Standby operations master – גיבוי לתפקידי הדומיין

Standby operations master – גיבוי לתפקידי הדומיין
מאת : שי פיס

תמיד חשבתי שזה דבילי, הרי לכל דבר היום יש גיבוי, בין אם חם ובין אם קר ובטח שלשרותים קריטיים כמו FSMO ROLES צריך גיבוי! תארו לכם מצב שה DC שמחזיק את ה RID MASTER נופל בדיוק בזמן שאתם קולטים חברה חדשה ומקימים לה דומיין חדש ב”יער” שלכם.

אבל אין מה לעשות זו המציאות, למרות שהכותרת עשוייה לבלבל וכך גם המשפט הבא של מיקרוסופט שיצא ממש מהספרים האחרונים שלהם:

“…

They should also be direct replication partners with
domain controllers that you have selected as standby operations masters.

…”

וגם המשפט הבא שנגזר מאתר טקנט (TechNet):

“…

Designating a standby operations master: Active Directory

“

אם כן האם יש דבר כזה גיבוי ל”רולים” או לא ?

התשובה היא… ממש לא!

מיקרוסופט בעצם לא מצעו עדיין פיתרון חם למצב שבו רול אחד לא זמין (שרת נפל, פורט בסוויץ’ נפל, בעיית תקשורת בגישה לשרת וכולי…) מה שכן הם מצאו זה פיתרון גס, שאותו הרי כולנו מכירים: Seize. מאז ומתמיד אמרו לנו שמעבר של תפקידים בין שרתים יכול להתבצע גם אם אחד השרתים לא זמין וזאת באמצעות הכלי NTDSUTIL ובאמצעות הפקודה Seize. בפקודה הזו בעצם מעבירה את ה ROL לשרת החדש ללא זמינות השרת הישן. אולם לפקודה הזו יש השלכות שכן שלמות הסינכרון של האקטיב דירקטורי נתול בספק ובכל מקרה השרת הישן לעולם לא יוכל לחזור לתפקד בדומיין.

אז איזה Standby יש פה ? כמובן שאין. מה שכן יש זו המלצה חמה של מיקרוסופט ליצור “Explicit replicate object” בין ה DC שכרגע מחזיק את ה”רול” לבין ה DC שיקח את התפקיד במידה והראשון יפול.

קודם כל איך ואיפה מגדירים או קודם כל בשביל מה צריך את זה ?

צריך את זה בכדי לוודא שבתהליך MULTI MASTER REPLICATION שני השרתים הללו יסתנכרנו בניהם באופן ישיר ובצורה המהירה ביותר. כך בעצם אנחנו מבטיחים שבמידה והשרת החדש (עלק Standby) יקח את התפקיד במקום השרת שנפל, הוא יהיה מסונכרן עד לרגע האחרון ובעצם לא יהיה מידע שאבד

איך עושים את זה ?

כנסו ל Active directory site and services, לכו ל NTDS SETTINGS קליק ימני, חדש, ואז “Connection” תצרו “חיבור” חדש בין ה DC שכרגע מחזיר את הרול לבין ה DC שאתם רוצים יהיה גיבוי במידה והראשון יפול.

(אגב בכוונה לא הכנתי מדריך Step By Step, שכן מי שלא יודע ביוק איפה זה ה NTDS רצוי מאוד שלא יתעסק בחלק המעשי של המאמר הזה אלא רק בתיאורתי)

עכשיו בנימה אישית ---- מה זה הקישקוש הזה ? לא יכלו לבנות מנגנון פשוט שבודק את הזמינות של השירות ב DC מסויים ובמידה והוא לא זמין לקחת את התפקיד ל DC החדש ? כנראה שלא.

ואולי כן יכלו פשוט דאגו שה DC הישן יחזור פתאום לרשת (נגיד כבל רשת תקול שהוחלף לאחר כמה דקות / שעות) ובעצם יגרום לתקלות (רציניות באקטיב דירקטורי).