Active Directory.pdf - Gattner

564 Kapitel 14: Überwachen und Warten von Active Directory
Die Ereignisse 1009 und 1013 mit dem Namen NTDS-KCC als Quelle geben die KCC-Start- und
Stoppzeit an. Wenn Sie gleichzeitig die CPU-Auslastung überwachen, können Sie überprüfen, welche
Auswirkungen die KCC während ihrer Ausführung auf die CPU hat. Anhand dieser Informationen
können Sie beispielsweise die Lastaufteilung zwischen den Servern für die Topologieberechnung
und den Servern zur Verarbeitung von Authentifizierungsanforderungen ermitteln.
Zusammengefasst gesagt, sollten Sie bei der Überwachung von Active Directory das Gesamtbild
im Auge behalten. Sie ersparen sich böse Überraschungen, wenn Sie Ihr Active Directory-Ökosystem
als Ganzes betrachten, statt mit einzelnen Softwarekomponenten zu arbeiten.
Alain Lissoir
Senior Program Manager
Active Directory – Connected System Division
Überwachen der Replikation
Wenn Sie in Ihrem Unternehmen mehrere Domänencontroller ausführen, ist eine der wichtigsten
Komponenten für die Überwachung die Active Directory-Replikation. Die Replikation zwischen
Domänencontrollern wird für gewöhnlich mit Verwaltungsprogrammen wie beispielsweise Repadmin.exe,
Dcdiag.exe und dem Verzeichnisdienstprotokoll (zuvor im Rahmen der Ereignisanzeige
beschrieben) überwacht.
Bei Repadmin handelt es sich um ein Befehlszeilenprogramm, das über Fehler in einer Replikationsverknüpfung
zwischen zwei Replikationspartnern berichtet. Über den folgenden Befehl werden die
Replikationspartner und alle Replikationsverknüpfungsfehler für den DC1-Domänencontroller in der
Domäne Contoso.com aufgeführt:
repadmin /showrepl dc1.contoso.com
Das Befehlszeilenprogramm Dcdiag kann die DNS-Registrierung eines Domänencontrollers prüfen
und feststellen, ob die Sicherheitskennungen (Security Identifiers, SIDs) im NC-Kopf (Naming Context,
Namenskontext) über geeignete Replikationsberechtigungen verfügen. Außerdem kann es zur
Analyse des Domänencontrollerstatus in einer Unternehmensgesamtstruktur verwendet werden. Um
eine vollständige Liste der Dcdiag-Optionen zu erhalten, geben Sie die Zeichenfolge dcdiag /? ein.
Mit dem folgenden Befehl wird auf Replikationsfehler zwischen Domänencontrollern geprüft:
dcdiag /test:replications
Das Verzeichnisdienstprotokoll schließlich berichtet über Replikationsfehler, die nach der Erstellung
einer Replikationsverknüpfung aufgetreten sind. Sie sollten das Verzeichnisdienstprotokoll insbesondere
auf Replikationsereignisse vom Typ Fehler oder Warnung prüfen. Im Folgenden werden zwei
Beispiele für häufige Replikationsfehler und deren Anzeige im Verzeichnisdienstprotokoll dargestellt:
• Ereignis-ID 1311 Die Replikationskonfigurationsinformationen im Verwaltungsprogramm Active
Directory-Standorte und -Dienste stellen die physische Netzwerktopologie nicht präzise dar. Dieser
Fehler weist darauf hin, dass mindestens ein Domänencontroller oder Bridgeheadserver offline
ist, oder dass die Bridgeheadserver nicht die erforderlichen NCs hosten.
• Ereignis-ID 1265 (Zugriff verweigert) Dieser Fehler kann auftreten, wenn die Authentifizierung des
Replikationspartners durch den Domänencontroller beim Erstellen der Replikationsverknüpfung
oder bei dem Versuch, eine Replikation über eine bestehende Verknüpfung durchzuführen, fehlschlägt.