試験問題作成委員会の独り言

[PR]

[PR]上記の広告は3ヶ月以上新規記事投稿のないブログに表示されています。新しい記事を書く事で広告が消えます。

Active Directorｙ統合ゾーンの冗長化のテスト

通常はクライアントはキャッシュログオンできるはずだが・・・

（質問）

Active Directory の冗長化について

お世話になります。

Active Directorｙを構築し、冗長化構成を組むために以下のようにサーバを構築しました。

2008SV ドメイン機能は2003

ドメイン名：test.aaa.bbb.co.jp

ホスト名：dc1.test.aaa.bbb.co.jp　dc2.test.aaa.bbb.co.jp

当然どちらも、GCになっております。DNSはActive Directorｙ統合になっております。

障害が発生したことを想定して、dc2.test.aaa.bbb.co.jpのLANケーブルを抜きます。

結果：クライアントPC（XP・Vista）はドメインに参加できます。

次にdc1.test.aaa.bbb.co.jpのLANケーブルを抜きます。（dc2にはLANケーブルを接続しています）

結果：クライアントPC（XP・Vista）はドメインに参加できません。

エラーとして以下が返ってきます。

注意: この情報はネットワーク管理者向けのものです。ネットワーク管理者でない場合は、ネットワーク管理者に連絡してこの情報を伝えてください。この情報はファイル C:\WINDOWS\debug\dcdiag.txt に記録されています。

ドメイン test.aaa.bbb.co.jpのドメインコントローラの場所を検索するのに使用される service location (SRV) リソースレコードの DNS は正しくクエリされました:

クエリは _ldap._tcp.dc._msdcs.test.aaa.bbb.co.jpの SRV レコードでした

クエリによって、次のドメインコントローラが識別されました:

dc1.test.aaa.bbb.co.jp
dc2.test.aaa.bbb.co.jp

このエラーの一般的な原因として挙げられるのは:

- ドメインコントローラの名前を IP アドレスに割り当てるための Host (A) レコードが見つからないか、正しくないアドレスを含んでいる。

- DNS で登録されているドメインコントローラがネットワークに接続されていないか、実行中でない。

この問題を解決するための情報については、[ヘルプ] をクリックしてください。

また、dc2が壊れているのかと思い、以下のテストを行いました。

DC1のLANケーブルを抜く。

社内のシステムの認証先をdc2に向け認証をかけてみる。

結果：認証OK

LDAP Browserにてdc2にBINDしてみる

結果：OK

また、ドメインに参加していないクライアントからコマンドをたたくと以下のようにかえってきます。

> _ldap._tcp.dc._msdcs.test.aaa.bbb.co.jp
Server: dc2.clerk.of.miyazaki-u.ac.jp
Address: xxx.xxx.xxx.xxx

_ldap._tcp.dc._msdcs.test.aaa.bbb.co.jp SRV service location:
          priority       = 0
          weight         = 100
          port           = 389
          svr hostname   = dc2.clerk.of.miyazaki-u.ac.jp
_ldap._tcp.dc._msdcs.test.aaa.bbb.co.jp SRV service location:
          priority       = 0
          weight         = 100
          port           = 389
          svr hostname   = dc1.clerk.of.miyazaki-u.ac.jp
dc2.clerk.of.miyazaki-u.ac.jp   internet address = xxx.xxx.xxx.xxx
dc1.clerk.of.miyazaki-u.ac.jp   internet address = xxx.xxx.xxx.xxx

設定は間違ってなさそうなのですが、つまづいています。

よろしくお願いします。

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/6e42d332-1001-42cc-80e7-b98e59404bbc

（参考ページ：nslookupコマンドでドメインコントローラのDNS登録を確認する）

http://technet.microsoft.com/ja-jp/library/cc738991(WS.10).aspx

[0回]

複数サイトでのDC間のサイトトポロジの設計はまず試験問題で計算に慣れる

初級管理者ではＤＣのサイト間のコスト・複製間隔のスケジュール設計まですることはまずない。70-294模擬試験で基本的な計算問題の図に慣れるしかないだろう。

（質問）

Windows2003のDCのサイト間の複製について教えてください。

Windows2003ネイティブのサイトが複数あってサイト内にDCが複数あります。

サイトとサービスでNTDSSettingをみると各サイトで

レプリケート元が他サイトのDCのうち一台のみとなっています。

１．この場合レプリケートはレプリケート元サーバの表示があるDCのみから行われるのでしょうか？

そのDCが故障したときはサイト間の複製はなされないのでしょうか？

２．サイト内にDCが複数台ある場合、冗長化を考えてサイト内のDCを複数台、レプリケート元のサーバとして指定したほうがよいでしょうか？

４．複製に関してUSNが関係してくると思うのですが、どこを参照すればよいでしょうか？Directoryパーティション全体を示すUSNがあるのでしょうか？USNを最初にチェックして更新されていなければデータのやりとりはないでしょうか？

