AD 域管理員密碼變更導致 Windows 2003 叢集管理器故障：完整排查與解決實錄

環境描述

• 兩台 Windows Server 2003 Enterprise SP2，使用內建叢集管理器實現雙機熱備。
• 節點 S-EIP-APP (10.1.1.1) 承載中介軟體應用服務；節點 S-EIP-DATA (10.1.1.2) 承載資料庫服務。
• 正常情況下單一節點故障才會資源切換。

故障現象

某晚收到告警，系統無法存取。登入 10.1.1.1 發現叢集管理器中 S-EIP-DATA 節點脫離叢集，資源 EAIEIP、Oracle Services for MSCS、OracleOraDb10g_home1TNSListenerFsloracle-vip 狀態為「失敗」，自動容錯移轉至 S-EIP-APP 亦失敗。

排查過程

1. 重啟 10.1.1.2 無效。
2. 查看 10.1.1.2 事件檢視器，大量「安全系統偵測到身份驗證錯誤，Kerberos 失敗代碼：登入無效，可能為無效用戶名或驗證訊息」錯誤。
   
3. 日誌顯示「未知的用戶名和密碼錯誤」。詢問 AD 域管理員，得知近期曾變更域管理員密碼。
4. 嘗試修改叢集服務帳號密碼：
   兩節點分別開啟「服務」→ Cluster Service →「登入」頁籤更新密碼。
   問題依舊，Oracle Services for MSCS 仍失敗，日誌仍報密碼錯誤。
   
5. 發現 OracleMSCSServices 服務亦使用域帳號，同步修改其登入密碼。
   
6. EAIEIP 資源仍失敗，錯誤指向 Oracle Fail Safe 同樣使用域管理員帳號。
   
7. 修改 Oracle Fail Safe 密碼：
   路徑：開始 → 程式 → Oracle-OFS34_Home1 → Oracle Services for MSCS Security Setup，更新 AD 域管理員新密碼。
8. 所有相關服務帳號密碼同步後，叢集管理器恢復正常，業務回復。

根因總結

系統早期規劃直接使用 AD 域管理員帳號運行叢集相關服務，後續域密碼變更未同步至各服務，導致驗證失敗、叢集功能癱瘓。最佳實踐：建立專用服務帳號、設定密碼永不過期、變更密碼時同步更新所有依賴服務。