Проверки состояния Active Directory

Active Directory в значительной степени полагается на DNS, поэтому начните с некоторых проверок DNS.

NSLOOKUP имя хоста Этот тест показывает, что DNS может преобразовать имя хоста в IP-адрес

DCDIAG / TEST: DNS Это позволит проверить правильность работы DNS и Active Directory.

NETDIAG / ТЕСТ: DNS Дополнительные тесты DNS

Как только вы убедитесь, что DNS работает правильно, вот еще несколько тестов

REPADMIN / SHOWREPS Это покажет вам, когда в последний раз выполнялась репликация с партнерами по репликации

REPADMIN / REPLSUM / ERRORSONLY Это отображает любые ошибки репликации между контроллерами домена.

DCDIAG / Q Король диагностических инструментов AD. Тестирует и сообщает обо всех компонентах AD.

NETDIAG Проверяет все

Recently saw that Microsoft released a interesting new replication status tool which seems pretty neat. More of a gui mutli server replication status check. This would certainly be one step in any AD health check:

http://blogs.technet.com/b/askds/archive/2012/08/23/ad-replication-status-tool-is-live.aspx

Чтобы дать вам некоторые идеи о том, что можно тестировать, вот несколько автоматических проверок, которые мы выполняем ежедневно.

• Проверка связи
• Связь с аутентификацией LDAP / порта 389
• Связь с аутентификацией GC / порта 3268
• Проверка DNS / порта 53. Это включает в себя поиск в контроллере домена имени хоста dns контроллера домена, чтобы убедиться, что возвращается только один адрес. Для контроллеров домена, имеющих несколько IP-адресов, мы подтверждаем, что значение реестра «PublishAddresses» определено в HKLM \ System \ CurrentControlSet \ Services \ DNS \ Parameters и соответствует ожидаемому IP-адресу.
• Тест Sysvol / FRS. Это включает проверку версии в самом последнем файле GPO gpt.ini и сравнение с эмулятором PDC.
• Проверка свободного места на диске (WMI).
• Синхронизация времени. WMI можно использовать для получения местного времени DC, и сравните с сервером, на котором выполняется тест, и отметьте, если разница приближается к пороговому значению (4 мин 50 с).
• Объявление сервера времени. вывод команды: 'nltest / server: serverName /dsgetdc:domainName.company.com' и убедитесь, что флаг TIMESERV присутствует.
• Тест сервера времени.
  1. Запросить у сервера по UDP / 123 действительный ответ NTP.
  2. Используйте w32tm.exe / query / computer: dcname / status / verbose , чтобы определить время последней успешной синхронизации DC и синхронизируется ли время DC.
  3. Используйте nltest. exe / server: dcname / dsgetdc: dcDomainDnsName , чтобы определить, действительно ли контроллер домена рекламируется как сервер времени. Реклама осуществляется через службу Netlogon.
• GC Advertising. Один из способов определить, действительно ли DC рекламируется как глобальный каталог, - это использовать repadmin / showreps . Если какой-либо раздел (еще) не был полностью реплицирован, отобразится «ПРЕДУПРЕЖДЕНИЕ: не рекламируется как глобальный каталог». Обратите внимание, что флаги NLTest могут указывать на то, что постоянный ток настроен как GC; эта «конфигурация» отличается от «рекламы». Это представляет особый интерес в больших распределенных средах со многими доменами, так как DC может занять несколько дней или недель, чтобы постепенно реплицировать все разделы до точки, где проходит тест GC.
• Тест репликации. У каждого домена есть объект «тег», и один из атрибутов используется для хранения значения даты и времени. Все контроллеры домена запрашиваются для этих объектов, а контроллеры домена со значениями, превышающими пороговое значение, помечаются на наличие проблем репликации.
• Проверка строгой согласованности репликации реестра . Строгая репликация - это значение по умолчанию для новых доменов Windows 2008 и более поздних версий, однако в более старых установленных средах AD это не было значением по умолчанию, и этот параметр должен был быть перенесен. Устаревшие объекты становится намного сложнее идентифицировать и разрешать в более крупных средах с множеством доменов и контроллеров домена.
• Счетчик ожидающих репликаций. Его можно получить через WMI или .NET. Это то же самое, что выполнить repadmin / queue . На контроллерах домена с большим количеством ожидающих репликаций репликация могла быть отключена по какой-то причине. Например, если бы была включена Строгая согласованность репликации , это определенно остановило бы репликацию, если бы недопустимый или удаленный объект попытался реплицировать входящий. Также возможно получить самую последнюю дату и время последней успешной репликации для конкретного соседа, которая может быть помечена, если она превышает пороговое значение.