6425A Microsoft AD 2008 Learning (Star-s) день пятый6425A: Configuring and Troubleshooting Windows Server® 2008 Active Directory® Domain Services
Тренер: Егор Полосухин
день 5.
Мониторинг Active DirectoryReliability and Performance Monitor, есть возможность создавать алерты с уведомлением.Monitoring Active Directory - http://technet.microsoft.com/ru-ru/library/bb727046(en-us).aspxActive Directory Baseline -Deploying Active Directory for Branch Office Environments Chapter 9 – Post Deployment Monitoring of Domain Controllers - http://go.microsoft.com/fwlink/?LinkId=99516
Active Directory auditing (Аудит AD).настройка: вкл. аудит в GPO (Security Settings – Local Policies – Audit Policy)и в свойствах индивидуальных групп тоже необходимо проставить Аудит. AD DS Auditing Step-by-Step Guide (Пошаговое руководство по аудиту изменений в доменных службах Active Directory в Windows Server 2008) там же список Event’ов. - http://technet.microsoft.com/ru-ru/library/cc731607(WS.10).aspx Windows Event Collector – CMD: wecutil qc (Y)
Windows Remote Management - winrm quickconfig and Y
Вопросы архивирования, восстановления AD.работа базы AD :
Ntds.dit – Файл базы
Edb*.log – transaction log file
Edb.chk – checkpoint file
ebdres00001.jrs and ebdres00002.jrs – reserved transaction log files (используются если нет места на диске)How the Data Store Works - http://go.microsoft.com/fwlink/?LinkId=101077
Утилита для обслуживания базы AD – ntdsutil.exe- перенос файла базы- дефрагментация файла базы- делать снапшоты базы (для оффлайн просмотра)- управлять ролями FSMO
dcpromo /forceremoval – принудительное удаление AD (если недоступен GC или другие DC леса)после этого ntdsutil /metabasecleanup (для очистки AD и GC от DC и доменов не существующих)Смотреть справку к NTDSUTIL
Data Store Tools and Settings - http://go.microsoft.com/fwlink/?LinkId=101078
Каждые 12 часов происходит «очистка мусора в базе AD», в том числе и дефрагментация. для оффлайн дефрагментации базы, остановка служб AD:- загрузиться в DSRM режиме- В 2008 можно остановить службу DSntdsutil – files – d:tmp (будет создана фрагментированная копия базы)Performing offline defragmentation of the Active Directory database - http://support.microsoft.com/kb/232122
перенос файлов базы (по умолчанию c:windowsntds): - остановить службу базы - ntdsutil – files – move db to d:NTDS (для логов move db to d:NTDS ) как обезопасить DC: минимальный набор сервисов для AD DS
- Active Directory Domain Services
- DNS Client
- NetLogon
- TCP/IP NetBIOS Helper
- Windows Time
- Workstation
- Distributed File System
- DNS Server
- File Replication Service
- Kerberos Key Distribution Center
- Intersite Messaging
- Remote Procedure Call (RPC) Locator
- Security Configurations Wizard
Security Configuration Wizard Overview - Общие сведения о мастере настройки безопасности -
http://technet.microsoft.com/ru-ru/library/cc757550(WS.10).aspx
Архивирование DC: что бэкапит System State Data:
Registry
COM+ Class Registration database
Boot files, as described earlier in this topic
Active Directory Certificate Services database
AD DS database
SYSVOL directory
Cluster service information
Microsoft Internet Information Services (IIS) metadirectory
System files that are under Windows Resource Protection
утилита - Windows Server Backup :The system volume: This hosts the boot files, which consists of the Bootmgr file and the Boot Configuration Data (BCD) store.
The boot volume: This hosts the Windows operating system and the Registry.
The volume that hosts the SYSVOL tree.
The volume that hosts the AD DS database (Ntds.dit).
The volume that hosts the AD DS database log files.
