Active Directory.pdf - Gattner

566 Kapitel 14: Überwachen und Warten von Active Directory
Auf diese Weise können Sie die sogenannte Replikationsverzögerung des Verzeichnisses ermitteln.
Neben der Bestätigung, dass die Replikationen funktioniert, können Sie anhand der Replikationsverzögerung
außerdem feststellen, ob Ihr Entwurf und Ihre Infrastruktur von Active Directory im
Hinblick auf die Schnelligkeit von Replikationsänderungen Ihren Erwartungen entspricht, denn
dieser Aspekt wird beim Active Directory-Entwurf in der Regel als Anforderung festgelegt. Diese
Methode ist daher geeignet, Ihre Entwurfsentscheidungen zu bewerten und ggf. Maßnahmen zu
ergreifen, um Ihrer Replikations-SLA zu entsprechen.
Für diese Überwachung ist natürlich die Erstellung eines Skripts erforderlich. Auf meiner Website
http://www.lissware.net finden Sie im Bereich der Whitepaper einige ADSI-Skript-basierte Beispiele,
die Sie als Vorlage für Ihre eigenen Skripts verwenden können.
Darüber hinaus implementiert das Microsoft Active Directory Management Pack für Microsoft
Operations Manager (MOM) 2005 und Operations Manager 2007 genau diese Logik und nutzt
MOM zum Konsolidieren und Vergleichen der Ergebnisse, die von allen Domänencontrollern in
Ihrer Gesamtstruktur zur Ermittlung der Replikationsverzögerung gesammelt werden.
Alain Lissoir
Senior Program Manager
Active Directory – Connected System Division
Verwalten der Active Directory-Datenbank
Die Wartung der Active Directory-Datenbank ist ein besonders wichtiger Aspekt der Active Directory-Verwaltung.
Unter normalen Umständen ist eine direkte Verwaltung der Active Directory-Datenbank
eher unüblich, da der Status der Datenbank regelmäßig und automatisch überprüft wird. Diese
automatischen Verfahren umfassen eine Onlinedefragmentierung der Active Directory-Datenbank
sowie ein Verfahren zum Sammeln veralteter Objekte, um gelöschte Objekte zu entfernen. Für den
Fall, dass eine direkte Verwaltung der Active Directory-Datenbank erforderlich ist, stellt Windows
Server 2008 das Tool Ntdsutil bereit.
Sammeln veralteter Objekte
Eines der automatisierten Verfahren im Rahmen der Active Directory-Datenbankwartung ist die
Sammlung veralteter Objekte. Bei der Sammlung veralteter Objekte handelt es sich um ein Verfahren,
das im 12-Stunden-Takt für jeden Domänencontroller durchgeführt wird. Während des Sammelns
veralteter Objekte wird freier Speicherplatz innerhalb der Active Directory-Datenbank wieder
freigegeben.
Das Verfahren wird gestartet, indem zunächst Tombstones aus der Datenbank entfernt werden. Als
Tombstones werden die Artefakte von Objekten bezeichnet, die aus Active Directory gelöscht wurden.
Beim Löschen eines Objekts, z.B. einem Benutzerkonto, wird dieses nicht sofort gelöscht. Vielmehr
wird das Attribut isDeleted des Objekts auf den Wert true gesetzt, d.h. das Objekt wird als
Tombstone markiert, und ein Großteil der Attribute für dieses Objekt werden aus dem Objekt entfernt.
Es werden nur wenige Attribute beibehalten, die für die Ermittlung des Objekts benötigt werden,
wie z.B. die GUID (Global Unique Identifier, Global eindeutige Kennung), die SID (Security ID,
Sicherheitskennung), die USN (Update Sequence Number) sowie der DN (Distinguished Name, definierter
Name). Dieser Tombstone wird dann auf alle weiteren Domänencontroller der Domäne repliziert.
Jeder Domänencontroller behält bis zum Ablauf der Tombstone-Ablaufzeit eine Kopie des ver-