トップ回答者
国外子会社とのフォレストの信頼関係を結ぶ場合の注意事項について

質問
-
現在日本国内の親会社のActive Directory環境と国外の子会社にあるActive Directory環境で
フォレストの信頼関係を結ぼうと考えています。
[構成]
フォレストA ドメイン tokyo.local
OS:Windows Server 2012 R2
フォレスト機能レベル:Windows Server 2012 R2フォレストB ドメイン manila.local
OS:Windows Server 2012 R2
フォレスト機能レベル:Windows Server 2012 R2日本国外の子会社のため、ライセンス関係としてCALの問題等をサポートへ確認していますが、
そのほかに各サーバの時刻差など注意すべき点は、ありますでしょうか。
国外拠点とは、クラウド環境経由のVPNでFSMO同士の通信を確立させる予定です。
お手数ですが、ご教授お願いいたします。
回答
-
チャブーンです。
WindowsのNTP時刻同期に関しては、内部的にはUTCで行っていますので、タイムゾーンの差異による問題が発生することはない、という理解です。
ただし、(当たり前ですが)フォレストが違えばフォレスト内の基準となる時刻サーバー(PDCエミュレーター)は別になりますので、両者が正しい現在時刻を保持する必要があります。
これまた当たり前ですが、それぞれのフォレストが属する国内の「外部NTPサーバー」から現在時刻を取得すれば、(世界中の時刻サーバーはきちんと合っているので)互いの時刻は一致します。ないとは思いますが、フォレスト同士のPDCエミュレーター間で時刻を同期させる、といった理に適わないやり方をする必要はありません。
信頼を行った場合、ドメインコントローラー間で「紹介」を行いますが、原則的には全台のドメインコントローラーが通信可能である必要があります。たとえばフォレスト間のFSMO同士だけが通信可能といった場合、構築時には問題がなくても、実際の利用時にFSMO以外の「紹介」先がIP不達で認証に失敗する、といったことが発生しますので、注意してください。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年12月6日 0:55
- 回答としてマーク 栗下 望Microsoft employee, Moderator 2017年12月29日 1:30
すべての返信
-
チャブーンです。
WindowsのNTP時刻同期に関しては、内部的にはUTCで行っていますので、タイムゾーンの差異による問題が発生することはない、という理解です。
ただし、(当たり前ですが)フォレストが違えばフォレスト内の基準となる時刻サーバー(PDCエミュレーター)は別になりますので、両者が正しい現在時刻を保持する必要があります。
これまた当たり前ですが、それぞれのフォレストが属する国内の「外部NTPサーバー」から現在時刻を取得すれば、(世界中の時刻サーバーはきちんと合っているので)互いの時刻は一致します。ないとは思いますが、フォレスト同士のPDCエミュレーター間で時刻を同期させる、といった理に適わないやり方をする必要はありません。
信頼を行った場合、ドメインコントローラー間で「紹介」を行いますが、原則的には全台のドメインコントローラーが通信可能である必要があります。たとえばフォレスト間のFSMO同士だけが通信可能といった場合、構築時には問題がなくても、実際の利用時にFSMO以外の「紹介」先がIP不達で認証に失敗する、といったことが発生しますので、注意してください。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年12月6日 0:55
- 回答としてマーク 栗下 望Microsoft employee, Moderator 2017年12月29日 1:30
-
フォーラムオペレーターの栗下 望です。
kazatti さん、こんにちは。ご質問いただいた内容については、その後いかがでしょうか?
チャブーンさんから返信いただいていますので確認いただき、
何か進展があればこちらのスレッドにてご共有いただければ幸いです。参考になった回答があれば[回答としてマーク]を設定いただけますと、
お役に立った情報が明確になり、他のユーザーの参考にもしやすくなりますので、
ご協力いただければと思います。どうぞよろしくお願いいたします。
MSDN/TechNet Community Support 栗下 望