Sankim's Blog : Directory Service

도메인 컨트롤러(DC) 최소 하드웨어 사양(=Sizing) 결정하기

sankim — Thu, 13 Nov 2008 04:23:16 GMT

내 도메인에 얼마만큼의 하드웨어 스펙을 결정할지를 결정하는 것이 쉬운 일이 아닙니다, 도메인 컨트롤러(Domain Controller )도 도메인 내의 사용자 정보와 같은 Object 정보나 Global Catalog와 같은 데이터를 운영하는 일종의 데이터베이스라고 할 수 있기 때문에 하드 디스크와 메모리가 성능에 가장 큰 영향을 줍니다. 그래서 하드디스크와 메모리가 중요한데 그렇다고 무작정 빠르고 크다고 해서 높은 Performance를 보장하지 않습니다.

이번 포스트에서는 도메인 컨트롤러에 필요한 기본 H/W 스펙을 결정하기 위해 중요한 하드디스크 사이즈와 메모리 크기 산출에 대해서 이야기를 하도록 하겠습니다.

[메모리]
사용자당 DC에 필요한 최소 메모리

DC가 32Bit에 메모리 4GB이상의 환경 이라면 Lsass 프로세스가 더 많은 도메인 Object를 Cache할 수 있도록 /3GB 옵션을 추가 할 것을 권장합니다. 만약 메모리가 4GB 이하라면 /3GB옵션을 넣지 않습니다.

[하드디스크]
- Active directory 데이타 베이스인 NTDS.dit는 1000명의 사용자당 최소 0.4GB가 필요합니다, 만약 사용자가 10,000이라면 최소 4GB가 필요합니다, 만약 Exchange와 같이 사용자에게 속성이 더 추가 되었다면 용량이 더 필요할 것입니다.
- Active Directory Transaction 로그파일은 최소 500MB의 공간이 필요합니다.
- AD 관련 데이타를 운영중에 유지 관리 하기 위해서는 추가 적으로 최소 1.5 ~ 2GB의 공간이 필요합니다.
- 디스크 Performace 향상을 위해 Active directory 데이타 베이스와 Transaction 로그파일은 동일한 드라이브에 위치 할 것을 권장합니다.
- 기본적으로 하드 디스크 Failure에서 AD 데이타 보호하시기 위해 AD 데이타를 담은 디스크는 RAID1으로 구성하실 것을 권장합니다.

AD 데이터 유형별 권장 RAID

글로벌 카탈로그(Global catalog)의 경우는 다른 도메인에서 GC를 위한 일부 정보를 복제 합니다, 그래서 GC로 설정된 DC는 기본 AD 데이터 공간 이외에 추가적으로 글로벌 카탈로그를 위한 공간이 필요한데 클로벌 카탈로그는 기본적으로 상대방 도메인 AD 데이터의 50%정도의 추가 공간이 필요합니다.

GC 디스크 공간 산정

그림만으로는 이해가 어렵죠? 예를 들어 설명 드리면 도메인 A에 10,000명의 사용자가 있고 도메인 B에 5,000명의 사용자가 있다고 한다고 가정하고 아래와 같이 계산 될 수 있습니다.

여기서 ‘4 + 2/2 = 5 GB’의 의미는 자신의 도메인 데이터 크기 더하기 ‘도메인 B의 데이터 크기/2(50% 의미)’를 의미 합니다.

위에 제가 말씀 드린 내용은 기본 Sizing에 필요한 내용이므로 좀더 자세한 사항은 아래 참고 문서들을 참조하시기 바랍니다.