５．サイト間のリンクのコストは回線の帯域を考慮すると思うのですが、数値はどのように決めればよいでしょうか？

よろしくお願いいたします。

――――――――――――――――――――――――――――――――――――――

（回答その１）

XXXXです。

いくつか質問を並べられていますが、質問ごとに「お答えする」より、概要を説明した方がよさそうです。

複数のドメインコントローラ間での複製は、接続オブジェクトで指定されたドメインコントローラ(複製パートナ)から複製されますが、そのドメインコントローラがダウンした場合、自動的に複製パートナの見直しが行なわれます。この機能を KCC といいますが、KCC の機能や複製のプロセスについては、したの資料を見てみてください。

Active Directory レプリケーションにおけるサイト間トポロジジェネレータの役割

サイト間の複製の原則論や、コストの設計方法については、したの資料がわかりやすそうです。Windows Server 2003 等でもしくみは同じです。

複製を考慮したサイトトポロジの設計

――――――――――――――――――――――――――――――――――――――

（再質問）

ありがとうございます。
リンクの資料大変参考になりました。

ではサイト間のレプリケートはサイト内の1台のDCからの設定でよくて、
ダウンした場合はリンクコストの計算をもとに自動的に複製の仕組みが再作成される
ということでよいでしょうか？
よろしくお願いいたします。

――――――――――――――――――――――――――――――――――――――

（回答その２）

XXXXです。

基本的に、おっしゃる理解で問題ありません。ただ、KCC が考慮する要件はサイトリンクコストだけではなく、サイトリンクの構成自体も影響しますので、この点も考慮いただければいいかと思います。

あと、どうしてもサイトに対してのサイトリンクブリッジを冗長化したい、という場合、したのような方法で実現することはできます。

repadminコマンドでドメイン・コントローラ間の複製を冗長化する

（資料）
Windows Server 2008/2008 R2 Active Directory 設計指南書－富士通Primergy
ASCII.jp：遠隔地の拠点でActive Directoryを運用するには？｜Windows Serverで学ぶサーバOS入門
 Active Directoryの導入後の作業－＠IT
Technet:Active Directory サイトとサービスの概要 ‐ Active Directory のサイトコンテナ階層

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/93ac9d72-72d0-404b-b014-d2b6b171484f

[0回]

つづきはこちら

質問するのも仕事での給料の一部

時間をかけ長文にまとめて質問しても、読む人が回答に困るだけである。ここでの質問時間は仕事での給料の一部になっているのか。

（質問）

ログイン画面が表示されるまでが遅い

Windows2008 SP2で2台のドメインコントローラを構築しています。
2台ともにDNSをインストールし、ActiveDirectory統合で構築しました。

どちらか一方のサーバーを単体で起動する時に"コンピュータの設定を適用しています"で
5～8分待たされます。
どちらか一方が起動した状態でもう1台を起動すると、待たされる事なくログイン画面が表示されます。

ログイン画面が表示されるまでが遅い時は、イベントビューアに警告が表示されます。

アプリケーション

ログの名前:         Application
ソース:           Microsoft-Windows-Winlogon
日付:            2010/02/11 19:22:45
イベント ID:       6005
タスクのカテゴリ:      なし
レベル:           警告
キーワード:         クラシック
ユーザー:          N/A
コンピュータ:        test1.test2010.test.co.jp
説明:
winlogon 通知サブスクライバ <GPClient> で通知イベント (CreateSession) を処理するのに長い時間がかかっています。

ログの名前:         Application
ソース:           Microsoft-Windows-Winlogon
日付:            2010/02/11 19:27:09
イベント ID:       6006
タスクのカテゴリ:      なし
レベル:           警告
キーワード:         クラシック
ユーザー:          N/A
コンピュータ:        test1.test2010.test.co.jp
説明:
winlogon 通知サブスクライバ <GPClient> で通知イベント (CreateSession) の処理に 324 秒かかりました。

