トップ回答者
ADのサイトとサービスの構成について

質問
-
現在会社で構築しているAD環境の「サイトとサービス」の構成について、疑問があるため質問させていただきます。
私の会社のAD環境では、2拠点に2台のADサーバを設置して運用しています。
仮に拠点を「A」「B」、各拠点のADサーバを「A-1」「A-2」、「B-1」「B-2」とします。それらを、下記のように使用しています。
・管理者がメインでADに関する操作を行っているのは「A-1」
・「サイトとサービス」には、「A」と「B」のリンクを作成
・「A」のリンクに「A-1」と「A-2」、「B」のリンクに「B-1」と「B-2」が所属
・「サイトとサービス」のドメインサービス接続設定は、自動生成されたものだけで運用
・各拠点での優先DNSサーバは「A-1」「B-1」、代替DNSサーバに「A-2」「B-2」を使用以前は、この4台のサーバが、自動生成された接続設定でそれぞれ相互に繋がっていたように思うのですが、先日確認したところ、接続設定が次のようになっていました。
【接続設定内容】
「A-1」のレプリケート元:「A-2」
「A-2」のレプリケート元:「A-1」、「B-1」
「B-1」のレプリケート元:「B-2」
「B-2」のレプリケート元:「A-2」、「B-1」最初に構築を始めた目的は、どのADサーバがつぶれたとしても、各拠点で業務に滞りがないようにということでした。
しかし現在の上記構成で、すべてのADサーバに繋がりは確かにあるのですが、どのADサーバがつぶれたとしても業務が滞らない環境ではないように思いました。
(例えば、「A-2」がつぶれた場合、拠点「A」と拠点「B」で情報共有がされないように思います)以前はこのような構成でなかったように思うのですが、先日他の社員が「A-2」のサーバを新しいものと入れ替えた後確認したら、このような構成になっていることに気がつきました。
実はこの4台のADサーバを構築した人間が全員異なっており、さらに以前構築した3台の担当者もすでに退職しているので、正しい設定の確認がとれません。
(サイトとサービスに関する資料も残っていませんでした)
私としては、接続設定は次の通りでないといけないのではと考えております。【接続設定内容案】
「A-1」のレプリケート元:「A-2」、「B-1」、「B-2」
「A-2」のレプリケート元:「A-1」、「B-1」、「B-2」
「B-1」のレプリケート元:「A-1」、「A-2」、「B-2」
「B-2」のレプリケート元:「A-1」、「A-2」、「B-1」ですが、「サイトとサービス」の機能について情報を検索してみたのですが、「自動生成されます」という情報以外に、「こういう構成でなければならない」という情報が見つけられず、自分の考えに確証が持てません。
そこで、みなさまのお力を借りたく質問させていただきます。「どのADサーバがつぶれたとしても、各拠点で業務に滞りがないようにする」ためには、上記「接続設定内容案」の接続を、手動で追加設定することで間違いございませんでしょうか?
それとも、別の設定をするべきなのでしょうか?
構成のアドバイスをいただけたら幸いです。なお、「自動生成」されていた接続設定が消えてしまうことがあるのかどうかも、ご存知の方がいらっしゃったらお教えください。
また、「サイトとサービス」の設定について、詳しい情報サイトがございましたら、そちらもお教えいただけますと大変助かります。
みなさまのお知恵をお貸しください。
よろしくお願いいたします。2015年10月8日 0:57
回答
-
チャブーンです。
「A-1」のレプリケート元:「A-2」、「B-1」、「B-2」
「A-2」のレプリケート元:「A-1」、「B-1」、「B-2」
「B-1」のレプリケート元:「A-1」、「A-2」、「B-2」
「B-2」のレプリケート元:「A-1」、「A-2」、「B-1」まず、率直に申し上げて、うえのような構成はお奨めしません。というのはActive Directoryの「自動生成」接続オブジェクトはとてもよくできていて、以下のようなルールで作成されています。
- サイト内のドメインコントローラは「3ホップ」内で複製が完了するよう自動設定
- サイト間のドメインコントローラは1台の「ブリッジヘッドサーバ」が複製を行うよう自動設定
- サイト内/サイト間の自動設定は「15分ごと」にチェックが入り最適化される
うえは「接続オブジェクトは必要十分(過不足なく)用意する」ことと「問題が発生する前提で修正を入れる」ことを担保するためのしくみで、KCCという機能で実装されています。サーバを一時的にシャットダウンした際に、自動接続が変更されることがありますが、うえのルールは一般に守られていますので、システム動作上は問題ありません。
過剰な接続オブジェクトを(手動で)用意した場合、ドメインコントローラはすべての接続に対して、複製時に「再複製(反映済み情報を重複して受け取ること)が発生していないか」を個別にチェックするため、不必要なリソースを消費します。こうした挙動を防ぐため、KCCではフルメッシュ的な構成は行わないようになっているわけです。
たとえばサイト間通信で(仕様である)1対1通信が冗長性の観点から気に入らない、ということでしたら、したのような方法で自動化したまま冗長性を確保することも、可能ではありますね。
http://itpro.nikkeibp.co.jp/article/COLUMN/20080326/297200/?ST=neteng
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
2015年10月8日 3:07
すべての返信
-
チャブーンです。
「A-1」のレプリケート元:「A-2」、「B-1」、「B-2」
「A-2」のレプリケート元:「A-1」、「B-1」、「B-2」
「B-1」のレプリケート元:「A-1」、「A-2」、「B-2」
「B-2」のレプリケート元:「A-1」、「A-2」、「B-1」まず、率直に申し上げて、うえのような構成はお奨めしません。というのはActive Directoryの「自動生成」接続オブジェクトはとてもよくできていて、以下のようなルールで作成されています。
- サイト内のドメインコントローラは「3ホップ」内で複製が完了するよう自動設定
- サイト間のドメインコントローラは1台の「ブリッジヘッドサーバ」が複製を行うよう自動設定
- サイト内/サイト間の自動設定は「15分ごと」にチェックが入り最適化される
うえは「接続オブジェクトは必要十分(過不足なく)用意する」ことと「問題が発生する前提で修正を入れる」ことを担保するためのしくみで、KCCという機能で実装されています。サーバを一時的にシャットダウンした際に、自動接続が変更されることがありますが、うえのルールは一般に守られていますので、システム動作上は問題ありません。
過剰な接続オブジェクトを(手動で)用意した場合、ドメインコントローラはすべての接続に対して、複製時に「再複製(反映済み情報を重複して受け取ること)が発生していないか」を個別にチェックするため、不必要なリソースを消費します。こうした挙動を防ぐため、KCCではフルメッシュ的な構成は行わないようになっているわけです。
たとえばサイト間通信で(仕様である)1対1通信が冗長性の観点から気に入らない、ということでしたら、したのような方法で自動化したまま冗長性を確保することも、可能ではありますね。
http://itpro.nikkeibp.co.jp/article/COLUMN/20080326/297200/?ST=neteng
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
2015年10月8日 3:07