Aktives Verzeichnis Blog - All Comments

re: Hyper-V Replica Failover fuer Domain Controller

Herbert Mauerer [MSFT] — Wed, 05 Jun 2013 13:47:31 GMT

Hallo!

Dieses Henne-Ei Problem war jetzt nicht das Thema dieses Blogs. Nun ist das Thema immer sehr aktiv auf den TechNet-Foren, deswegen ist es wert das mal in größerem Rahmen zu besprechen.

Das ist ein Problem nur mit Hyper-V Clustern vor Windows Server 2012, das Thema ist mit Windows Server 2012 Hyper-V Host komplett gelöst. Damit Hyper-V Gäste starten kann, ist kein Domain Controller mehr nötig, der Dienst läuft unter LocalSystem und kann das Cluster-Volume allokieren ohne eine Domain-Anmeldung.

Abgesehen davon empfehlen wir nicht, alle Domain Controller auf derselben Hardware-Plattform zu betreiben, siehe "Avoid creating single points of failure":

technet.microsoft.com/.../virtual_active_directory_domain_controller_virtualization_hyperv(v=WS.10).aspx

Wichtig: Das Whitepaper empfiehlt nicht, mindestens einen DC pro Domain in Hardware zu betreiben. Es geht um Diversifizierung in der Hardware, andere unterstützte Hyper-Visoren sind also auch akzeptabel.

Vielleicht ist je nach Kundensituation aber auch ein komplett getrennter Hyper-V Cluster auch akzeptabel, da Microsoft sicher keinen Fehler einbaut, der Hyper-V Hosts als ganzes lahm legt.

Auch in Hardware ist man vor solchen Problemen nicht geschützt. Ein Beispiel wäre, wenn man nur gleiche Server mit demselben Raid Controller hat, und die neueste Version der Firmware hat einen Bug, der die Volumes korrumpiert.

Oder alle DCs arbeiten mit demselben SAN Backend und dieses hat einen Totalschaden.

Und ja, jedes dieser Beispiele ist schon mindestens einmal bei unseren Kunden passiert. Außer einem kompletten Hyper-V Ausfall, der war mit einem anderen, hier ungenannt bleibenden, Hyper-Visor.

Also insgesamt ein weiterer Grund, mit DCs und Hyper-V komplett auf Windows Server 2012 zu wechseln.

Viel Erfolg dabei wünscht

Herbert Mauerer

re: Hyper-V Replica Failover fuer Domain Controller

Matthias — Tue, 04 Jun 2013 16:07:00 GMT

Waren eure beiden HyperV Hosts nur in einer Workgroup, also ohne extra physischen Domänencontroller?

re: Wer hat von meinem Tellerchen gegessen? Wer hat meine Datenbank geändert?

Herbert Mauerer [MSFT] — Tue, 07 May 2013 13:12:58 GMT

wir haben zwei neue Ursachen für DIT-Wachstum gefunden, die spielen sich in Partitionen ab, die nicht offenichtlich sind:

1. Ein Kunde exportiert zu Backup-Zwecken regelmäßig Mailboxen. Für jeden Export wird ein Tracking-Objekt erzeugt mit dem Namen:

CN=724c18d345f4daa9c8dbec8bf27e5d6-partial@smtp-name.com,CN=MailboxExportRequests,CN=Mailbox Replication,CN=Exchange-Org,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=contoso,DC=com

Nach Ende des Exports wird das Objekt gelöscht. Die ganzen Tombstones sorgen dafür, dass die Datenbank anwächst.

Die Methode ist vom Exchange Team nicht empfohlen. Mit den Objekten müsst Ihr leben oder die Backup-Methoden umstellen.

2. Ebenfalls eine hohe Anzahl Tombstones kommt zustande in DNS Application NCs bei bestimmten DNS Update-Mustern. Ein Fix ist in:

2548145 Active Directory size increases rapidly on a Windows Server 2003 or Windows Server 2008 R2 domain controller that hosts the DNS Server role

support.microsoft.com/.../EN-US

In beiden Fällen führte die Methode oben innerhalb einer Stunde für ein klares Bild der Ursache des AD Wachstums.

re: Interessantes Verhalten von "setspn -x -f"

Herbert Mauerer [MSFT] — Tue, 07 May 2013 08:28:26 GMT

Die Lösung ist:

Der Query-Timeout wurde auf drei Minuten erhöht. Leider ist es nicht der Default geworden (kein Time-Out). An der Stelle wäre dann die Server-Policy wirksam, was per Default zwei Minuten sind.

Richtig, per Default ist der Time-Out dann bei zwei Minuten, die strengere Server-Policy wirkt.

re: Interessantes Verhalten von "setspn -x -f"

Herbert Mauerer [MSFT] — Tue, 30 Apr 2013 07:04:14 GMT

in der ersten Version des Artikels waren noch Sonderzeichen in der URL, entschuldigt bitte den RSS-Terror.

re: NETDOM und seine deutschen "Freunde"

Alex — Tue, 19 Mar 2013 18:29:13 GMT

Auch von mir ein Danke! Ich glaube ich habe noch länger gesucht....!

re: Ab sofort verfügbar: Group Policy Search (online)

AndreiMike — Thu, 21 Feb 2013 09:06:00 GMT

Danke für die Info!

re: Hyper-V Replica Failover fuer Domain Controller

dl80 — Wed, 20 Feb 2013 14:49:21 GMT

Vielen Dank für den schönen Artikel! :)

re: Ab sofort verfügbar: Group Policy Search (online)

Fabian Müller [MSFT] — Tue, 05 Feb 2013 11:43:31 GMT

Hi Mike,

die Suche ist umgezogen :-): gpsearch.azurewebsites.net

Viele Grüße

Fabian

re: Ab sofort verfügbar: Group Policy Search (online)

Mike Andrei — Tue, 05 Feb 2013 08:48:55 GMT

Die Seite Group Policy Search ist leider seit einigen Tagen nicht erreichbar. Absicht oder temporärer Fehler? Wäre toll, wenn`s wieder funktioniert.