Контроллер домена резервный: Как добавить второй контроллер домена

Содержание

Восстановление леса Active Directory-повторное развертывание оставшихся контроллеров домена

Twitter LinkedIn Facebook Адрес электронной почты

Статья
12/21/2022
Чтение занимает 4 мин

применимо к: Windows server 2022, Windows server 2019, Windows Server 2016, Windows Server 2012 и 2012 r2, Windows Server 2008 и 2008 r2

Шаги вплоть до этого момента применяются ко всем лесам: Найдите допустимую резервную копию для каждого домена, восстановите домены в режиме изоляции, повторно подключите их, сбросьте и очистите глобальный каталог и выполните очистку. На следующем шаге будет повторно развернуто лес. Это сильно зависит от структуры леса, соглашений об уровне обслуживания, структуры сайта, доступной пропускной способности и многих других факторов. Вам потребуется разработать собственный план повторного развертывания на основе принципов и предложений в этом разделе, который наилучшим образом подходит для бизнес-требований.

Следующим шагом является установка AD DS на всех контроллерах домена, которые присутствовали до восстановления леса. Если контроллеры домена по-прежнему существуют, необходимо будет принудительно удалить службу AD DS или переустановить контроллеры домена. Любые существующие резервные копии для этих контроллеров домена нельзя использовать повторно, так как соответствующие метаданные были удалены во время восстановления леса. В несложной среде этот процесс повторного развертывания может быть простым, так как повторное подключение восстановленных контроллеров домена к рабочей сети и повышение уровня новых контроллеров доменов по мере необходимости.

В крупных предприятиях с инфраструктурой по всему миру требуется более сложный план. Первым этапом обычно является восстановление AD как службы. Это означает, что необходимо установить стратегически размещенные контроллеры домена таким образом, чтобы все критические подразделения и приложения могли снова начать работать. Это может быть приемлемым, чтобы филиалы могли временно снизить производительность, как следствие этого. На втором этапе повторно развертываются все оставшиеся и менее важные контроллеры доменов.

Существует два способа установки дополнительных контроллеров домена, которые можно автоматизировать.

клонирования
- для виртуализированных сред, в которых выполняется Windows Server 2012, клонирование является самым быстрым и простым способом восстановления большого количества контроллеров доменов. Вы можете автоматизировать восстановление всех виртуальных контроллеров домена в домене после восстановления отдельного виртуального контроллера домена из резервной копии.
- Дополнительные сведения о клонировании и предварительных требованиях см. в статье Введение в виртуализацию домен Active Directory Services (AD DS) (уровень 100).
переустановите AD DS с помощью Windows PowerShell на серверах, на которых выполняется Windows Server 2012 (или Dcpromo.exe на серверах с более ранними версиями Windows Server) или с помощью пользовательского интерфейса.
- Чтобы ускорить повторную установку AD DS, можно использовать параметр установить с носителя (IFM), чтобы уменьшить трафик репликации во время установки. Дополнительные сведения об использовании команды ntdsutil ifm для создания установочного носителя см. в разделе Установка AD DS с носителя.

Рассмотрите следующие дополнительные моменты для каждой реплики контроллера домена, которые восстанавливаются в лесу с помощью виртуализированного клонирования контроллеров домена или путем установки AD DS (в отличие от восстановления из резервной копии).

Все программное обеспечение на контроллере домена, используемое в качестве источника для клонирования, должно быть способно клонировано. Приложения и службы, которые не могут быть клонированы, должны быть удалены перед инициацией клонирования. Если это невозможно, в качестве источника следует выбрать альтернативный виртуальный контроллер домена.