Step-by-Step Guide for Windows Server 2008 Active Directory Domain Services Backup and Recovery - http://go.microsoft.com/fwlink/?LinkId=101087Пошаговое руководство по архивации и восстановлению данных в доменных службах Active Directory - http://technet.microsoft.com/ru-ru/library/cc771290(WS.10).aspx Wbadmin (командная строка)WBAdmin Start Systemstatebackup –backuptarget:E: Восстановление DC:Windows RE (Recovery Enviroment) – начать установку с носителя Windows, войти в консоль восстановления. Рекомендуемая книжка: Active Directory Disaster Recovery, Expert guidance on planning and implementing Active Directory disaster recovery plans, Florian Rommel.
Рекомендуемая стратегия восстановления: поднять в виртуалке дополнительный домен контроллер в отдельном сайте с расписанием репликачии побольше. тем самым удалив кого-то на DC, мы на отдельном сайте можем поднять номер версии для объекта тем самым он перезапишеться на основном DC. Вариант восстановления - normal restore (не позволяет восстановить удаленные объекты):- загрузка в DSRM (F8) или перед перезагрузкой bcdedit /set safeboot dsrepairвходим под учеткой DSRM (отдельный пароль для восстановления AD)- WBackup (из ночной базы)- Репликацией приходят изменения.
Вариант восстановления – Authoritative restore:- загрузка в DSRM (F8) или перед перезагрузкой bcdedit /set safeboot dsrepairвходим под учеткой DSRM (отдельный пароль для восстановления AD)- WBackup (из ночной базы)- для увеличения номера версии объекта в базе, ntdsutil:authoritative restore - restore subtree DistinguishedName- Adrestore (снимаем пометку Tomb stone), теряет членство в группах и т.п. Использование моментальных снимков (database snapshots)ntdsutil – snapshop c:snap1просмотр снимка при помощи утилиты Dsamain, будет доступен при помощи стандартных средств работы с AD на отдельно выбранном порту.Database Mounting Tool - http://go.microsoft.com/fwlink/?LinkId=101089Доменные службы Active Directory: средство подключения баз данных - http://technet.microsoft.com/ru-ru/library/cc753246(WS.10).aspx
AD DS troubleshooting- event log- System Center Operations Manager 2007
Overview of Active Directory Troubleshooting - http://go.microsoft.com/fwlink/?LinkId=101093
| Problem |
Troubleshooting Guidelines |
| Physical network issues |
- Use Ipconfig to verify the user’s IP address, subnet mask, gateway and name servers.
- Verify the client can ping the server by IP address.
|
| Name resolution issues |
- Verify the client can ping the server by name.
- Use DNS Manager or NSlookup to verify that the DNS server is correctly resolving names.
- Verify that the DNS server has correct SRV resource records for all domain controllers.
- Verify that no improper name resolution method, such as an incorrect host file, is being used.
- Use Ipconfig on the client to flush the resolver cache.
|
| Login issues |
- Use NetDiag to verify that the client can contact its domain controller.
- Use Active Directory Users and Computers, or Computer Management to verify that the username/password is correct.
- Verify that the correct domain or local computer name has been chosen.
- Verify the token SmartCard certificate or configuration.
- Use AD Users and Computers to verify that the user account is not locked out, or does not have time/location restrictions.
- Use gpresult or AD resultant set of policy (RSoP) to verify that the client is using time the correct authentication protocol.
- Use the NET TIME command to verify the time synchronization between client and domain controller.
- Use Repadmin to verify that user account changes have been replicated to the domain controller processing the logon request.
|
| Unavailable server or service |
- Use the Control Panel Services Applet or the Event Viewer to verify that the service is running and has not stalled.
- Verify that the others can connect to the same service.
|
| Resource Access Control List restrictions |
- Verify permissions on the resource ACL, including AD DS permissions.
- Check user group memberships.
|
| Configuration issues |
- Verify correct configuration of user account, client, server, service, and network devices.
