Як визначити первинний контролер домену

Що таке контролер домену, коли він потрібний і як його налаштувати?

Я хотів би знати, що ми маємо на увазі під контролером домену і як зробити систему контролером домену, і коли нам потрібно зробити систему DC?

Відповіді:

Простіше кажучи, "домен" - це уніфікований набір комп'ютерів та облікових записів користувачів, керованих серверними машинами, позначеними як "контролери домену". (Це, звичайно, неповне визначення, але це хороший початок.) Контролер домену - це комп'ютер, на якому встановлена одна з серверних операційних систем Microsoft, наприклад Windows Server 2008 або Windows Server 2008 R2 у будь-якому випуску, крім Web Edition, або один із орієнтованих на малий бізнес серверних продуктів, для якого були виконані такі дії:

Увімкнено роль сервера доменних служб Active Directory (ADDS).
Сервер був просунутий як контролер домену для вашої організації.

Щоб зробити систему контролером домену, виконайте на своєму сервері дві дії, описані вище. Обидва вони можуть бути виконані в одному процесі, тому що вам буде запропоновано просунути сервер, як тільки ви закінчите додавати роль сервера.

Ви повинні додати контролер домену в свою мережу, коли вирішите, що для вашої організації економічно вигідно мати єдину систему облікових даних, користувачів, груп та дозволів, яку надає домен Active Directory, на додаток до комп'ютера та користувача. політики, що надаються груповою політикою. Деякі з переваг полягають у тому, що ви можете централізовано керувати кількома налаштуваннями машини та користувача, а користувачі можуть увійти на будь-який комп'ютер у мережі з одним ім'ям користувача та паролем.Основними збитками є вартість: вам потрібен комп'ютер, який буде виконувати роль контролера домену (який може використовуватися спільно з іншими ролями сервера в невеликій організації), ліцензія на серверне програмне забезпечення Microsoft, клієнтські ліцензії на доступ до всіх комп'ютерів, приєднаних до домену, та персонал для адміністрування домену (можливо, не інший співробітник для одного сервера, але цечийсь день, будь то внутрішній або консультант).

Створення домену Active Directory не слід сприймати легковажно. Це має довгострокові наслідки для повсякденної роботи користувачів вашої організації. Будь ласка, уважно вивчіть проблему або подумайте про наймання консультанта, перш ніж ухвалити рішення про створення домену AD у вашій організації.

+1 - Не підключати себе, але хороший нетехнічний фон в Active Directory: serverfault.com/questions/18339/active-directory-explained/…

Насамперед, домен - це набір взаємозалежних ресурсів на платформі Windows, як-от принтери, додатки тощо. буд.) групи користувачів. Користувачам, які є частиною домену (яким для входу в домен призначаються імена користувачів та паролі), надаються особливі дозволи на доступ до ресурсів, які можуть перебувати на одному або кількох серверах у мережі.

Іншими словами, домен – це логічна група комп'ютерів, які спільно використовують центральну базу даних, яка називається Active Directory (AD). База даних містить інформацію про безпеку користувача та облікові записи для ресурсів у цьому домені. Будь-яка людина, яка використовує комп'ютери в домені, отримує свій обліковий запис, яким призначається доступ до ресурсів у цьому домені.

Коли це зрозуміло, контролер домену (DC) або мережний контролер домену - це комп'ютерна система на базі Windows, яка використовується для зберігання даних облікового запису користувача в центральній базі даних. Контролер домену в комп'ютерній мережі є центральним елементом служб Active Directory (AD), які надають користувачам загальнодоменні послуги, такі як застосування політик безпеки, автентифікація користувачів та доступ до ресурсів.

Контролер домену є відмінним інструментом для системних адміністраторів, оскільки він дозволяє їм надавати або забороняти користувачам доступ до загальносистемних ресурсів, таких як принтери, документи, папки, папки мережі і т. д., через одне ім'я користувача і пароль. Як тільки контролер домену налаштований у компанії, офісі чи будівлі, він бере на себе відповідальність за відповіді на запити користувачів щодо автентифікації безпеки, такі як перевірка дозволів, вхід до системи тощо.

Коли клієнтський комп'ютер приєднується до домену, будь-який користувач може увійти до контролера домену за допомогою комп'ютера. Ця перевага полягає в тому, що незалежно від того, з якого члена домену (комп'ютера) він входить до системи, він може отримати доступ до всіх своїх особистих ресурсів, включаючи файли, які він помістив на робочий стіл, файли в документах, принтери та свої персональні налаштування робочого столу.

Контролер домену надає сервіси автентифікації для комп'ютерів Windows. статтю Wikipedia для короткого введення. Якщо вам потрібно створити його, ви можете зробити це з сервером Windows (будь-який з різновидів, наприклад, Windows 2003 Server) або запустити Samba на Linux. Я б порекомендував останній підхід, і якщо вам потрібна порада, який дистрибутив Linux використовувати, я б порекомендував Ubuntu.

Коли я набираю це, відповідь була опущена, але це абсолютно правильна відповідь. Можливо, не найкращий, але цілком допустимий.