При клонировании дополнительных виртуализированных контроллеров домена из первого виртуального контроллера домена для восстановления необходимо завершить работу исходного контроллера домена во время копирования его VHDX-файла. Затем он должен быть запущен и доступен в сети при первом запуске клонирования виртуальных контроллеров домена. Если время простоя, требуемое для завершения работы, неприемлемо для первого восстановленного контроллера домена, разверните дополнительный виртуализированный контроллер домена, установив AD DS, который будет использоваться в качестве источника для клонирования.
На имя узла клонированного виртуального контроллера домена или сервера, на котором требуется установить AD DS, нет ограничений.
Можно использовать новое имя узла или имя узла, которое было использовано ранее. Дополнительные сведения о синтаксисе имен узлов DNS см. в разделе Создание DNS-имен компьютеров ( ).
Настройте каждый сервер с помощью первого DNS-сервера в лесу (первый контроллер домена, который был восстановлен в корневом домене) в качестве предпочитаемого DNS-сервера в свойствах TCP/IP сетевого адаптера. Дополнительные сведения см. в разделе Настройка TCP/IP для использования DNS.
Повторное развертывание всех RODC в домене с помощью виртуализованного клонирования контроллеров домена, если несколько контроллеров RODC развернуты в центральном расположении, или традиционного метода их перестроения путем удаления и переустановки AD DS, если они развертываются по отдельности в изолированных расположениях, таких как офисы филиалов.
- Перестроение RODC гарантирует, что они не будут содержать устаревших объектов и могут предотвратить возникновение конфликтов репликации позже. При удалении AD DS из RODC
  
  выберите параметр, чтобы хранить метаданные контроллера домена. При использовании этого параметра учетная запись krbtgt для контроллера домена только для чтения будет содержать разрешения на делегированную учетную запись администратора RODC и политика репликации паролей (политика репликации паролей), а также не нужно использовать учетные данные администратора домена для удаления и переустановки AD DS на RODC. Также сохраняются DNS-сервер и роли глобального каталога, если они установлены изначально на RODC.
- При перестроении контроллеров домена (RODC или записываемых контроллеров домена) может возникнуть увеличение трафика репликации во время повторной установки. Чтобы снизить это влияние, можно понизить расписание установок RODC, а также можно использовать параметр установить с носителя (IFM). Если вы используете параметр IFM, выполните команду
  ntdsutil ifm на ЗАПИСЫВАЕМом контроллере домена, которому вы доверяете, чтобы освободить поврежденные данные. Это помогает предотвратить появление возможных повреждений на RODC после завершения переустановки AD DS. Дополнительные сведения о IFM см. в статье установка AD DS с носителя.
- Дополнительные сведения о перестроении RODC см. в статье Удаление и повторная установка RODC.
Если контроллер домена выполнял службу DNS-сервера до сбоя леса, установите и настройте службу DNS-сервера во время установки AD DS. В противном случае настройте прежние DNS-клиенты с другими DNS-серверами.
Если требуются дополнительные глобальные каталоги для совместного использования проверки подлинности или загрузки запросов для пользователей или приложений, можно либо добавить глобальный каталог к исходному виртуальному контроллеру домена перед клонированием, либо сделать контроллер домена сервером глобального каталога во время установки AD DS.

Восстановление леса AD — необходимые условия
Восстановление леса AD — Девисинг план восстановления пользовательского леса
Восстановление леса AD. обнаружение проблемы
Восстановление леса AD. Определение способа восстановления
Восстановление леса AD — выполнение начального восстановления
Восстановление леса AD — процедуры
Восстановление леса AD — часто задаваемые вопросы
Восстановление леса Active Directory. Восстановление одного домена в лесу с несколькими доменами
восстановление леса active directory — восстановление леса с контроллерами домена Windows Server 2003

Администрирование контроллера Samba

Средства администрирования удаленного сервера от MS
Подготовка резервного контроллера домена
Добавление резервного контроллера в домен
Настройка NTP на контроллере домена dc1.skynet.murom
Настройка NTP на резервном контроллере домена dc2.skynet.murom
Настройка двунаправленной репликации sysvol и netlogon с помощью Unison

Средства администрирования удаленного сервера от MS

Введение ПК с Windows в домен Samba делается точно так же, как и ввод компьютера в домен MS AD.

Для администрирования домена Samba установите RSAT — https://wiki.samba.org/index.php/Installing_RSAT

Включите компоненты: «Установка удаление программ» — «Включение отключение компонентов» — «Средства удаленного администрирования сервера»

После настройки перезагрузите ПК.