ログの名前:         DNS Server
ソース:           Microsoft-Windows-DNS-Server-Service
日付:            2010/02/11 19:22:24
イベント ID:       4013
タスクのカテゴリ:      なし
レベル:           警告
キーワード:         クラシック
ユーザー:          N/A
コンピュータ:        test1.test2010.test.co.jp
説明:
DNS サーバーは、ディレクトリの初期同期の完了について Active Directory ドメインサービス (AD DS) から通知されるのを待っています。重要な DNS データがこのドメインコントローラにまだレプリケートされていない可能性があるため、初期同期が完了するまでは DNS サーバーサービスを開始できません。DNS 名の解決に問題があることを AD DS イベントログ内のイベントが示している場合は、このコンピュータのインターネットプロトコルのプロパティで、DNS サーバー一覧にこのドメインの別の DNS サーバーの IP アドレスを追加することを検討してください。このイベントは、初期同期が正常に完了したことが AD DS から通知されるまで 2 分ごとに記録されます。
↑このエラーが2分毎に3回出力されます。

このサーバーには2枚のネットワークカードが搭載されており、両方にIPアドレスを指定しています。
test1.test2010.test.co.jp
ネットワーク1
IP:10.1.70.1
MASK:255.255.255.0
GW:10.1.70.254
DNS:10.1.70.1
    10.1.70.2
ネットワーク2
IP:10.1.92.1
MASK:255.255.255.0
GW:
DNS:

test2.test2010.test.co.jp
ネットワーク1
IP:10.1.70.2
MASK:255.255.255.0
GW:10.1.70.254
DNS:10.1.70.1
    10.1.70.2
ネットワーク2
IP:10.1.92.2
MASK:255.255.255.0
GW:
DNS:

ネットワーク2のカードを両方のサーバーで無効にしてみたのですが、現象は変わりませんでした。

ドメインコントローラのどちらか一方のみを起動すると、ログイン画面が表示されるまで時間がかかるのでしょうか？

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/daf0452b-7a47-45ea-95bf-0ca5aa3d990d

[0回]

ひどい前任の管理者を恨む

このような状態で、管理を任せた前任のネットワーク管理者はひどいものだ。ＭＳＦＴ氏意外は誰も回答しないだろう。

（質問）

FRSエラーについて

いつも参考にさせていただいております。

FRSエラーが発生し困っております。ご意見をお願いします。

業務環境：重要度高
システム環境：
OS:Windows2000 Server SP4
DC1-FSMO GC
DC2

1ドメイン、ドメインコントローラー2台体制で運用していますが、
DC2が立ち上がっていないまましばらく経過していました。（前回の起動が7月）

最近になって、運用を任されDC2を立ち上げて様子を見ているのですが、
FRSエラーが発生して、複製がされない状況です。（SYSVOL、NETLOGON共有は外れていません。）
また、NTDSの複製はできているようです。

◆DC1上に、イベントID：13568（ジャーナルラップエラー）

---------------------------------------------------------------------
ファイルレプリケーションサービスにより、レプリカセット "DOMAIN SYSTEM VOLUME (SYSVOL SHARE)"
が JRNL_WRAP_ERROR の状態であることが検出されました。

レプリカセット名 : "DOMAIN SYSTEM VOLUME (SYSVOL SHARE)"
レプリカルートパス : "c:\windows\sysvol\domain"
レプリカルートボリューム : "\\.\C:"
NTServer USN ジャーナルから読み取ろうとしているレコードが見つからない場合に、レプリカセット
は JRNL_WRAP_ERROR の状態になります。これは次の理由のいずれかによって発生します。

[1] ボリューム "\\.\C:" がフォーマットされています。
[2] ボリューム "\\.\C:" の NTServer USN ジャーナルが削除されています。
[3] ボリューム "\\.\C:" の NTServer USN ジャーナルが切り詰められています。ジャーナルの最後
で壊れたエントリが見つかった場合は、Chkdsk でジャーナルを切り詰めることができます。
[4] このコンピュータでファイルレプリケーションサービスが長い間実行されていませんでした。
[5] ファイルレプリケーションサービスでは、"\\.\C:" のディスクの I/O 活動速度についていくこ
とができませんでした。
---------------------------------------------------------------------

今回の場合は、「[4] このコンピュータでファイルレプリケーションサービスが長い間実行されていませんでした。」
が当てはまると思います。

◆DC2上に、イベントID：13508（FRSエラー）

----------------------------------------------------------------------
ファイルレプリケーションサービスの問題のため、DNS 名 Server2.domain.local を使用して
c:\windows\sysvol\domain に対して DC2 から DC1 へのレプリケーションを有効にできません。
再実行します。
この警告が表示される理由として次のいくつかが考えられます。

