Zapasowy kontroler domeny Active Directory —szybkie wdrożenie

Czym jest usługa katalogowa i związany z nią kontroler domeny AD (Active Directory) w Windows zapewne każdy z czytelników DP wie lub chociaż o tym słyszał. Jeżeli chodzi o ścisłość to AD wiąże się oczywiście z serwerowymi wersjami Windows - zresztą, aby nie być gołosłownym, odsyłam do krótkiego info w Wiki, które wszystko wyjaśni.

W tym wpisie nie mam jednak zamiaru skupiać się na samej usłudze katalogowej, chciałbym natomiast w kilku szybkich krokach pokazać w jaki sposób można zwiększyć bezpieczeństwo bazy AD poprzez zdublowanie kontrolera domeny. Można się nawet pokusić o wykorzystanie popularnego dziś w branży IT słowa jakim jest redundancja czyli po naszemu nadmiarowość :)

W lakonicznym skrócie - chodzi o to, żeby zapewnić ciągłość pracy naszej usługi, w tym przypadku usługi katalogowej. Jak wiadomo życie bywa przekorne a wypadki chodzą po ludziach i sprzęcie - czego oczywiście nikomu nie życzę :) Może się jednak zdarzyć, że w wyniku jakichś tam okoliczności padnie nam maszyna z kontrolerem domeny. Czym to skutkuje? No jasne, chaosem i telefonami od nerwowych użytkowników.

Aby takich sytuacji uniknąć, warto posiadać zdublowany kontroler domeny aby w przypadku przykrej "niespodzianki" przejął funkcje podstawowego kontrolera.

Od czego zacząć? Załóżmy, że mamy jeden serwer zarządzający usługą katalogową - tym samym mamy już las i jedną funkcjonującą w tym lesie domenę. Chcielibyśmy aby drugi host (serwer) pełnił rolę kontrolera w tej już istniejącej domenie - najpierw więc w "Manage -> Add roles and features" podnosimy poziom tej maszyny do poziomu kontrolera domeny ale na pytanie kreatora instalacji o rodzaj wdrożenia wybieramy "Add a domain controller to a existing domain".

Drugi krok to wybór domeny - nazwę wpisujemy (możemy też wyklikać) w polu "domain" i tutaj ważna uwaga! Otóż w określonych przypadkach może się pojawić komunikat błędu związany z brakiem zdefiniowanego adresu IP serwera DNS. W tym przypadku ten błąd nie wystąpił ponieważ rolę serwera DNS pełni podstawowy kontroler domeny i właśnie jego adres miałem zdefiniowany. W przypadku powyższego błędu wystarczy więc jedynie jako preferowany serwer DNS ustawić adres pierwszego hosta.

W tym momencie nastąpi już poprawne połączenie z domeną a ostatnią czynnością tego etapu jest uwierzytelnienie poprzez logowanie do konta, które ma prawo wykonać podpięcia komputera do domeny. Wybieramy więc przycisk "change", podajemy login i hasło administratora i przechodzimy dalej.

Kolejny ekran związany jest już z opcjami kontrolera domeny - tutaj podstawową czynnością jaką musimy wykonać jest zaznaczenie opcji "Global catalog".

GC czyli na nasze wykaz globalny to nic innego jak baza wszystkich obiektów w lesie usług domenowych Active Directory . Kilka słów na ten temat można znaleźć w tym miejscu, polecam jednak dedykowany przez Microsoft Technet, niestety tylko po angielsku.

Nazwy lokacji nie zmieniamy a ostatnia opcja to "Type the Directory Service Restore Mode password" czyli zdefiniowanie hasła trybu przywracania usług katalogowych (DSRM). Klikamy na "Next", ignorujemy błąd delegowania DNS na ekranie opcji DNS.

Pojawi się ekran "Additional options" na którym musimy zaznaczyć skąd ma się odbywać replikacja - wybieramy oczywiście nasz pierwszy serwer.

Znowu "Next" i przechodzimy do "Paths" czyli ścieżek lokalizacji zapisu bazy danych, logów oraz katalogu SYSVOL, które możemy pozostawić w lokalizacjach domyślnych.

Teraz już tylko ekran z krótkim podsumowaniem:

I w końcu po sprawdzeniu wymagań wstępnych możemy kliknąć przycisk "Install".

Instalacja nie trwa długo a po jej zakończeniu niezbędny jest restart serwera:

I to już w zasadzie wszystko. Zapasowy kontroler domeny został dodany do domeny głównej. Łatwo to zweryfikować choćby przez przystawkę "Active Directory Users and Computers" - po wybraniu gałęzi "Domain Controllers" widoczne są dwie maszyny będące kotrolerami domeny:

• WS
• WSPT

Jeszcze dla porządku dodam na koniec, że podstawowym kontrolerem domeny w tym przypadku była maszyna oparta o Windows Server 2012 R2, natomiast zapasowym host z systemem Windows Server 2016 Std. Dziękuję za uwagę, mam nadzieję, że ten wpis komuś się przyda.