В управлении DNS подключитесь к dc1.skynet.murom, добавьте обратную зону и PTR запись для контроллера домена dc1. Кроме работы с DNS через оснастку Windows есть способ добавления обратной зоны dns через консоль Linux:

#samba-tool dns zonecreate -U Administrator dc1.skynet.murom 88.168.192.in-addr.arpa

Следующие зоны, вероятно, создавать не обязательно, но такие зоны автоматически настроены на Windows srv:

samba-tool dns zonecreate -U Administrator dc1.skynet.murom 0.in-addr.arpa
samba-tool dns zonecreate -U Administrator dc1.skynet.murom 127.in-addr.arpa
samba-tool dns zonecreate -U Administrator dc1.skynet.murom 255.in-addr.arpa

Подготовка резервного контроллера домена

Настроите сеть, по примеру DC1.

Для этого, используйте утилиту «Сетевые соединения», расположенную в «Меню» → «Параметры» → «Сетевые соединения» в графическом окружении Cinnamon или «Система» → «Параметры» → «Сетевые соединения» в графическом окружении Mate. Выберите ваше активное подключение, нажмите кнопку «Изменить», перейдите на вкладку «Параметры IPv4», поменяйте «Метод» на «Вручную» и укажите IP-адрес, маску и шлюз. В поле «Серверы DNS» напишите адрес IP-адрес машины, а в поле «Поисковые домены» введите skynet.murom, нажмите применить и перезапустите NetworManager.

Проверьте, что все изменилось, выведя содержимое файла resolv.conf:

cat /etc/resolv.conf

nameserver 10.81.1.96
search skynet.murom

С помощью hostnamectl измените доменное имя машины на dc2.skynet.murom:

hostnamectl set-hostname dc2.skynet.murom

В /etc/hosts пропишите:

<IP-адрес-сервера-DC2> dc2.skynet.murom dc2

Добавление резервного контроллера в домен

Скопируйте конфигурации самбы c основного контроллера /etc/samba/smb. conf и /etc/krb5.conf

Поменяйте в /etc/samba/smb.conf

netbios name=DC2

Получите билет:

# kinit Administrator

и проверьте вывод:

# klist

Добавьте winbind в файл /etc/nsswitch.conf
Winbind будет использоваться как прокси между AD и связкой PAM и NSS. Для аутентификации AD winbind использует kerberos, а LDAP используется для получения информации.

DC2# nano /etc/nsswitch.conf
passwd: winbind sss files systemd
group:  winbind sss files systemd
shadow: winbind files sss
hosts:  files dns wins

Выполните команду присоединения к домену в роли «backend»:

samba-tool domain join skynet.murom DC -U Administrator --dns-backend=SAMBA_INTERNAL --realm=skynet.murom

Введите пароль от доменного Администратора контроллера домена.

При этом в прямой зоне DNS должна появиться соответствующая A запись.

Добавьте сервис samba в автозагрузку и запустите его:

systemctl enable samba.service
systemctl start samba.service

В dns добавляем Ptr запись нашего второго сервера в обратную зону.

Проверка репликации:

# samba-tool drs showrepl

В конце может быть «Warning: No NC replicated for Connection!», но, как написано на samba.com, — это не критично.

Команда запуска принудительной репликации:

samba-tool drs replicate dc2.skymet.murom dc1.skynet.murom dc=skynet,dc=murom

Первым указывается приемник, а следующим идет источник.

По умолчанию автоматическая репликация внутрисайтовая в Windows AD занимает 5 сек, межсайтовая репликация 15 мин.(значения эти не регулируются). Без успешной двунаправленной репликации в течение 14 дней DC исключается из Active Directory.

Настройка NTP на контроллере домена dc1.skynet. murom

Установка:

для РЕД ОС версии 7.1 или 7.2:

# yum install ntp

для РЕД ОС версии 7.3 и старше:

# dnf install ntp

Измените группу и права:

# chgrp ntp /var/lib/samba/ntp_signd/
# sudo chmod 750 /var/lib/samba/ntp_signd/

Отредактируйте конфигурационный файл:

# nano /etc/ntp.conf

Добавьте следующие строки:

server 127.127.1.0 
fudge 127.127.1.0 stratum 10 
server 0.pool.ntp.org iburst prefer
server 1.pool.ntp.org iburst prefer
ntpsigndsocket /usr/local/samba/ntp_signd/

