Innledning
I forrige artikkel i denne serien har vi sett på hva som har et single point of failure kan bety i et miljø hvor alle dine domenekontrollere er virtualisert. Denne artikkelen ser på noen andre hensyn når virtual Windows Server 2012-domenekontrollere og om det er likevel viktig å ha minst en fysisk domenekontroller til stede i miljøet. Legg merke til at med mindre annet er angitt anbefalingene i denne artikkelen gjelder for både Windows Server 2012 og Windows Server 2012 R2.
Revisiting utstedelse av hardware /software mangfold
I forrige utgave av denne serien vi beskrev hvordan sikre mangfold for både systemets maskinvare (f.eks bruk servere med forskjellige typer /modeller og /eller forskjellige leverandører) og virtualiseringsprogramvare (f.eks kombinere Hyper-V med VMware eller annen virtualiseringsplattform) kan bidra til å forhindre en single point of failure skjer med Active Directory infrastruktur. Men det er en annen måte slik risiko kan reduseres, og dette er beskrevet i TechNet-artikkelen Running Domain Controllers i Hyper-V, som sier følgende:.
"Opprettholde fysiske domenekontrollere i hvert av domenene Dette reduserer risikoen for en virtualiseringsplattform funksjonsfeil som påvirker alle vertssystemer som bruker denne plattformen. " Så prøvde og sanne tilnærming for å ha en fysisk domenekontroller per domene, mens de andre er virtualisert mai likevel ofte være den beste tilnærming til å dempe single-point-of-failure risiko for Active Directory infrastruktur. Det er fordi denne tilnærmingen innebærer mindre administrasjonskostnader enn distribusjon og administrasjon av to separate virtualiserings infrastrukturer for din organisasjon. Men samtidig ha en fysisk domenekontroller for hvert domene er en god idé, det er et alternativ du kan utforske som er beskrevet i neste avsnitt selv om tilnærmingen beskrevet nedenfor ikke helt dempe risikoen for hva som kan skje hvis din go-to virtualiseringsplattform bør være kompromittert. En Microsoft konsulent jeg har snakket med som har hjulpet flere store bedrifter virtualisere sine miljøer anbefaler at mens det er mulig å virtualisere alle dine Windows Server 2012-domenekontrollere, hvis du velger å gjøre, så du bør sørge for at du har minst én dedikert virtualisering vert hvis eneste formål er å arrangere en virtuell domenekontroller ved hjelp av Hyper-V. Med andre ord, har den fysiske verts bare én server rollen installert (Hyper-V) og vertene bare en enkelt virtuell maskin (en virtuell domenekontroller). Hovedårsaken til dette er at det tillater deg å eliminere eventuelle avhengighet mellom domenekontroller som kjører på denne dedikert vert og datasenteret klynge. Selv om dette ikke er så kritisk et problem med Windows Server 2012 som det var med clustering på tidligere versjoner av Windows Server (se KB888794 for detaljer) det tillater deg å forenkle konfigurasjonen av datasenteret klynge. Men det er en annen grunn til å følge denne tilnærmingen, og dette er forklart i neste avsnitt. En viktig grunn til å virtual dine domenekontrollere er at det i stor grad kan forenkle og hastighet organisasjonens gjenoppretting etter en katastrofe. Dette er fordi gjenoppbygge en virtuell maskin er enklere enn å gjenoppbygge en fysisk server, årsaken er at du ikke trenger å bekymre deg om å sørge for at du har de nyeste driverne for serveren. En fysisk server krever vanligvis leverandørspesifikke drivere i orden for sitt hovedkort, lagring, nettverkskort og andre maskinvarekomponenter for å fungere skikkelig. En virtuell maskin bruker imidlertid bare et lite sett med standardiserte virtuelle enhetsdrivere. Så for eksempel, la oss si du har fysiske domenekontrollere alle som kjører på en viss type Dell-systemet maskinvare. En katastrofe da skjer og alle dine fysiske domenekontrollere gå opp i røyk. Heldigvis har du full backup av noen av dem (du trenger full backup fordi systemet statlige sikkerhetskopier ikke kan gjenopprettes til en annen forekomst av underliggende driftsresultat sytsem), men dessverre du ikke har noe ledig system hardware av den typen som ble ødelagt . Så du prøver å gjenopprette en av sikkerhetskopiene til en ekstra HP serveren du har legging rundt, men etter å ha utført gjenopprett du finne at din nye fysiske domenekontroller ikke klarer å starte riktig, problemet blir at sjåførene Dell enhets i din fulle backup vant ' t arbeide med HP systemets maskinvare. Hvis du har de nødvendige Dell drivere tilgjengelig kan du være i stand til å installere dem og få ny fysisk domenekontroller fungerer, men trenger ulike lagringsdrivere som RAID kontrollerdrivere kan komplisere ting mye. Nå skal vi endre scenario og forestill deg at alle dine domenekontrollere er virtualisert med hver og en som kjører på en annen Hyper-V host. En katastrofe inntreffer, og alle dine virtualiserings vertene gå opp i