Active Directory là dịch vụ đáng tin cậy, nhưng phức tạp và quan trọng, và sự hoạt động của toàn bộ mạng doanh nghiệp phụ thuộc vào nó. Quản trị viên hệ thống nên liên tục kiểm tra xem Active Directory có hoạt động chính xác hay không. Trong bài viết này, chúng ta sẽ xem qua các phương pháp chính để kiểm tra và chẩn đoán sức khỏe domain Active Directory, domain controller và sao chép.
Cách kiểm tra sức khỏe AD Domain Controller bằng Dcdiag?
Dcdiag là công cụ tích hợp sẵn cơ bản để kiểm tra sức khỏe domain controller Active Directory. Để nhanh chóng kiểm tra trạng thái AD domain controller, sử dụng lệnh dưới đây:
dcdiag /s:DC01
Lệnh chạy các bài kiểm tra khác nhau đối với domain controller được chỉ định và trả về trạng thái cho mỗi bài kiểm tra (Passed/Failed).
Các bài kiểm tra điển hình:
- Connectivity – kiểm tra xem DC có được đăng ký trong DNS không, thiết lập kết nối LDAP và RPC thử nghiệm;
- Advertising – kiểm tra vai trò và dịch vụ được phát hành trên DC;
- FRSEvent – kiểm tra xem có lỗi nào của dịch vụ sao chép file (lỗi sao chép SYSVOL) không;
- FSMOCheck – kiểm tra xem DC có thể kết nối với KDC, PDC và Global Catalog server không;
- MachineAccount — kiểm tra xem tài khoản DC có được đăng ký trong AD chính xác không và quan hệ tin cậy domain có chính xác không;
- NetLogons – kiểm tra đặc quyền đăng nhập để cho phép sao chép tiếp tục;
- Replications – kiểm tra trạng thái sao chép giữa domain controller và xem có lỗi nào không;
- KnowsOfRoleHolders – kiểm tra tính khả dụng của domain controller với vai trò FSMO;
- Services – kiểm tra xem dịch vụ trên domain controller có đang chạy không;
- Systemlog – kiểm tra xem có lỗi nào trong log DC không;
- V.v.
Bạn có thể tìm mô tả đầy đủ tất cả các bài kiểm tra dcdiag có sẵn tại đây.
Ngoài các bài kiểm tra mặc định, bạn có thể chạy các kiểm tra domain controller bổ sung:
- Topology – kiểm tra xem KCC đã tạo topology đầy đủ cho tất cả DC chưa
- CheckSecurityError
- CutoffServers – tìm DC không được sao chép vì đối tác của nó không khả dụng
- DNS – 6 bài kiểm tra DNS có sẵn (
/DnsBasic,/DnsForwarders,/DnsDelegation,/DnsDymanicUpdate,/DnsRecordRegistration,/DnsResolveExtName) - OutboundSecureChannels
- VerifyReplicas – kiểm tra xem application partition có được sao chép chính xác không
- VerifyEnterpriseReferences
Ví dụ, để kiểm tra xem DNS có hoạt động chính xác trên tất cả domain controller không, sử dụng lệnh sau:
dcdiag.exe /s:DC01 /test:dns /e /v
Kết quả sẽ là bảng tóm tắt hiển thị kết quả bài kiểm tra về cách DNS phân giải tên trên tất cả DC (nếu OK, bạn sẽ thấy Pass trong mọi ô). Nếu bạn thấy Fail, bạn cần chạy bài kiểm tra này đối với DC được chỉ định:
dcdiag.exe /s:DC01 /test:dns /DnsForwarders /v
Để lấy thêm thông tin từ kết quả bài kiểm tra domain controller và lưu nó vào file văn bản, sử dụng lệnh này:
dcdiag /s:DC01 /v >> c:\ps\dc01_dcdiag_test.log
Lệnh PowerShell sau chỉ hiển thị thông tin tóm tắt về các bài kiểm tra dcdiag đã thực hiện:
Dcdiag /s:DC01 | select-string -pattern '\. (.*) \b(passed|failed)\b test (.*)'
Để lấy trạng thái của tất cả domain controller, sử dụng:
dcdiag.exe /s:woshub.com /a
Nếu bạn chỉ muốn hiển thị lỗi tìm thấy, sử dụng tùy chọn /q:
dcdiag.exe /s:dc01 /q
Trong ví dụ của tôi, công cụ đã phát hiện một số lỗi sao chép:
There are warning or error events within the last 24 hours after the SYSVOL has been shared. Failing SYSVOL replication problems may cause Group Policy problems. ......................... DC01 failed test DFSREvent
Để làm cho dcdiag tự động sửa lỗi Service Principal Names cho tài khoản DC, sử dụng tùy chọn /fix:
dcdiag.exe /s:dc01 /fix
Kiểm tra lỗi sao chép Active Directory giữa các DC
Công cụ tích hợp sẵn repadmin được dùng để kiểm tra sao chép trong domain Active Directory.
