Migration AD2003 vers AD2008 R2 -> problème licences TSE, Source Microsoft-Windows-TerminalServices-Licensing EventID 4105

Salut à tous
J’ai rencontré un bel incident suite au remplacement de contrôleurs de domaine Windows 2003 par des contrôleurs de domaine Windows 21008 R2 (via update de schéma + DCPROMO + DCPROMO INVERSE).

DESCRIPTION DU PROBLEME :
Suite à la migration des contrôleurs de domaine Windows 2003 R2 vers Windows 2008 R2, certains utilisateurs n’arrivaient plus à se connecter sur les serveurs Terminal Server. Les messages d’erreurs suivants remontaient au niveau du serveur de licences TSE.
Log Name:      System
Source:        Microsoft-Windows-TerminalServices-Licensing
Date:          23/07/2010 11:51:30
Event ID:      4105
Task Category: None
Level:         Warning
Keywords:      Classic
User:          N/A
Computer:      lic.msreport.local
Description:
The Remote Desktop license server cannot update the license attributes for user “guillaume mathieu” in the Active Directory Domain “msreport.local”. Ensure that the computer account for the license server is a member of Terminal Server License Servers group in Active Directory domain “msreport.local”.
If the license server is installed on a domain controller, the Network Service account also needs to be a member of the Terminal Server License Servers group.
If the license server is installed on a domain controller, after you have added the appropriate accounts to the Terminal Server License Servers group, you must restart the Remote Desktop Licensing service to track or report the usage of RDS Per User CALs. Win32 error code: 0x80070005

Sur le serveur TSE, l’erreur suivante était présente :
Nom du journal :System
Source :       Microsoft-Windows-TerminalServices-RemoteConnectionManager
Date :         23/07/2010 12:10:04
ID de l’événement :1004
Catégorie de la tâche :Aucun
Niveau :       Information
Mots clés :    Classique
Utilisateur :  N/A
Ordinateur :   tse.msreport.local
Description :
Le service Terminal Server ne peut émettre une licence client.  Cela peut être dû à une modification de licence de client ne correspondant plus, à un manque de mémoire ou à une erreur interne. Il se peut que d’autres informations à ce sujet aient été affichées sur l’ordinateur du client.

SOLUTION :
Le problème provenait du fait qu’en schéma Windows 2008 R2, 3 nouveaux attributs gèrent les licences CALL TSE par utilisateur.
Hors par défaut pour les utilisateurs créés avec une MMC 2003, le groupe “Serveurs de licences TSE” n’a pas les droits pour écrire au niveau de ces attributs.
La solution consiste à utiliser l’assistant délégation d’administration pour déléguer aux groupes “Serveurs de licences TSE” les droits :
– Read Terminal Server license server
– Write Terminal Server license server

Merci à Microsoft de corriger ce bug car cela devrait être géré par la commande ADPREP /DOMAINPREP.

Pour plus d’informations
http://social.technet.microsoft.com/Forums/en-US/winserverTS/thread/1dc6a51e-c204-4323-95f9-e77abe3bad85
http://support.microsoft.com/kb/2030310

A+
Guillaume MATHIEU
Le bonheur, c’est le partage.