røyk. Men du har full backup av noen av dem (og du har gjort disse full backup ved hjelp av gode gamle Windows Server Backup) og du har en ekstra HP boks sitter rundt slik at du installerer Windows Server 2012 R2 på boksen, legger Hyper-V-rollen, opprette en ny virtuell maskin på boksen og gjenopprette en av sikkerhetskopiene på den virtuelle maskinen for å gjenskape en av dine virtuelle domenekontrollere. Voila, du har din Active Directory infrastruktur oppe og går igjen i nesten ingen tid i det hele tatt. Detaljert fremgangsmåte for å gjenopprette en virtuell domenekontroller fra sin full backup er som følger: Hva alt dette illustrerer er at virtualdomenekontrollere kan forbedre kontinuiteten i virksomheten din ved at du kan få mer enkelt og raskt i tilfelle en katastrofe skjer. La oss si Contoso Ltd. planer om å virtual alle sine Windows Server 2012-domenekontrollere. Du skal bruke diverse hardware for Hyper-V vertsmaskiner, og hver virtuelle domenekontroller skal kjøre på en dedikert vert. Spørsmål: bør du domene bli med disse vertene til contoso.com domene? Eller skal du la dem som frittstående verter? Det er et vanskelig spørsmål å svare så det virker som en kylling-og-egget scenario i forhold til om du kan ha noen problemer Opplasting vertene bør Active Directory gå ned . Denne artikkelen ved Altaro, en respektert leverandør av Hyper-V backup-løsninger, foreslår at kylling-og-egget historien er egentlig bare en myte, og i virkeligheten er ikke et problem. Men realiteten er at det er en god idé hvis minst en av maskinene hosting dine domenekontrollere kan starte uten noen eksterne krav, for eksempel det å kunne lykkes autentisere mot Active Directory. Så det kan være en god idé Hvis du ikke bli med virtualiseringsverter til ditt domene (dvs. til Active Directory som blir arrangert i virtuelle maskiner på disse vertene). Dessverre hvis du tar denne tilnærmingen så kan du legge noen ledelse overhead siden det er Messier å administrere flere maskiner i en arbeidsgruppe enn når de er domene-sluttet. I utgangspunktet hver organisasjon må vurdere risiko og nytte av dette problemet før du bestemmer hvilken du skal velge. Mange, dessverre. Når vi prøver og ser for seg hva som kan gå galt under en katastrofe, kan vi komme opp med en liste over 10 ting som kan gå galt. Så en ekte katastrofe skjer, og vi finner ut det er virkelig 20 ting som kan gå galt! Den virkelige verden er alltid mer komplisert enn vår fantasi. Skulle du være vert for virtuelle domenekontrollere på bladservere som utnytter Storage Area Network (SAN) som sin lagringsplass? Jeg har hørt om ett tilfelle der SAN admin påføres en firmware oppdatering til sine SAN og det null alt til standardinnstillingene og alle de virtuelle domenekontrollere sluttet å fungere. Dette var spesielt et problem fordi SAN programvare tilsynelatende trengte Active Directory for å fungere. Skulle du ha alle dine domenekontrollere inni datasenteret for større sikkerhet? Jada, men da en elektriker kommer sammen og gjør noen såkalte "rutinemessig vedlikehold" som dreper makt til rack av servere hosting virtuelle domenekontrollere. Skulle du stole på din virtualisering leverandøren for å alltid få det høyre? Jeg har hørt om flere foretak som ble rammet av KB2853952 og det er ingen garanti for at noe sånt som dette ikke kan skje igjen i fremtiden. Og jeg er sikker på at dere lesere der ute kan tenke seg (eller husker) flere andre ting som kan gå galt. Hvis du har spørsmål om domenekontroller maskinvare planlegging, det beste stedet å spørre dem er Active Directory Domain Services forum på TechNet. Hvis du ikke får hjelpen du trenger det, kan du prøve å sende spørsmålet ditt til [email protected] slik at vi kan publisere den i English våre lesere delen av vårt nyhetsbrev og se om noen av de nesten 100 000 IT pro abonnenter av vårt nyhetsbrev har noen forslag angående problemet. Anmeldelser
ansatt minst én dedikert fysisk vertsmaskinen
Hardware uavhengig katastrofegjenoppretting
Enten bruke eksisterende virtuelle maskinen (hvis du har en kopi av det) eller opprette en ny virtuell maskin
Hvis du oppretter en ny virtuell maskin, sørg for at den har samme antall disker som den opprinnelige (sikkerhetskopierte) virtuell maskin, og at diskene i den nye virtuelle maskinen er minst like stor i størrelse som de i den opprinnelige virtuelle maskinen.
Bruk Windows Server installasjonsmediet for å starte ny virtuell maskin i Windows Pre-installasjon Environment (WinPE).
Kjør Windows Server Backup til å gjenopprette den virtuelle domenekontroller fra full backup du har av den opprinnelige virtuelle maskinen.
Resultatet vil være en eksakt kopi av den opprinnelige virtuelle domenekontroller som tidligere ble støttet opp.
På vidt dine virtualiserings vertene bør være domene sluttet
Hva annet kan gå galt?
Likevel fikk spørsmål om Active Directory?