- Verify that there is no client/server/intermediate device firewall blocking the connection.
|
| Group Policy |
- Use gpresult.exe, or AD RSoP to identify Group Policy and logon script issues. Use gpupdtate.exe to update policy on the client without rebooting.
|
Windows Server 2003 Active Directory Branch Office Guide - http://go.microsoft.com/fwlink/?LinkId=101095
Analyzing performance data – Анализ данных о производительности - http://technet.microsoft.com/ru-ru/library/cc784871(WS.10).aspx
Проблемы с разрешением DNS (Diagnosing Name Resolution Problems) - http://technet.microsoft.com/ru-ru/library/cc959340(en-us).aspx тестирование DNS соединений : NetDiagсброс DNS cache: ipconfig /flushdns
просмотр DNS кэш: ipconfig /displaydns, на сервере в консоли.
проверка регистрации A записи в DNS: dcdiag /test:registerindns /dnsdomain:<domain FQDN> /v проверка соединений DNS с DC (DNS): dcdiag /test:dnsдля регистрации SRV записей нужно перегрузить сервис netlogon на DC
Проблемы зональное передачи: Troubleshooting zone problems – Устранение неполадок зон - http://technet.microsoft.com/ru-ru/library/cc737346(WS.10).aspx
Проблемы с репликацией.порты используемые при репликации AD:
| LDAP |
udp 389
tcp 389 |
| LDAP (SSL) |
udp 636
tcp 636 |
| Kerberos |
udp 88
tcp 88 |
| DNS |
udp 53
tcp 53 |
| SMB over IP |
udp 445
tcp 445 |
| Global Catalog Server |
tcp 3269
tcp 3268 |
Troubleshooting Active Directory Replication Problems - http://technet.microsoft.com/ru-ru/library/cc738415(WS.10).aspx Утилита repadmin.синтаксис: repadmin command arguments [/u:[domain]user /pw:{password|*}]repadmin /showrepsrepadmin /showvectorrepadmin /showconnrepadmin /replicaterepadmin /syncall синтаксис: dcdiag command arguments [/v /f:LogFile /ferr:ErrLog ].тесты dcdiag /test:Connectivity
Replications
NetLogons
Intersite
FSMOCheck
Services
Kccevent
Topology Sysvol релицируется старой службой FRS, средства диагностики FRS:Ntfrsutl sets servernameNtfrsutl forcerepl servername /r SetName /p DNSNameFRSDiagDfsradmin healthTroubleshooting File Replication Service - http://go.microsoft.com/fwlink/?LinkId=101112
Replication of Group Policy settings between domain controllers fails - http://go.microsoft.com/fwlink/?LinkId=101113
Решение проблем с GPO.На данный момент нет средств позволяющих проталкивать групповые политики на клиенты. как посмотреть тикеты на клиенте: утилита kerbtray, позволит понять зашел ли юзер под кешированными полномочиями. Netdiag
Ping
NSlookup
Set
Kerbtray Group Policy Troubleshooting - http://technet.microsoft.com/ru-ru/library/cc736961(WS.10).aspx
Group Policy reporting
GPResult
Gpotool
Gpupdate
Dcgpofix
GPOLogView
Group Policy Management ScriptsGPMonitor.exe
Links:
GPO в системноми реестре
HKLMSoftwarePolicies
HKLMSoftwareMicrosoftWindowsCurrentVersionPolicies
HKCUSoftwarePolicies
HKCUSoftwareMicrosoftWindowsCurrentVersionPolicies
Fixing Administrative Template policy setting problems - http://technet.microsoft.com/ru-ru/library/cc780392(WS.10).aspxTroubleshooting Group Policy application problems – Устранение неполадок, связанных с применением групповой политики - http://support.microsoft.com/kb/250842 Проблемы с запуском скриптов через GPO: режимы: – асинхронно (по умолчанию – startup) - синхронно (по умолчанию – logon) Информация о скриптах режит в реестре на клиентских машинах:
HKCUSoftwarePoliciesMicrosoftWindowsSystemScripts (User Scripts)
HKLMSoftwarePoliciesMicrosoftWindowsSystemScripts (Machine Scripts)
Fixing Scripts policy settings problems - http://technet.microsoft.com/ru-ru/library/cc781809(WS.10).aspx