Я сказав би, що за те, що порекомендував samba в Linux, комусь, хто тільки починає працювати з AD, відмовився.

Дуже хороша стаття, яку я одного разу написав про контролера домену. Дізнайтеся, що це таке, що він робить і як працює у цій статті:

Ми вважаємо за краще, щоб наша відповідь містила контент, а не лише вказівники на контент. При розміщенні посилань включайте короткий виклад основних питань (а не тільки заголовки, подібні до ваших). Linkrot відбувається, і коли майбутні гуглери знайдуть його, відповідь все одно буде дещо корисною.

Визначити на якому контролері домену (Logon Server) ви автентифікувалися

У деяких випадках вам потрібно визначити, на якому контролері домену ви автентифіковані (ваш logonserver). Це може стати в нагоді при проблемах із застосуванням групових політик, коли користувачі скаржаться на повільний вхід до системи. Користувач може автентифікуватись на невірному контролері домену через те, що найближчий до нього DC не доступний, доступ до нього блокується міжмережевим екраном, неправильного налаштування підмереж та сайтів у Active Directory або проблемами з DNS. В результаті користувач може отримувати всі GPO, скрипти, і т.д., не з найближчого домену контролера, а з будь-якого іншого DC. Це може призвести до тривалого застосування GPO , повільної установки програм , повільного завантаження профілів, що переміщуються, або файлів у перенаправлених папках.

Як дізнатися на якому контролері домену ви залогінені?

Ви можете дізнатися контролер домену, через який ви виконали вхід до домену декількома способами:

Group Policy був applied from: DC02

Якщо ви увійшли на комп'ютер під локальним обліковим записом, замість імені контролера домену в змінній LogonServer буде вказано ім'я вашого комп'ютера.

Знаючи контролер домену, можна різну інформацію про користувача з журналів безпеки DC (наприклад, історію входів користувача домен та інші логи).

Можна автоматично записувати інформацію, на якому контролері домену авторизувався користувач в опис комп'ютера в AD . Так можна дізнатися LogonServer для конкретного комп'ютера з AD, не звертаючись до конкретного комп'ютера через мережу або локально.

Як Windows визначає найближчий контролер домену?

За визначення LogonServer під час завантаження Windows відповідає служба NetLogon . Вона має бути запущена:

Спрощено процес пошуку контролера домену клієнтом Windows виглядає так:

При завантаженні Windows служба NetLogon робить DNS запит за списком контролерів домену (SVR запису _ldap._tcp.dc._msdcs.domain_;
DNS повертає список DC у домені;
Клієнт робить LDAP запит до DC для визначення сайту AD по-своєму IP адресою;
DC повертає сайт, якому відповідає IP клієнта або найближчий сайт (ця інформація кешується у гілці реєстру HKLMSystemCurrentControlSetServicesNetlogonParameters і використовується при наступному вході для швидкого пошуку);
Клієнт через DNS запитує список контролерів домену на сайті (у розділі _ tcp.sitename._sites. );
Windows намагається зв'язатися з усіма DC в сайті і перший, хто відповів використовується для виконання аутентифікації і в якості LogonServer.

Flags: 30 HAS_IP HAS_TIMESERV_x000D_Trusted DC Name \MSK-DC02.remontka.com_x000D_Trusted DC Connection Status Status = 0 0x0 NERR_Success_x000D_The command

Якщо цей DC недоступний, з'явиться помилка:

I_NetLogonControl failed: Status = 1311 0x51f ERROR_NO_LOGON_SERVERS

Якщо жоден з контролерів домену недоступний, або комп'ютер відключений від мережі, під час входу користувача з'явиться напис:

Там є поточно не logon servers available до служби the logon request.

Знайти найближчий до вас контролер домену згідно з ієрархією сайтів, підмереж та ваг можна за допомогою командлета Get-ADDomainController з модуля Active Directory для PowerShell :

Get-ADDomainController -Discover -NextClosestSite

Так ви зможете визначити ім'я контролера домену, через який повинен автентифікуватись комп'ютер. Якщо вона відрізняється від поточного, потрібно зрозуміти чому.

Перевірка здоров'я контролерів домену Active Directory та реплікації

Active Directory це надійний, але в той же час вкрай складний та критичний сервіс, від працездатності якого залежить робота усієї вашої мережі. Системний адміністратор повинен постійно моніторити правильність роботи Active Directory. У цій статті ми розглянемо основні методики, що дозволяють вам швидко перевірити та діагностувати стан вашого домену Active Directory, контролерів домену та реплікації.

Перевірка стану контролерів домену за допомогою Dcdiag

Базова вбудована утиліта для перевірки стану контролерів домену dcdiag.

Щоб швидко перевірити стан конкретного контролера домену AD, скористайтеся командою:

Ця команда виконує різні тести вказаного контролера домену та повертає статус по кожному тесту (Passed| Failed).

