Pages

Subscribe:

Ads 468x60px

2014年4月22日 星期二

管好AD網域控制站的技巧

為了因應企業截然不同的應用需求,有時負責管理網域運作的網域主控站,也必須經過適當的調校,才能正常提供服務。
文/楊啟倫 | 2008-09-01發表
Active Directory(AD)是許多企業廣泛使用的管理工具,在網域的樹系結構之下,內部網路各處的電腦、印表機、共享資源,乃至於使用者等物件(Object)皆可透過AD統一管理。然而,AD在建置上仍有一些需要注意的,例如為了因應企業之間截然不同的應用需求,有時負責管理網域運作的網域主控站(Domain Controller,DC)也必須經過適當的調校,才能正常提供服務。

本身擅長於AD、Exchange Server等領域的微軟最有價值專家廖康寧,就他個人的實際經驗為例,DC的調校,可以從DNS伺服器、LDAP查詢(LDAP Query)、資料複寫(Replication),以及物件管理幾個方向著手進行,除此之外,企業應該避免針對單一組織單位(Organizational Unit,OU)指派過多的群組原則,或者套用一些錯誤的設定,導致一般個人端電腦開機時,花在登入網域的時間變得非常冗長。

如果是規模較小,或者是據點位於臺灣本島內部的企業,即使不去特別進行DC調校的工作,一般來說,通常也不會有什麼問題發生,只要各項功能可以正常使用即可,廖康寧表示,如果企業規模較大,或者是需要穿過廣域網路連接DC,建置AD之前就必須經過良好的規畫,將任何可能遇到的問題考量進來,而且調校的工作最好能在DC架設完成後的當下,就馬上進行。

自動清除無效的設定,避免相互複寫,造成效能浪費
DNS是DC的運作核心,在一臺電腦的登入網域的流程,它會去尋找DC要求驗證,透過DNS,電腦便能知道最近一臺的DC位於何處。而DNS則是依賴SRV記錄得知DC所在的IP位址,再將這項資訊,發布給企業網域下的所有電腦。

Windows的DNS伺服器有一項「自動清除過時資料」(scavenging record)的功能(預設不啟用),可以讓DNS每隔一段時間就清除一次無效的資料,預設的間隔是7天,超過這段時間一直沒有被使用的DNS記錄,就會視為多餘,而且是無效的記錄,為了不讓這些資料一直重複的被複製,造成效能上的浪費,同時也可以掌握DC上正常運作的節點數量。


調整架構,加快LDAP查詢
LDAP的查詢速度的快慢也和AD設定有關。對於企業來說,常見的LDAP查詢主要是發生在應用程式上,例如Exchange Server與Outlook之間的互動。

舉例來說,我們開啟Outlook去連接一臺Exchange Server的動作,其實就是在執行LDAP查詢,郵件伺服器會透過LDAP向後端擔任GC(Global Catalog)角色的DC,詢問Outlook傳送過來的帳號、密碼是否正確、有效,確認沒有問題之後,才會允許使用者收取郵件,下載到自己的電腦上閱讀。

廖康寧認為,GC是LDAP查詢過程中,需要加以調校的一項重點,許多人在設定時往往會忽略這一點,就他以前曾經協助處理過的一個案例來說,該企業在中國昆山、上海皆擁有據點,由於後者的使用者人數不多,因此在郵件服務的規畫上,就由上海的使用者透過廣域網路,連線到昆山的Exchange Server收取郵件。

雖然上海本身擁有一臺自己專屬的GC,然而由於郵件伺服器位於昆山,Exchange Server預設會和所在地的GC要求驗證,因此使用者必須連線到昆山的GC,來驗證帳號、密碼。

縱然兩地之間的連線頻寬沒有塞滿其他應用程式的封包,但資訊人員還是發現上海的使用者開啟Outlook之後,通常要經過數分鐘,到十幾分鐘不等,才能向昆山的GC完成驗證,收取郵件,速度非常緩慢。

他們後來針對兩地的GC同步進行了一些調校,讓上海當地的使用者能夠就近向當地的GC進行驗證,於是解決這項問題。


增加DC數量,降低伺服器負荷
在Windows NT 3.5x、4.0的時代,企業僅能在單一網域建立一臺主要網域主控站(Primary Domain Controller,PDC),以及多臺從事資料備份的備份網域控制站(Backup Domain Controller,BDC),兩種網域控制站之間的資料複寫,是以單向方式進行。

Windows 2000取消了PDC、BDC的角色區別,所有位於同一網域下的DC皆具備相同的功能,不但可以提供驗證服務、派送群組原則進行管理,同時也融入BDC的功能,DC之間可以使用雙向方式複寫對方的網域設定。

對於規模較大的企業來說,一般都會在內部網路部署一臺以上的DC,除了預防其中一臺機器因為各種可能的原因產品故障,導致企業內部的網路服務癱瘓,以及資料的流失之外,另外一項考量就是達到DC之間的負載平衡(Load Balance),透過整合DHCP服務的方式,我們可以讓網域下方的電腦各自連接不同的DC,以減輕單一DC的運作負荷。