[참고문서]
Active Directory Performance for 64-bit Versions of Windows Server 2003
http://www.microsoft.com/downloads/details.aspx?FamilyID=52e7c3bd-570a-475c-96e0-316dc821e3e7&DisplayLang=en

Planning Domain Controller Capacity
http://technet.microsoft.com/en-us/library/cc738079.aspx

Windows Server 2003 Deployment Kit: Designing and Deploying Directory and Security Services
http://www.microsoft.com/downloads/details.aspx?FamilyID=6cde6ee7-5df1-4394-92ed-2147c3a9ebbe&DisplayLang=en

[Tip. 1] 비 정상적으로 AD에서 없어진(Disjoin된) 컴퓨터계정을 자동으로 삭제시키는 방법

sankim — Tue, 26 Aug 2008 09:00:17 GMT

AD 환경에서 정상적으로 제거(Disjoin)하지 않은 컴퓨터가 그대로 AD에 남아 있는 경우가 있습니다, 이런 경우 일일이 확인해서 제거하는 것도 번거로운 일인데요.

일정 기간 동안 로그온 하지 않은 컴퓨터 리스트를 Query해서 그 기간 동안 로그온 하지 않은 컴퓨터는 Disjoin된 컴퓨터로 판단하고 제거 하는 방법이 있습니다 그러나 실수로 원하지 않는 계정을 삭제하게 될 수도 있으므로 dsrm 명령은 신중히 고려하신 후, 실행하시기 바랍니다.

*아래와 같이 dsquery를 이용합니다.

dsquery computer -inactive 4 | dsrm -noprompt

(예: 지난 4주 동안 비활성 상태인 모든 컴퓨터를 찾고 디렉터리에서 제거합니다, 자세한 설명은 dsquery /? 를 실행하여 참고하시기 바랍니다.)

1. 일반적으로 dsquery computer -inactive 4 를 실행해 지난 4주간 로그온 하지 않은 컴퓨터를 확인 합니다.
2. 만약 해당 컴퓨터 모두 AD에서 없어진 컴퓨터라고 판단 되면 추가로 dsrm -noprompt를 붙여서 4주간 로그온 하지 않은 컴퓨터를 제거 합니다.
3. 4주는 제가 임으로 설정한 값이고 5, 6, 7 ... 으로 늘릴 수 있습니다. 출장이나 장기 휴가 같은 경우를 예상해서 잘(?) 설정 하시기 바랍니다.

모두 가을을 만끽하세요~

AD환경에서 GPO Backup과 Restore 그리고 다른 Domain으로 Migration 하는 방법

sankim — Wed, 28 Nov 2007 11:05:00 GMT

Active Directory 관리자의 고민..

[고민]

1. 액티브 디렉토리 그룹정책(AD Group Policy)만을 따로 백업과 복구 할 수 있는 방법은 없을까?

2. 내 도메인의 GPO를 다른 도메인에 동일하게 적용할 수 있는 방법은 없을까? Ex) A.com에 있는 GPO를 그대로 B.com에도 적용

[해결책]

GPMC(Group Policy Management Console)가 해결해 드립니다. GPO를 따로 Backup/restore 할 수도 있고 도메인에 상관없이 Import할 수 있습니다. 원래 GPMC는 그룹정책을 간편하게 관리하기 위한 도구인데 AD를 관리자라면 꼭 사용하실 것을 권합니다.

Group Policy Management Console with Service Pack 1

http://www.microsoft.com/downloads/details.aspx?familyid=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887&displaylang=en

기본적으로 .NET Framework가 설치 되어야 하기 때문에 Windows Server 2003에서 사용이 가능하나 Windows Server 2000도 원격의 도메인에서 GPMC를 이용하면 동일한 작업이 가능합니다. 클라이언트는 Windows XP Service Pack 1, .NET Framework가 설치된 경우 설치가 가능합니다.

GPMC로 Export(Backup)하기

1. GPMC를 열고 해당 정책을 선택 후 Backup이라는 메뉴를 클릭합니다.

2. 백업 경로을 설정합니다.

3. 개별 백업이 아닌 전체 백업(Back Up All...)도 가능합니다.

4. 현 도메인의 모든 백업을 관리(Manage Backups) 할 수 있습니다.

GPMC로 정책 Import(Resore)하기

1. 이전에 백업한 정책을 복원하기 위해서 [Restore from Bakup…]을 선택합니다.

2. 백업 파일이 있는 경로를 선택합니다.

3. 이전에 백업한 내용 중에 복원을 할 내용을 선택합니다.