Закомментируйте строки:

# driftfile /var/lib/ntp/ntp.drift
# logfile /var/log/ntp

Описание параметров файла конфигурации NTP:

ntpsigndsocket /usr/local/samba/ntp_signd/ — позволит клиентским машинам отправлять NTP-запросы к серверу используя Active Directory

Server — указывает на сервера синхронизации времени

restrict 127. 0.0.1 — обмен данным с самим собой

iburst — отправлять несколько пакетов (повышает точность)

prefer — указывает на предпочитаемый сервер времени

server 127.127.1.0 — позволит в случае отказа сети Интернет брать время из своих системных часов.

Старт NTP и добавление в автозапуск :

# systemctl stop chronyd && systemctl disable chronyd
# systemctl start ntpd && systemctl enable ntpd

Проверка статуса NTP:

# systemctl status ntpd.service

Проверить состояние получения эталонного времени можно командой:

# ntpq -p

Настройка NTP на резервном контроллере домена dc2.skynet.murom

Отключите сервис chrony:

# systemctl stop chronyd && systemctl disable chronyd

Запустите сервис NTP:

# systemctl start ntpd && systemctl enable ntpd

В файл /etc/ntp. conf на резервном контроллере добавьте строки:

server dc1.skynet.murom iburst prefer
server 0.pool.ntp.org iburst
server 1.pool.ntp.org iburst
server 2.pool.ntp.org iburst

Проверка:

[root@dc2 ~]# ntpq -p
remote refid st t when poll reach   delay offset jitter
==========================================================================
*dc1.skynet.murom 62.33.136.11 2 u - 64 1 0.272 0.177 0.618
cello.corbina.n 194.58.202.20 2 u - 64 1 14.088 2.191 0.673
62.183.87.106 194.190.168.1 2 u 1 64 1 48.239 9.129 10.577

Настройка двунаправленной репликации sysvol и netlogon с помощью Unison

https://wiki.samba.org/index.php/SysVol_replication_(DFS-R)

Папка SYSVOL содержит групповые политики и скрипты. Отсутствие репликации приведет к неправильной работе групповых политик и сценариев входа. Есть два варианта: однонаправленная синхронизации и двунаправленная. В первом случае, реплика снимается с основного контроллера и распространяется на все резервные.

Во втором работает в обе стороны. Используем для этого Rsync и Unison (программа двунаправленной синхронизации файлов).

Установка:

eсли вы используете РЕД ОС версии 7.1 или 7.2, выполните команду:

# yum install rsync unison

eсли вы используете РЕД ОС версии 7.3 и старше, выполните команду:

# dnf install rsync unison

Создание для ssh rsa ключей и копирование публичного ключ на DC2:

[root@dc1 ~]# ssh-keygen -t rsa
[root@dc1 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub [email protected]

Теперь без ввода пароля можно попасть по ssh с DC1 на DC2 выполнив команду:

ssh dc2.skynet.murom

При низких скоростях в сети, unison может некорректно работать, поэтому при повторной его работе будет использоваться ранее созданное подключение по ssh, для этого:

mkdir ~/. ssh/ctl
cat << EOF > ~/.ssh/ctl/config
Host *
ControlMaster auto
ControlPath ~/.ssh/ctl/%h_%p_%r
ControlPersist 1
EOF

Лог файл репликации (следим за размером лога!)

# touch /var/log/sysvol-sync.log
# chmod 640 /var/log/sysvol-sync.log

Создайте файла конфигурации unison, для этого создадим каталог .unison:

# mkdir /root/.unison

а теперь создадим в нем файл конфигурации:

# nano /root/.unison/default.prf

с содержимым:

root = /var/lib/samba
# Note that 2 x / behind DC2, it is required
root = ssh://[email protected]//var/lib/samba 
# Путь синхронизации
path = sysvol
#ignore = Path stats  ## ignores /var/www/stats
auto=true
batch=true
perms=0
rsync=true
maxthreads=1
retry=3
confirmbigdeletes=false
servercmd=/usr/bin/unison
copythreshold=0
copyprog = /usr/bin/rsync -XAavz --rsh='ssh -p 22' --inplace --compress
copyprogrest = /usr/bin/rsync -XAavz --rsh='ssh -p 22' --partial --inplace --compress
copyquoterem = true
copymax = 1
logfile = /var/log/sysvol-sync. log