Đây là lệnh cơ bản để kiểm tra sao chép AD:
repadmin /replsum
Công cụ đã trả về trạng thái sao chép hiện tại giữa tất cả DC. Lý tưởng nhất, giá trị largest delta nên nhỏ hơn 1 giờ (phụ thuộc vào topology AD và cài đặt tần suất sao chép liên site), và số lỗi = 0. Trong ví dụ của tôi, bạn có thể thấy một trong những lần sao chép gần nhất mất 14 ngày, nhưng bây giờ nó đã OK.
Để kiểm tra sao chép cho tất cả DC trong domain:
repadmin /replsum *
Để kiểm tra sao chép liên site:
repadmin /showism
Để xem topology sao chép và lỗi (nếu có), chạy lệnh này:
repadmin /showrepl
Lệnh sẽ kiểm tra các DC và trả về thời gian và ngày của lần sao chép thành công cuối cùng cho mỗi thư mục phân vùng (last attempt xxxx was successful).
Để hiển thị thêm thông tin sao chép, sử dụng lệnh này:
repadmin /showrepl *
Để chạy sao chép mật khẩu từ domain controller có thể ghi sang read-only domain controller (RODC), tùy chọn /rodcpwdrepl được sử dụng.
Tùy chọn /replicate bắt đầu sao chép thư mục phân vùng được chỉ định đến DC cụ thể ngay lập tức.
Để đồng bộ hóa DC được chỉ định với tất cả đối tác sao chép của nó, sử dụng lệnh dưới đây:
replmon /syncall <nameDC>
Để xem hàng đợi sao chép:
repadmin /queue
Lý tưởng nhất, hàng đợi sao chép nên trống.
Kiểm tra khi nào bản sao lưu mới nhất của domain controller hiện tại được tạo:
Repadmin /showbackup *
Bạn cũng có thể kiểm tra trạng thái sao chép bằng PowerShell. Ví dụ, lệnh sau sẽ hiển thị tất cả lỗi sao chép nó tìm thấy trong bảng Out-GridView:
Get-ADReplicationPartnerMetadata -Target * -Partition * | Select-Object Server,Partition,Partner,ConsecutiveReplicationFailures,LastReplicationSuccess,LastRepicationResult | Out-GridView
Tôi đã tải lên script PowerShell tôi thường dùng để kiểm tra trạng thái sao chép trong AD lên repository GitHub của mình. Script tạo file HTML và có thể gửi nó qua email bằng cmdlet Send-MailMessage.
https://github.com/maxbakhub/winposh/blob/main/ADHealthCheck.ps1
Bạn cũng có thể kiểm tra trạng thái các dịch vụ ADDS cơ bản trên domain controller bằng cmdlet Get-Service:
- Active Directory Domain Services (
ntds) - Active Directory Web Services (
adws) – tất cả cmdlet từ module AD PowerShell kết nối với dịch vụ này - DNS (
dnscachevàdns) - Kerberos Key Distribution Center (
kdc) - Windows Time Service (
w32time) - NetLogon (
netlogon)
Get-Service -name ntds,adws,dns,dnscache,kdc,w32time,netlogon -ComputerName dc01
Vậy, trong bài viết này, chúng tôi đã chỉ các công cụ, lệnh và script PowerShell cơ bản bạn có thể sử dụng để chẩn đoán sức khỏe domain Active Directory của mình. Bạn có thể sử dụng chúng trong tất cả phiên bản Windows Server được hỗ trợ, bao gồm domain controller chạy ở chế độ Server Core.