הוספת בקר תחום נוסף לתחום AD קיים

כדי לבנות תשתית Active Directory עמידה בפני תקלות וכדי להתמודד עם בקשות לקוח לאיזון עומסים, דרושים לך לפחות שני בקרי תחום. מומלץ גם ליצור בקרי תחום נוספים באתרים מרוחקים. במאמר זה, נבחן כיצד להוסיף בקר תחום נוסף (משני, שלישי וכן הלאה) לתחום AD קיים.

הכנת Windows Server לפריסת בקר תחום

פרוס מארח חדש (פיזי או וירטואלי) שבו פועל Windows Server. מומלץ להשתמש באותן גירסאות של Windows Server בכל DCs ב- Active Directory. זהו Windows Server 2019 בדוגמה שלי.

התחל עם התצורה הראשונית של מארח Windows Server החדש.

השתמש ב- Server Manager או בפקודה PowerShell כדי להגדיר את שם בקר התחום המתאים לתשתית שלך (לדוגמה, mun-dc02):

Rename-Computer -NewName mun-dc02

הגדר כתובת IP סטטית עבור השרת וספק את הגדרות ה- DNS. כשרת DNS מועדף, הקלד

127.0.0.1

(כדי ששאילתות ה- DNS שלך יפעלו מהר יותר). לאחר מכן הזן את כתובת ה-IP של בקר התחום הקרוב ביותר באותו אתר AD שבו נמצא ה-DNS החלופי. באפשרותך להשתמש ב- PowerShell כדי להגדיר הגדרות IP ו- DNS ב- Windows:

Get-NetAdapter
New-NetIPAddress -IPAddress 192.168.13.14 -DefaultGateway 192.168.13.1 -PrefixLength 24 -InterfaceIndex 6
Set-DNSClientServerAddress -InterfaceIndex 6 -ServerAddresses ("127.0.0.1","192.168.10.14")

הגדר את אזור הזמן וודא שהשעה הנכונה הוגדרה בשרת.

התקן את עדכוני האבטחה האחרונים (באפשרותך להתקין עדכונים משרת WSUS מקומי או מ- Windows Update). דרך נוספת שבה באפשרותך להתקין עדכוני Windows היא באמצעות מודול PSWindowsUpdate PowerShell.

לאחר מכן הפעל גישה לשולחן עבודה מרוחק (RDP), צרף את מחשב Windows Server שלך לתחום Active Directory והפעל מחדש את Windows:

Add-Computer -DomainName a-d.loc
Restart-Computer -force

אם אתה פורס DC עבור אתר מרוחק חדש, פתח את מסוף האתרים והשירותים של Active Directory (

dssite.msc

), ליצור אתר חדש ולאגד אליו את רשתות המשנה של לקוח ה- IP שיוצגו על-ידי ה- DC שלך.

התקנת התפקיד Active Directory Domain Services (ADDS) ב- Windows Server

באפשרותך להתקין את התפקיד Active Directory Domain Services (ADDS) ב- Windows Server לאחר שהכנתם אותו. פתח את Server Manager, עבור אל Manage -> Add Roles and Features -> Server Roles -> ובדוק את Active Directory Domain Services.

באפשרותך גם להתקין את התפקיד ADDS עם PowerShell:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools -Verbose

ודא שהתפקיד AD Domain Services הותקן:

Get-WindowsFeature -Name *AD-Domain*

הוספת בקר תחום חדש לתחום קיים של Active Directory

לאחר התקנת התפקיד 'הוספות', באפשרותך לקדם את מארח Windows Server משרת חבר לבקר תחום.

במסוף Server Manager, לחץ על Promote this server to a domain controller.

לאחר מכן בחר הוסף בקר תחום לתחום קיים.

בחר שברצונך להתקין שרת DNS בשרת זה ולהפוך את התפקיד קטלוג כללי לזמין.

לאחר מכן הגדר את הסיסמה עבור מצב שחזור שירותי מדריך כתובות (DRSM).

במצב DSRM, באפשרותך לשחזר בקר תחום AD מעותק גיבוי.

הפוך את האפשרות לזמינה אם בכוונתך לפרוס בקר תחום לקריאה בלבד. במקרה זה, לא נשתמש באפשרות זו מכיוון שעלינו לפרוס DC רגיל (קריאה/כתיבה, RW).