Установка rsync и unison на DC2:

для РЕД ОС версии 7.1 или 7.2:

# yum install rsync unison

для РЕД ОС версии 7.3 и старше:

# dnf install rsync unison

Сделайте backup sysvol, потом запустите команду синхронизации:

/usr/bin/rsync -XAavz --log-file /var/log/sysvol-sync.log --delete-after -f"+ */" -f"- *" /var/lib/samba/sysvol [email protected]:/var/lib/samba && /usr/bin/unison
&> /dev/null

в этой строке программа rsync создает структуры каталогов с расширенными атрибутами, а затем программа Unison копирует только эти расширенные атрибуты файлов.

Межсайтовая синхронизации настраивается через оснастку(mmc) «Active Directory Sites and Services» в Windows. Оснастка входит в пакет RSAT.

Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.

Управление пользователями и группами в Samba DC

Настройка доверительных отношений Samba и MS Active Directory

404: Страница не найдена

ПоискWindowsServer

Страница, которую вы пытались открыть по этому адресу, похоже, не существует. Обычно это результат плохой или устаревшей ссылки. Мы приносим свои извинения за доставленные неудобства.

Что я могу сделать сейчас?

Если вы впервые посещаете TechTarget, добро пожаловать! Извините за обстоятельства, при которых мы встречаемся. Вот куда вы можете пойти отсюда:

Поиск

Узнайте последние новости.
Наша домашняя страница содержит последнюю информацию о Windows Server.
Наша страница «О нас» содержит дополнительную информацию о сайте, на котором вы находитесь, SearchWindowsServer.
Если вам нужно, свяжитесь с нами, мы будем рады услышать от вас.

Просмотр по категории

Облачные вычисления

Последний Google Cloud AI проливает свет на автоматизацию розничной торговли
Автоматизированные системы отслеживания запасов на базе искусственного интеллекта не идеальны. Однако ритейлерам с высокими показателями упущенных продаж не хватает. ..
Как настроить автомасштабирование в службе Azure Kubernetes
Изучите параметры масштабирования в AKS, такие как горизонтальный модуль и средство автомасштабирования кластера. Затем следуйте пошаговому руководству по …
Варианты IaaS и PaaS на AWS, Azure и Google Cloud Platform
Хотите перенести рабочие нагрузки вашей организации в облако? Узнайте о преимуществах и недостатках вариантов IaaS и PaaS…

Корпоративный настольный компьютер

5 шагов для выявления и устранения проблем с производительностью Windows 11
Администраторы Windows 11 могут столкнуться с многочисленными рабочими столами с различными проблемами производительности. Выполните следующие действия, чтобы определить …
Устранение наиболее распространенных проблем с Windows 11
Когда администраторы Windows 11 сталкиваются с проблемой на рабочем столе без четкого решения, они должны выполнить общее устранение неполадок. ..
Замедление продаж ПК привело к снижению цен Цены на ПК
падают, поскольку производители снижают цены для перемещения запасов. Насыщение рынка после пандемии является значительным…

Виртуальный рабочий стол

Общие сведения об управлении и хранении виртуальных рабочих столов Azure
В этом разделе вопросов и ответов автор Райан Манган обсуждает передовые методы управления виртуальными рабочими столами Azure, важность хранилища и многое другое…
Проверьте свои навыки управления хранилищем виртуальных рабочих столов Azure
Используйте эти вопросы, чтобы проверить, насколько хорошо вы знаете передовые методы управления хранилищем виртуальных рабочих столов Azure.
Как исправить неработающий микрофон удаленного рабочего стола
Гибридная работа может создать новые технические проблемы для сотрудников, а неработающий микрофон удаленного рабочего стола вызывает разочарование. ..

Почему вторичный контроллер домена имеет решающее значение для работы

Лучше всего умеют быть готовыми к худшему. Когда дело доходит до контроллера домена (DC) или Active Directory вашей компании, его потеря может означать дни дорогостоящего простоя.