Active Directory.pdf - Gattner

Überwachen von Active Directory 565
Dieser Fehler tritt in der Regel dann auf, wenn die Verbindung des Domänencontrollers mit dem
übrigen Netzwerk für lange Zeit unterbrochen wurde und das Kennwort des Computerkontos des
Domänencontrollers nicht mit dem Kennwort des Computerkontos übereinstimmt, das im Verzeichnis
des Replikationspartners gespeichert ist.
Direkt von der Quelle: Überwachen der Active Directory-Replikation
Eine Active Directory-Replikation kann auf verschiedene Weise überwacht werden. Wie in diesem
Abschnitt beschrieben, können Sie eine Validierung der Konfiguration vornehmen, um sicherzustellen,
dass Active Directory alle erforderlichen Bedingungen für eine erfolgreiche Replikation
erfüllt. Wie bereits erwähnt, können Sie dies mithilfe von Tools wie Dcdiag erreichen. Hierbei handelt
es sich eher um eine proaktive Verifizierung, bei der eine Überwachung vor dem Auftreten von
Problemen durchgeführt wird. Sie können jedoch auch eine „problembasierte“ Überwachung der
Active Directory-Replikation durchführen, indem Sie alle während der Replikation auftretenden
Fehler überprüfen. Diese problembasierte Überwachung können Sie durchführen, indem Sie die
im Ereignisprotokoll aufgeführten Ereignisse oder bestimmte Replikationsfehler mithilfe von
REPADMIN prüfen.
Eine weitere Möglichkeit zur Überprüfung der Active Directory-Replikation besteht darin, verschiedene
gemeinsam genutzte Einstellungen eines Active Directory-Domänencontrollers zu untersuchen,
wie beispielsweise die FSMO-Rollen. Im Idealfall sollten die für eine bestimmte Domäne
in einer bestimmten Gesamtstruktur gemeldeten FSMO-Rollen für alle Domänencontroller innerhalb
dieser Domäne in der Gesamtstruktur gleich sein. Wenn Sie diese Informationen für jeden
Domänencontroller sammeln und an einer zentralen Stelle ausweisen (d.h. die gesammelten Ergebnisse
in einer Freigabe ausgeben), kann die von allen Domänencontrollern gemeldete FSMO-Rolle
einfach verglichen werden. Jede gemeldete Abweichung für die FSMO-Rolle weist auf einen Replikationsfehler
für den Domänencontroller hin, der andere Ergebnisse gemeldet hat.
Zu guter Letzt kann die Active Directory-Replikation auch basierend auf Änderungen überwacht
werden. Bei diesem Ansatz wird ein vorgegebenes dediziertes AD-Objekt (Active Directory) zur
Überwachung der Replikation geändert. Sie können z.B. ein ADSI-basiertes Skript schreiben, das
Änderungen an einem AD-Objekt auf einem ausgewählten Domänencontroller vornimmt. (Dieses
Skript kann im Rahmen der Aufgabenplanung regelmäßig ausgeführt werden.) Die Änderung kann
beispielsweise einfach in einem Schreibvorgang von Datum und Uhrzeit in ein Zeichenfolgenattribut
wie der Beschreibung eines Benutzerobjekts bestehen. Da diese Art von Änderung von Active
Directory automatisch repliziert wird, sollten diese Informationen zu einem gewissen Zeitpunkt auf
allen anderen Active Directory-Domänencontrollern aktualisiert dargestellt werden. Gleichzeitig können
Sie auf allen anderen Domänencontrollern regelmäßig ein zusätzliches Skript ausführen, das
dieses Objekt liest und das Datum und die Uhrzeit des Attributs description mit dem Wert des Attributs
whenChanged vergleicht.
Anhand dieses Skripts können zwei Dinge ermittelt werden: Zum einen können Sie feststellen, ob
die letzte Änderung erfolgreich repliziert wurde (Attribut description mit einem aktualisierten Wert
für Datum/Uhrzeit). Zum anderen können Sie die Dauer der Replikationsänderung feststellen,
indem Sie den Zeitunterschied zwischen dem Attribut description mit dem ursprünglichen Wert für
Datum/Uhrzeit und dem Wert für Datum/Uhrzeit des Attributs whenChanged ermitteln.