在規模龐大的企業環境下,我們可以整合DNS,將電腦分成數群,各自向不同的DC進行驗證,以減輕DNS伺服器的負荷。

今年剛發表的Windows Server 2008在網域功能上,提供了一項「唯讀網域控制站」(Read Only Domain Controller,RODC)的新功能,廖康寧指出,RODC並不是用來從事負載平衡,而是方便一些沒有資訊人員常駐的分公司能夠就近找尋DC要求驗證,進而更快速地登入企業網域,擔任RODC角色的伺服器如果出了問題,這時候分公司的電腦仍可透過廣域網路連回總公司的DC實施驗證,或者更新群組原則,不會因此產生太大的影響,頂多就是受限於頻寬,使得資料的傳輸變慢一些而己。

有效管理DC元件
就廖康寧近期從事微軟System Center Configuration Management(SCCM)導入的工作來說,他認為DC的物件管理也是一項很重要的調校工作,如同剛才所提到的DNS,無效的資料的伺服器之間複寫,除了會造成效能的浪費,另外,也有可能造成軟體無法透過DC進行自動部署。

代理程式的安裝率,是SCCM部署工作中,非常重要的一點。安裝率愈低,即代表產品目前可能沒有辦法有效管理企業內部的電腦,以他們公司為例,代理程式安裝率須達到95%以上,才算合格。

SCCM的代理程式安裝率無法提高有一些原因,例如,當企業內部的電腦超過30天沒有登入網域,就會被DC視為一個無效物件,當電腦在DC上成為無效物件之後,就無法登入網域,派送群組原則,同時這個物件會一直在於DC,無法像DNS記錄一樣可以自動清除,然而透過DC部署軟體時,並不會去判別物件的有效性,只要物件存在,SCCM就會認為這臺電腦需要被安裝代理程式。

這臺電腦可能是一臺筆電,被員工帶到國外出差長達半年,或者是一臺離職員工所屬的電腦,考量到這臺電腦還是有可能在DC上進行一些有效的活動,因此他們並沒有針對DC上的無效電腦物件進行清除的動作。

如何找出無效的電腦物件?廖康寧表示,無效物件並沒有辦法從DC的主控臺上分辨出來,他們的做法是在SCCM的SQL資料庫進行查詢,從電腦最後一次登入網域的時間來判斷是否為無效物件。

取而代之的做法是,他們以DNS存在的有效記錄筆數,當做需要安裝SCCM代理程式的電腦總數,因為各種原因久未登入網域的電腦,自然就不會在DNS伺服器上出現任何記錄,因此才使得SCCM代理程式的安裝率得以提高。做好群組原則管理
企業內部的員工電腦、使用者等物件,通常會根據部門的不同而區分成多個組織單位,以便於各自指派不同的群組原則加以管理。因此,群組原則也是企業在調校DC時,需要加以考量的要項。
對於一個組織單位來說,群組原則數量如果設得太多,會造成電腦登入得很慢,群組原則依據性質又可向下區分為「電腦組態」,以及「使用者組態」兩類,如果企業管理內部電腦不需要用到其中一類的話,就應該使用群組原則物件編輯器(gpedit.msc)手動關閉,這樣一來,登入速度會變快一些。

避免不必要的錯誤設定
設定錯誤也是導致網域服務運作緩慢的常見原因。廖康寧表示,過去他自己曾經遇過一種狀況:資訊部門的其他同事,將一支含有錯誤內容的Logon Script批次檔放到DC上執行,而使得公司網域下的電腦,因為程式內容始終無法執行完畢,而必須花費比平常更久的時間才能登入網域,這雖然和上面提到的DC調校沒有直接關係,但是在企業日常管理DC的工作中,的確是相當值得注意的一個例子。

近期在微軟技術社群的討論區上,也出現過一則案例。

某企業位在臺北的總公司及汐止的分公司,原本各自有一臺DC,且同時為GC。但是後來由於變更網域架構關係 ,他們決定拆除了分公司的DC,讓所有電腦改經由專線連回總公司向DC要求驗證。

完成變更之後,使用者發現電腦登入網域的速度明顯變慢,甚至發生連接不到總公司DC的情況,經過了解,原來是因為原本用來複寫兩臺DC資料的子網路設定,沒有隨著網路的變動而隨之移除,造成分公司的電腦登入網域時,出現了不正常的錯誤訊息。


除了單純的調校之外,企業也應該避免在DC上從事一些錯誤設定,造成電腦登入網域的速度遲緩。

重整資料庫內容,可維持DC效能
除了廖康寧剛才所提到的幾項重點之外,網域資料庫的重整,對於DC的效能表現也會有很大影響,當AD建立之後,DC會將網域樹系的所有設定儲存在C:\WINDOWS\NTDS下的ntds.dit,這個檔案就是所謂的網域資料庫。網域資料庫可分為Schema(建立和管理網域物件的屬性與定義)、Configuration(儲存和網域架構有關的資料)、Domain(儲存網域物件),以及Application(儲存應用程式資料)四個分割區。

網域資料庫與電腦硬碟的管理工作其實大同小異,同樣需要進行重組才能維持效能,Windows Server 2003的網域資料庫重組是在離線模式下進行,重新開機之後,按下F8,進入AD還原模式,輸入ntdsutil指令進行重組作業,而在Windows Server 2008的環境下,網域資料庫的重整就不需要重新啟動DC,在網域功能正常運作的當下,就可以同時進行線上重組。文⊙楊啟倫


企業網域控制站設定的4個調校技巧
微軟最有價值專家廖康寧根據自己在企業內部管理AD的實際經驗,提供了我們以下4個經常使用到的技巧,做為企業日後調整DC設定的參考依據。



資料來源

沒有留言:

張貼留言