[1] FRS によりこのコンピュータから DNS 名 Server2.domain.local を正しく解決できません。
[2] FRS が Server2.domain.local 上で実行されていません。
[3] このレプリカに対する、Active Directory のトポロジ情報が一部のドメインコントローラにまだ
レプリケートされていません。

このイベントログメッセージは接続ごとに一度表示されます。問題が解決されると、接続が確立され
たことを示す別のイベントログメッセージが表示されます。
---------------------------------------------------------------------

こちらは、両方向エラーがでています。
「DC1 から DC2 へのレプリケーションを有効にできません。」
「DC2 から DC1 へのレプリケーションを有効にできません。」

◆そこで、修復方法の相談です。
レジストリパラメタ「Enable Journal Wrap Automatic Restore」を変更する方法がログに記載されています。
できればこの方法以外に方法はないものでしょうか？
（SYSVOL共有が一旦無効にされ、初期化、複製されて共有が表示されるようです。）

DC降格・昇格で直りそうな気もするのですが？（この場合、DC1の降格・昇格が必要？）

あるいはこのまま放置しても、問題ないでしょうか？
というのは、システム環境変更が来年度に予定されています。

別の業務環境で、以前システム状態をバックアップから復元したものの、
別DCから複製がかからず、SYSVOL、NETLOGON共有が表示されない。
もちろんクライアントがログインできないという経験をしました。
これは結局は、DCが2台の環境だったものの複製エラーが発生していたのを確認せずに、
バックアップを取って作業を始めたからでした。

情けないですが、こういった経験から怖いのが正直なところです。

（回答）
　略

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/d1c96d2b-5563-4afe-aedd-6a197912e4cc

[0回]

DC追加の時によくあるミス

追加ＤＣをインストールする時にこのようなミスをよくしました。

（質問）

既存ドメコン上のDNSにおいてレコードが削除されてしまう

○○○○と申します。

社内環境で発生したWindowsDNSの障害について、障害原因、対応手順などを調査しております。
お忙しいなかお手数ですが、お手すきの際ご教授いただければと思います。

■経緯
　既存ドメイン環境へ新たにメンバサーバを追加して、その後、当サーバをドメコンへ昇格、DNSサーバのインストールを行いました。
　作業はDNSサーバのインストールまで正常に作業は完了したのですが、既存ドメインコントローラのゾーン内にあった
　レコードの大部分が削除されてしまう現象が発生しました。それによりサーバにアクセスできないという影響がありました。
　削除されたレコードは、手動で追加することで解消しました。

■環境
　ドメイン環境：シングルドメイン
　既存ドメインコントローラはWindows2003 Standard Edtion が2台
　追加したドメインコントローラもWindows2003 Standard Edtion

■行った作業手順
　１）ドメコンへの昇格
　　サーバの役割追加により正常昇格。その後再起動。

　２）DNSサーバの構築
　　１）の作業実施後、サーバの役割追加。
　　・サーバの種類：ActiveDirectory統合
・ゾーンの種類：プライマリゾーン
　　・ゾーン名指定：既存ゾーンを記載
　　・動的更新：セキュリティで保護された動的更新のみを許可する
　　正常完了。ただし、ゾーン内のレコードは既存ドメコンにあるものがなかな
か登録されませんでした。

　　その後、理由があって、別ネットワークへ追加したドメインコントローラを
移動（既存ドメコンとは通信できない環境になりました）。
　　

■自分なりに考えた障害原因

　いろいろ調べたのですが、以下二つの情報を見つけました。
①書籍：Windows2000Server リソースキット内TCP/IPガイド
　”ActiveDirectory統合ゾーンの作成”の説明内の注意書き
「あるドメインコントローラ上でゾーンを作成した後、ActiveDirectoryによる
複製が終わる前に2番目のドメインコントローラで同じゾーンを作成すると、最
初のゾーンがActiveDirectoryによって削除されます。その結果、最初のドメイ
ンコントローラ上のゾーンに加えた変更がすべて失われてしまいます。」

②Web：@IT
　http://www.atmarkit.co.jp/bbs/phpBB/viewtopic.php?topic=37867&forum=6

上記二つから、以下仮設を立てました。
　ドメコンへの昇格直後に時間を空けずに、DNSサーバの構築を行ったため
　既存ドメコン内のゾーン情報が新ドメコンのゾーンに上書きされてしまったの
ではないか