בחר את אתר AD שבו ברצונך למקם את DC החדש (בדוגמה שלנו, בחרנו באתר MUN שיצרנו זה עתה).

דלג על שלב הקצאת שרת DNS.

לאחר מכן תוכל לבחור את בקר התחום הקרוב ביותר לשימוש לשכפול מסד הנתונים של AD ל-DC החדש שלך. במקרה שיש לך את כל DCs בקרבת מקום מחובר על ידי קישורים מהירים, בחר כל בקר תחום. שים לב שהשכפול הראשוני של הספרייה ו- SYSVOL ל- DC החדש עלול לגרום לעומס מוגזם על קישורי WAN.

בעת פריסת DC חדש באתר מרוחק עם חיבור גרוע או לא יציב, באפשרותך להשתמש במצב IFM (התקנה ממדיה). זה דורש ממך לצלם תמונה של מחיצת התחום ו- SYSVOL ב- DC קיים, להעתיק אותה למדיה פיזית ולהעביר אותה לסניף כדי שה- DC החדש ייפרס.

לאחר מכן ספק נתיבים למסד הנתונים ADDS (ntds.dit) וספריות sysvol. נתיבי ברירת המחדל יפעלו היטב ברוב המקרים:

```
C:\Windows\NTDS
```
```
C:\Windows\SYSVOL
```

זה הזמן שבו הליך האימות צריך להתחיל. ההודעה הבאה אמורה להופיע אם עמדת בכל התנאים המוקדמים:

All prerequisite checks passed successfully.

כל שנותר לעשות כעת הוא ללחוץ על התקן ולקדם את השרת שלך ל- DC.

באפשרותך גם להשתמש ב- PowerShell כדי לפרוס בקר תחום חדש. לכן, כל ההגדרות המתוארות לעיל ניתן להגדיר עם פקודה אחת:

Import-Module ADDSDeployment
Install-ADDSDomainController -NoGlobalCatalog:$false -CreateDnsDelegation:$false -CriticalReplicationOnly:$false -DatabasePath "C:\Windows\NTDS" -DomainName "a-d.loc" -InstallDns:$true -LogPath "C:\Windows\NTDS" -NoRebootOnCompletion:$false -SiteName "MUN" -SysvolPath "C:\Windows\SYSVOL" -Force:$true

לאחר השלמת ההתקנה, השרת יופעל מחדש באופן אוטומטי.

כיצד לבדוק את תקינות בקר התחום החדש

לאחר ההתקנה של DC חדש, יהיה עליך לבדוק את מצבו ואת נכונות השכפול ב- Active Directory.

תחילה, ודא שבקר התחום החדש מופיע תחת הגורם המכיל של בקרי תחום במסוף ADUC.

באפשרותך גם להשתמש במודול AD PowerShell כדי לקבל מידע אודות DC החדש שלך:

Get-ADDomainController -Identity MUN-DC02

כך תוכל לבדוק את מצב השכפול בין בקרי התחום:

repadmin /showrepl *
repadmin /replsummary

וקבל פרטים על שותפי שכפול עבור DC מסוים:

repadmin /replsummary mun-dc02

במקרה שלי, ערך הדלתא הגדול ביותר לא היה ידוע. זה בדרך כלל בגלל ששכפול עדיין לא הושלם. באפשרותך לכפות את השכפול באמצעות מסוף האתרים והשירותים של Active Directory. לשם כך, הרחב את האתר שלך, בחר את ה- DC שלך, הרחב את הגדרות NTDS ולאחר מכן לחץ על הקישור ובחר שכפל הכל.

כמו כן, באפשרותך ליזום שכפול מלא באמצעות הפקודה:

repadmin /syncall

ודא שאין שגיאות שכפול.

באפשרותך להשתמש בסקריפט שבקישור כדי לבדוק את תקינות בקרי התחום ושכפול AD.

DC החדש שלך מוכן כעת לשרת לקוחות ולפעול כשרת כניסה למחשבים מרשתות משנה/אתרי IP המחוברים אליו.

לבסוף, אני משאיר אותך עם עוד כמה קישורים למאמרים שמנהלי AD ימצאו שימושיים:

כיצד להעביר/לתפוס תפקידי FSMO
כיצד להסיג (להסיר) בקר תחום
ניהול GPOs ב- Active Directory
שינוי שם תחום Active Directory
איפוס הסיסמה של מנהל תחום AD