Connectivity – перевіряє реєстрацію DC у DNS, виконує тестові LDAP та RPC підключення;
Advertising – перевіряє ролі та послуги, опубліковані на DC;
FRSEvent – перевіряє наявність помилок у службі реплікації файлів (помилки реплікації SYSVOL);
FSMOCheck – перевіряє, що DC може підключитися до KDC, PDC, сервера глобального каталогу;
MachineAccount - Перевіряє коректність реєстрації облікового запису DC в AD, коректність довірчих відносин з доменом;
NetLogons – перевірка наявності прав виконання реплікації;

Крім стандартних тестів, які виконуються за замовчуванням, можна виконати додаткові перевірки контролера домену:

Topology - Перевіряє, що KCC згенерував повну топологію для всіх DC;
CheckSecurityError
CutoffServers – знаходить DC, який не отримує реплікацію через те, що партнер недоступний;
DNS – доступні 6 перевірок служби DNS (/DnsBasic, /DnsForwarders,/DnsDelegation,/DnsDymanicUpdate,/DnsRecordRegistration,/DnsResolveExtName)
OutboundSecureChannels
VerifyReplicas – перевіряє коректність реплікації розділів програми
VerifyEnterpriseReferences

Наприклад, щоб перевірити коректність роботи DNS на всіх контролерах домену, використовуйте команду:

dcdiag.exe /s:DC01 /test:dns /e /v

В результаті має з'явитися зведена таблиця з перевірок дозволу імен службою DNS на всіх контролерах (якщо все ОК, скрізь має бути Pass). Якщо десь буде вказано Fail, потрібно виконати перевірку цього тесту на вказаному DC:

dcdiag.exe /s:DC01 /test:dns /DnsForwarders /v

Щоб отримати розширену інформацію за результатами тестів контролера домену та зберегти її у текстовому файлі, використовуйте команду:

dcdiag /s:DC01 /v >> c:\ps\dc01_dcdiag_test.log

Dcdiag/s:DC01 | select-string-pattern '\. (.*) \b(passed|failed)\b test (.*)'

Щоб отримати стан усіх контролерів домену, використовуйте:

dcdiag.exe /s:winitpro.ru/a

Якщо потрібно вивести лише знайдені помилки, використовуйте параметр /q:

У моєму прикладі утиліта виявила помилки реплікації:

Вони варіюються або помилки дії в останні 24 години після SYSVOL має бути shared. Failing SYSVOL replication problems може викликати Group Policy problems. . DC01 failed test DFSREvent

Щоб утиліта dcdiag спробувала автоматично виправити помилки в Service Principal Names для цього облікового запису DC, використовуйте параметр /fix:

Перевірка помилок реплікації між контролерами домену Active Directory

Для перевірки реплікації в домені використовується вбудована утиліта repadmin.

Базова команда перевірки реплікації:

Утиліта повернула поточний статус реплікації між DC.В ідеальному випадку значення largest delta не повинно перевищувати 1 годину (залежить від топології та налаштувань частоти міжсайтових реплікацій), а кількість помилок = 0. У моєму прикладі видно, що одна з останніх реплікацій зайняла 14 днів, але зараз все OK.

Щоб виконати перевірку для всіх DC у домені:

Перевірку міжсайтової реплікції можна виконати так:

Для перегляду топології реплікації та знайдених помилок, виконайте:

Ця команда перевірить DC та поверне час останньої успішної реплікації для кожного розділу каталогу (last attempt xxxx was successful).

Для запуску реплікації паролів із звичайного контролера домену на контролер домену на читання (RODC) використовується ключ /rodcpwdrepl.

Опція /replicate дозволяє запустити негайну реплікацію вказаного розділу каталогу на DC.

Для запуску синхронізації зазначеного DC з усіма реплікаційними партнерами, використовуйте команду

Для перегляду черги реплікації:

В ідеальному випадку черга має бути порожня:

Ви також можете перевірити стан реплікації за допомогою PowerShell. Наприклад, наступна команда виведе усі виявлені помилки реплікації до таблиці Out-GridView:

Get-ADReplicationPartnerMetadata -Target * -Partition * | Select-Object Server,Partition,Partner,ConsecutiveReplicationFailures,LastReplicationSuccess,LastRepicationResult | Out-GridView

У свій репозиторій GitHub я залив PowerShell скрипт, який часто використовую для перевірки стану реплікації в AD. Скрипт генерує html-файл і може відправити його на вказаний email за допомогою командлета Send-MailMessage.

Active Directory Domain Services (NTDS)
Active Directory Web Services (adws) – саме до цієї служби підключаються всі командлети з модуля AD PowerShell
DNS (dnscache та dns)
Kerberos Key Distribution Center (kdc)
Windows Time Service (w32time)
NetLogon (netlogon)

Get-Service -name ntds,adws,dns,dnscache,kdc,w32time,netlogon -ComputerName dc03

Отже, у цій статті ми розглянули базові команди та скрипти, які можна використовувати для діагностики стану домену Active Directory. Ви можете використовувати їх у всіх підтримуваних версія Windows Server, у тому числі на контролерах домену в режимі Server Core.