Active Directory.pdf - Gattner

Überwachen von Active Directory 563
• Systemstatus des Domänencontrollers Die Überwachung dieses Bereichs sollte den gesamten Serverstatus
einschließlich Speicherindikatoren, Prozessorauslastung und Auslagerung umfassen.
Darüber hinaus müssen Sie sicherstellen, dass die Uhrzeit- und Zeitzoneneinstellungen zwischen
allen Servern ordnungsgemäß synchronisiert sind, da dies für die Replikation und ordnungsgemäße
Authentifizierung besonders wichtig ist.
• Gesamtstrukturstatus Dieser Bereich sollte überwacht werden, um Vertrauensstellungen sowie
die Standortverfügbarkeit zu überprüfen.
• Betriebsmaster- und globale Katalogrollen Überwachen Sie jede Betriebsmasterrolle, um den Serverstatus
zu gewährleisten. Überwachen Sie darüber hinaus die globale Katalogverfügbarkeit, um
eine Benutzeranmeldung sowie die Auflistung universeller Gruppenmitgliedschaften zu ermöglichen.
Direkt von der Quelle: Überwachen von Active Directory, Teil 2
Die Überwachung von Active Directory ist ein sehr vielschichtiges Thema. Wie bereits zuvor
erläutert, ist die Überwachung von Active Directory auf ganzheitlicher Basis von zentraler Bedeutung.
Wenngleich in diesem Kapitel hauptsächlich auf die von Active Directory bereitgestellten
Informationen eingegangen wird, gibt es einige Elemente in Windows, die zwar nicht in direktem
Zusammenhang mit Active Directory stehen, die aber dennoch überwacht werden sollten. Die
Überwachung dieser zusätzlichen Elemente ermöglicht es Ihnen, den allgemeinen Status des Active
Directory-Ökosystems nachzuverfolgen. Beispielsweise sollten Sie die Uhrzeitsynchronisierung
überwachen, um Zeitunterschiede von mehr als 5 Minuten zwischen Domänencontrollern zu verhindern
(Zeitunterschiede von mehr als 5 Minuten können dazu führen, dass das Kerberos-Ticket
ungültig wird und dass Domänencontroller und Benutzer keine Authentifizierung mehr durchführen
können). Des Weiteren sollten Sie eine Überwachung von Diensten wie z.B. NTFRS, DFSR
und KDC-W32Time erwägen, die für Active Directory von grundlegender Bedeutung sind. Sämtliche
dieser Dienste bieten entweder Unterstützung für Active Directory oder sind von Active
Directory abhängig, und sie sind im Gesamtstatus des Active Directory-Ökosystems von zentraler
Bedeutung. Darüber hinaus ist es ebenfalls ratsam, allgemeine Aspekte wie beispielsweise die
Speicherkapazität der Systemfestplatte und die Active Directory-Datenbankgröße nachzuverfolgen.
Ein Aspekt, der oftmals übersehen wird, dessen Überwachung jedoch unter Umständen nützlich
sein kann – vor allem in besonders großen Active Directory-Infrastrukturen –, ist die KCC-CPU-
Auslastung. Die Konsistenzüberprüfung (Knowledge Consistency Checker, KCC) ist verantwortlich
für die Überprüfung und den Aufbau der Active Directory-Topologie, indem die erforderlichen
Verbindungsobjekte erstellt werden. Wenngleich die KCC-Leistung seit Windows 2000
erheblich verbessert wurde, kann die Überwachung der CPU-Auslastung Ihrer KCC auf Ihren
Domänencontrollern von Interesse sein – dies gilt vor allem für die Domänencontroller, die sich an
den Hubstandorten Ihrer Active Directory-Infrastruktur befinden.
Sie können die KCC-Aktivität auf einfache Weise ermitteln, indem Sie für die KCC-Diagnoseebene
den Wert 3 festlegen. Legen Sie hierfür für den Registrierungsschlüssel 1 Knowledge Consistency
Checker den Wert 3 fest. Der Registrierungsschlüssel befindet sich in der Registrierungsstruktur
unter HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics. Nachdem Sie den
Wert auf 3 gesetzt haben, erstellt die KCC bei jeder Ausführung Ereignisprotokolleinträge im Verzeichnis
für das Ereignisprotokoll des Dienstes.