トップ回答者
冗長化構成のドメインコントローラー再起動

質問
-
お世話になります。
初歩的なご質問かもしれないことをご容赦ください。
シングルフォレスト・シングルドメインの環境にて、
Windows パッチ適用の為、冗長化構成のドメインコントローラー(DC01,DC02)を交互に1台ずつ再起動しようと考えており、再起動の時間帯を検討しています。
クライアントへの影響範囲を確認しているのですが、クライアントがログオンしている先のドメインコントローラー(DC01)を再起動した場合、
DC01にログオンしているクライアントが再起動直後にドメインにログオンできなくなったり,ドメイン中のリソースにアクセスできなくなりますでしょうか。
また、ファイルサーバ等のメンバーサーバがネットワークに接続できなくなることはありますでしょうか。
回答
-
チャブーンです。
この件ですが、交互にドメインコントローラーを再起動させた場合に、通常問題点は発生しません。クライアントが新しい認証が必要なら、以前検出したドメインコントローラーが存在しなくても、新たなドメインコントローラーを再検出できます。一度認証した内容については、原則的に10時間は有効ですので、ドメインコントローラーに再確認する作業は行いません。
ただ、上記は、クライアントの「参照先DNSサーバー」が2台のドメインコントローラー両方を指している必要があります。どちらかしか指していないような場合は、両方を指すようにしてください。この項目については、ファイルサーバー等ドメインコントローラー以外のメンバーサーバーについても、同じです。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答としてマーク TakaTagu 2019年5月28日 15:52
すべての返信
-
チャブーンです。
この件ですが、交互にドメインコントローラーを再起動させた場合に、通常問題点は発生しません。クライアントが新しい認証が必要なら、以前検出したドメインコントローラーが存在しなくても、新たなドメインコントローラーを再検出できます。一度認証した内容については、原則的に10時間は有効ですので、ドメインコントローラーに再確認する作業は行いません。
ただ、上記は、クライアントの「参照先DNSサーバー」が2台のドメインコントローラー両方を指している必要があります。どちらかしか指していないような場合は、両方を指すようにしてください。この項目については、ファイルサーバー等ドメインコントローラー以外のメンバーサーバーについても、同じです。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答としてマーク TakaTagu 2019年5月28日 15:52
-
こんにちは
普通はDCを交互に1台ずつ再起動することでは問題がないと考えられます。
一つの条件として:別のDSNサーバーとGCが必要です。
下記のリンクですがご参照ください。
https://social.technet.microsoft.com/Forums/en-US/419a6da6-49df-470e-a295-860541722abe/rebooting-domain-controller-in-production-environment?forum=winserverDS
どうぞよろしくお願いいたします
Fan
Please remember to mark the replies as an answers if they help. If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
-
TakaTaguさん。はじめまして、こんにちは。
DCが複数台構築されている環境では、特定のDCだけが提供する機能(FSMO)があります。FSMOを提供しているDCが再起動されている間は、FSMOが機能しなくなる点にご注意ください。
参考情報:ドメインコントローラのリブートについて
https://social.technet.microsoft.com/Forums/ja-JP/340f3133-22d0-4218-a595-cc92a8974b4e/12489125131245212531124671253112488125251254012521123981252212?forum=activedirectoryja
※「.Yuki」さんの投稿がとても参考になります。より万全を期したいのであれば、DCをシャットダウンする前にFSMOを他方のDCに移動しておくことを推奨致します。
参考情報:WindowsのGUIでActive DirectoryのFSMO役割を他のDCへ転送する
https://www.atmarkit.co.jp/ait/articles/0906/05/news109.html -
FSMOの停止については下記URLに情報があります。
https://docs.microsoft.com/ja-jp/previous-versions/windows/it-pro/windows-server-2003/cc737648(v=ws.10)
規模、構成にもよりますが、FSMO移動は「必須」とまではいかないかと。
実施する際には、再起動後のAD-DSのサービスの正常性確認は必須です。dcdiag等での確認を忘れずに。 -
チャブーンです。
より万全を期したいのであれば、DCをシャットダウンする前にFSMOを他方のDCに移動しておくことを推奨致します。
余計なお世話かもしれませんが、更新プログラム適用後の再起動、というレベルであれば、移動する必要はないですし、心配もいらないと思います。FSMOはほとんど「Active Directory構成の変更」や「大量のオブジェクト作成」といったところで活躍するもので、平たくいうとドメイン自体の構成変更やドメインコントローラーの追加・GPOの編集といった作業を行っていない限り、問題は発生しません。
むしろ、FSMOを勝手に移動すると移動後に「整合性を確認するための複製作業」といった追加作業が発生してしまい、かえって面倒になったり、バックアップ取得後に問題が起こる可能性があります(FSMOの整合性がおかしくなる)。よほど長期のダウン状態でない限り、FSMOはそのままにしておくのが、一般的には望ましいです。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 編集済み チャブーンMVP, Moderator 2019年5月27日 11:59