■質問
　１）このような（または類似する）障害はご存じでしょうか。またWindowsDNSの追加手順についてご存じでしょうか。
　２）そもそも、ドメイン内で複数のActiveDirectory統合DNSを構築する場合
　　　2台目以上のDNSはセカンダリとして構築する必要があるのでしょうか
　３）リソースキットでに記載されている”あるドメインコントローラ上で
　　ゾーンを作成した後、ActiveDirectoryによる複製が終わる前に”という
　　記述ですが、”ActiveDirectoryによる複製が終わった”ことはどこから確
認すれば良いのでしょうか

以上です。
誠にお手数ですが、お時間のある時にご教授いただければ幸いでございます。

何卒宜しくお願いいたします。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

（回答１）

××××です。

この件ですが、これは「追加ドメインコントローラ上の DNS サーバに『手動で Active Directroy ゾーンを作ってしまった』ため」にいままであった DNS ゾーン (Active Directory 統合ゾーン)と衝突してしまったのでしょう。

Windows Server 2003 ではアプリケーションパーティションという複製パーティションが存在しますが、DNSサーバのActive Directory統合ゾーンはこれを使います。具体的には、DC=ForestDNSZones,DC=example,DC=comとDC=DomainDNSZones,DC=example,DC=com(Example.comドメインなら)というパーティションです。

2台目や3台目の追加ドメインコントローラにDNSサーバを追加する場合、一番簡単なのは事前に DNS サーバをインストールしておく(ただしゾーンは作成しない)ことです。こうするとアプリケーションパーティションの内容も複製され、DNSサーバに内容が反映されます。(DNSサーバが正常に動作したら、参照先DNSサーバを優先[127.0.0.1]代替[ほかのドメインコントローラ]にすることを忘れずに)

DNSサーバに内容が反映しない場合、複製の関係でしばらくすると反映されるはずですが、きちんとしたい場合 repadmin コマンドで強制的に複製する方法があります。複製するパーティションは、うえの例ならDC=ForestDNSZones,DC=example,DC=comとDC=DomainDNSZones,DC=example,DC=comのパーティションになります。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

（回答２）

××××さんのおっしゃる通りなのではと思います。
もともと、アプリケーションパーティションに作成していた DNS ゾーンの環境に
新しく追加した DC にドメインパーティションに同名のゾーンを作成したことが原因だと思います。

イベントログをみて DNS に 4515 が記録されていれば、この現象が発生しています。
詳細はこの KB に記載されていますので、参照してみてください。
http://support.microsoft.com/default.aspx/kb/867464/ja

http://social.technet.microsoft.com/Forums/ja-JP/activedirectoryja/thread/b7120d4b-4ecf-491d-9016-d2c277a9d970

[0回]

MSFT氏MS自社製品に対する愛着心からの回答

プロキシやＷＥＢフィルタングソフトで閲覧規制をかけるのが現実的だと思うが、ＭＳ社自社製品に対する愛社心（仕事？）からの回答か。

（質問）

グループポリシーでコンテンツアドバイザを有効にしたい

ADのグループポリシーを使用してIEのコンテンツアドバイザを
有効にしたいと思い設定しています。
グループポリシーにて設定した「承認したサイト」は反映されますが、
コンテンツアドバイザ自体が有効になりません。

クライアントのIEで手動にて有効にしても
gpupdateを実行すると無効になってしまいます。

グループポリシーの設定の中に有効にする設定があるのでしょうか？

環境
サーバ：Windows 2003 Server
クライアント：Windows XP（IE6）

ご教授願います。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

（回答）

こんにちは、フォーラムオペレーターの○○○○です。

よろしければ、グループポリシーの設定を行う端末（ドメインコントローラー）上で、コンテンツアドバイザを有効にして、再度グループポリシーの設定を行ってみてください。

1. ドメインコントローラー上で、コンテンツアドバイザを有効にする（IE の設定）。
2. 1 と同じドメインコントローラー上で以下のグループポリシーの設定を行う。
[ユーザーの構成]-[Windows の設定]-[Internet Explorer のメンテナンス]-[セキュリティ]-[セキュリティゾーンおよびコンテンツの規則] にある、[コンテンツの規則] の [現行のコンテンツの規則の設定をインポートする] にチェックを入れる。