Active Directory.pdf - Gattner

108 Kapitel 4: Active Directory-Domänendienstreplikation
Wie bereits erwähnt, wird jede Änderung, die am Datenspeicher eines Domänencontrollers vorgenommen
wird, nach etwa 15 Sekunden auf die Replikationspartner des Domänencontrollers repliziert.
Der Zieldomänencontroller behält diese Änderungen für 15 Sekunden und übergibt diese
anschließend an seine Replikationspartner. Daher beträgt die Replikationslatenz innerhalb eines
Standorts 15 Sekunden addiert mit der Anzahl an Abschnitten, die durchlaufen werden, bis alle
Domänencontroller die Änderung erhalten haben. Wie im folgenden Abschnitt erläutert wird, umfasst
die Replikationstopologie innerhalb eines Standorts nie mehr als drei Abschnitte, und daher beträgt
die maximale Latenz bei der standortinternen Replikation in der Regel weniger als eine Minute.
Das Ermitteln der standortübergreifenden Replikationslatenz ist etwas schwieriger. Als Erstes ist die
Berechnung der Replikationslatenz innerhalb des Quellstandorts erforderlich. Die Replikationslatenz
ist die Zeit, die benötigt wird, bis eine auf einem Domänencontroller an dem Standort vorgenommene
Änderung auf den Bridgeheadserver des Quellstandorts repliziert wurde. Nachdem die Informationen
am Bridgeheadserver des ursprünglichen Standorts angekommen sind, wird die zur Übertragung der
Informationen an den Zielstandort benötigte Zeit durch den Zeitplan für die Standortverknüpfungen
und das Replikationsintervall vorgegeben. Standardmäßig wird über Standortverknüpfungen alle drei
Stunden eine Replikation durchgeführt. Wenn Sie keine Änderung an dieser Konfiguration vornehmen,
werden der Replikationslatenz maximal drei Stunden hinzugefügt. Wenn die Informationen am
Bridgeheadserver am Zielstandort angekommen sind, muss die standortinterne Replikationslatenz für
den Zielstandort hinzugefügt werden. In einigen Fällen ist diese Replikationslatenz nicht akzeptabel.
Um die Replikationslatenz zu verringern, können Sie das Replikationsintervall für die standortinterne
Replikation auf bis zu 15 Minuten verkürzen.
Bei der Verwaltung der Replikationslatenz muss ein Ausgleich zwischen dem erforderlichen kurzen
Latenzzeitraum und den Bandbreiteneinschränkungen geschaffen werden. Wenn Sie die kürzestmögliche
Latenzzeit erreichen möchten, sollten Sie alle Domänencontroller am gleichen Standort platzieren.
In diesem Fall beträgt die Replikationslatenz für alle Domänencontroller etwa eine Minute. Wenn
Ihre Unternehmensniederlassungen jedoch über WAN-Verbindungen mit eingeschränkter Bandbreite
verbunden sind, benötigen Sie mehrere Standorte, um die Netzwerkauslastung für die AD DS-Replikation
zu verwalten. Dadurch erhöht sich jedoch die Replikationslatenz.
Dringende Replikation
In einigen Fällen ist die im Abschnitt zuvor beschriebene Replikationslatenz zu lang. Dies ist insbesondere
der Fall, wenn ein sicherheitsrelevantes Attribut im Verzeichnis geändert wurde. In diesen
Fällen verwenden die AD DS die dringende Replikation, bei der ein Domänencontroller die Änderungen
unmittelbar an seine Replikationspartner weiterleitet. Jeder Domänencontroller, der eine dringende
Aktualisierung erhält, leitet diese ebenfalls unmittelbar weiter. Auf diese Weise werden alle
Domänencontroller am Standort innerhalb von Sekunden aktualisiert. Die folgenden Änderungstypen
lösen eine dringende Replikation aus:
• Bearbeiten der Kontosperrrichtlinie für die Domäne
• Bearbeiten der Kennwortrichtlinien
• Verschieben des RID-Masters (Relative Identifier, relativer Bezeichner) auf einen neuen Domänencontroller
• Ändern eines LSA-Schlüssels (Local Security Authority, lokale Sicherheitsautorität), wenn beispielsweise
das Kennwort eines Domänencontrollers geändert wird
• Sperren eines Benutzerkontos, wenn ein Benutzer zu viele Anmeldeversuche mit einem ungültigen
Kennwort ausführt