4. 복원작업이 시작됩니다.

*다른 컴퓨터 혹은 도메인으로 GPO를 옮기고 싶다면 백업한 파일을 그대로 다른 컴퓨터에 Copy한 뒤에 Import 하는 방법이 있습니다.

간단하죠? ^^

왜 도메인 컨트롤러에서는 디스크 쓰기 캐쉬(Write Caching)가 Disable 될까?

sankim — Tue, 09 Oct 2007 05:12:26 GMT

간단한 질문(?)이라고 할 수도 있는데 궁금해 하시는 분들이 많더군요.

컴퓨터가 Domain controller로 Promote가 되면 자동으로 디스크 Write caching이 그림과 같이 Disable 됩니다.

이 때문에 대용량 파일을 한번에 Copy하는 작업의 경우 Performance가 현저하게 떨어지는 것을 볼 수 있습니다.

기본적으로 Domain contorller의 Active Directory 데이타 베이스(Ntds.dit), 로그파일 그리고 시스템 파일들이 저장된 디스크는 Write Caching이 Disable 되어 있습니다.

도메인 컨트롤러는 Active Directory 데이터의 업데이트가 진행 될 때 전원이나 장치에 문제로 인해 FRS Recovery에 악 영향을 주기 때문에 Write caching를 Disable 합니다.

If you use the Dcpromo tool to promote a Windows 2000-based server to a domain controller, the write caching functionality (write-back cache is a firmware function) is turned off for any of the logical drives that contain the Active Directory database or log files, including the system disk. Write caching is turned off because the File Replication Service (FRS) does not recover if power to the drive is interrupted and if critical updates are lost.

디스크 관리자에서 Write caching을 수동으로 Enable 시킨다 하더라도 재부팅 하면 다시 disable이 됩니다. 만약 위험을 무릅쓰고라도 Write caching을 Enable 하고 싶으시다면 KB811392와 같이 Dskcache.exe를 이용해 Enable 하시기 바랍니다, 만약 Dscache.exe를 이용해서도 Enable이 되지 않는다면 Write caching 자체가 Firmware Function이므로 Firmware에서 Control 해보시기 바랍니다.

[관련문서]

Slow Network Performance After You Promote a Windows 2000-Based Server to a Domain Controller

http://support.microsoft.com/?id=321543

811392 Obtain the Dskcache.exe Tool to Configure the "Power Protected" Write

http://support.microsoft.com/?id=811392

도메인 환경에서 패스워드 정책이 적용되지 않는 원인 [Bydesign]

sankim — Mon, 11 Jun 2007 10:37:00 GMT

일반적으로 도메인 관리자들은 서로 다른 OU를 생성한 뒤 각 OU 별로 서로 다른 패스워드 정책을 설정 하려고 하는 경우가 많이 있습니다, 그런데 이때 정책이 적용되지 않아 의아해 하시는 분들이 많이 있습니다.(경험해보지 못하신 분들께서는 한번 테스트해 보시죠)

원인은 패스워드 정책은 오직 도메인 레벨(Domain Level)에서만 적용될 수 있기 때문입니다. 간단히 말씀드리면 AD 초기에 생성된 '기본 도메인 정책(Default domain policy)'에서 설정한 패스워드 정책만이 클라이언트에 적용됩니다.

이는 Bydesign으로 패스워드 정책은 Active Directory의 Domain Object의 Attribute로 저장되기 때문입니다. 그러므로 다른 OU와 같은 Object에서 생성한 정책은 속성에 정책 자체를 저장할 수 없으므로 클라이언트가 정책을 가져가서 적용하더라도 해당 적책이 적용되지 않습니다.

[참고]
Changes are not applied when you change the password policy
http://support.microsoft.com/default.aspx?scid=kb;en-us;269236

SYMPTOMS
When you change the password policy, the changes are not applied as expected.
Back to the top

CAUSE
This issue can occur in either of the following scenarios:
-The Block Policy Inheritance option is enabled on the Domain Controllers organizational unit.
-The password policy is not set in the Default Domain policy.