重啟後，FRS 先嘗試從註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTFRS\Parameters\SysVol\DomainName 指定的「副本集父伺服器」取得 SYSVOL。若該來源無共享，需透過 NTDS 連接物件從入站夥伴複寫。確認所有潛在來源 DC 已共用 NETLOGON/SYSVOL 並套用預設網域控制器原則。
4. SYSVOL 資料夾結構：正確結構應包含 domain\Policies\{GUID}\{MACHINE,USER}、scripts (NETLOGON 共享)、staging 等目錄。
5. 權限檢查：確保「從網路存取這台電腦」權限授予「企業網域控制器」群組 (預設網域控制器原則)。應用程式日誌事件 1704 或對 Basicdc.inf (Server 2003 用 security.inf) 執行安全性設定分析驗證。
6. DNS 解析：每個 DC 必須能解析 (ping) 加入副本集之其他 DC 的 FQDN。

依序完成上述檢查與修正，即可恢復 SYSVOL/NETLOGON 共享，確保群組原則與登入腳本正常下發。