こんにちは。Windowsプラットフォームサポートの大鳥です。
今回は、「ドメインコントローラ（以下DC）の正常性の確認について」をご紹介していきたいと思います。DCを降格させたり、DCに昇格させたりと動作をさせていく上で、実際にDCが正常に降格されているのか、またはDCへ正常に昇格されているのか確認したいですよね。DC正常性の確認の手順を下記にお纏めいたしました。
==================================================
DCの正常性を確認する方法
==================================================
<作業の流れ>
(1) AD データベースの複製状況の確認
(2) SYSVOL、NETLOGON 共有の確認
(3) ドメイン コントローラーの正常性の確認
(4) 各種イベント ログの確認
<詳細な手順>
----------------------------------------
(1) AD データベースの複製状況の確認
----------------------------------------
コマンド プロンプトにて repadmin /showrepl コマンドを実行し、Active Directory データベースの複製にエラーが無いことを確認します。
また、グローバル カタログ サーバーの場合は "DSA OPTIONS: IS_GC" という項目があることを確認します。
> repadmin /showrepl
出力結果例）
--------------
Repadmin: フル DC localhost に対してコマンド /showrepl を実行しています
Default-First-Site-Name\DC02
DSA オプション: IS_GC
<<<---- グローバル カタログ サーバーの場合は、IS_GC と表示されていることを確認します。
サイト オプション: (none)
DSA オブジェクト GUID: b3db08eb-75c6-411d-b56c-5a06d4365995
DSA 起動 ID: 19a5c6a9-96cc-4cce-bcc7-ed759412899f
====入力方向の近隣サーバー==================
DC=TEST,DC=LOCAL
Default-First-Site-Name\DC01 (RPC 経由)
DSA オブジェクト GUID: 326e1109-b33d-4026-aab7-8a5bc2cd960a YYYY-MM-DD HH:MM:SS の最後の試行は成功しました。
<<<---- 直近の日時で複製が成功していることを確認します。
----------------------------------------
(2) SYSVOL、NETLOGON 共有の確認
----------------------------------------
コマンド プロンプトにて net share コマンドを実行し、SYSVOL 及び NETLOGON が共有されているかを確認します。 共有名に NETLOGON 及び SYSVOL が表示されていることで正常に共有できていると判断できます。
> net share
出力結果例）
<<<---- NETLOGON が共有されていることを確認します。
<<<---- SYSVOL が共有されていることを確認します。
---------------------------------------
(3) ドメイン コントローラー診断テストの確認
----------------------------------------
コマンド プロンプトにて dcdiag /v コマンドを実行し、各テストにエラーが無く、"合格しました" と表示されることを確認します。 Advertising に合格していることで、ドメイン コントローラー、及びグローバル カタログとして正常に機能していると判断できます。
> dcdiag /v
出力結果一部例）
--------------
テストを開始しています: Advertising
The DC DC02 is advertising itself as a DC and having a DS.
The DC DC02 is advertising as an LDAP server
The DC DC02 is advertising as having a writeable directory
The DC DC02 is advertising as a Key Distribution Center
The DC DC02 is advertising as a time server
The DS DC02 is advertising as a GC.
......................... DC02 はテスト Advertising に合格しました
----------------------------------------
(4) 各種イベント ログの確認
----------------------------------------
システム、ディレクトリ サービス、DNS サーバー、DFS Replication の各種イベント ログにおいて、異常を示唆するようなエラーや警告のイベントが記録されていないか確認します。
以上、DC の正常性の確認方法となります。
****************************************************************************************
上記は DC の正常性を確認するための一般的な方法となりますが、DC の降格を行った後に正常に降格ができたか、残存している情報がないかを確認したい場合には、上記の内容に加えまして以下の項目をご確認いただき、降格させた DC の情報が残存していないことをご確認下さい。
==================================================
降格させた DC の情報が存在しないことの確認手順
==================================================
<作業の流れ>
(1) 複製に使用する接続オブジェクトが削除されていることの確認
(2) DC のコンピュータ オブジェクトが削除されていることの確認
(3) FRS または DFSR のオブジェクトが削除されていることの確認
(4) DNS レコードが削除されていることの確認
<詳細な手順>
----------------------------------------
(1) 複製に使用する接続オブジェクト
----------------------------------------
- [Active Directory サイトとサービス] スナップインを起動します。
- [Sites] - [<サイト名>] - [Servers] - [DC 名] - [NTDS Settings] を選択します。
- 右ペインに [レプリケート元サーバー] が降格させた DC となっているオブジェクトが存在していれば、左ペインの [NTDS Settings] を右クリックし、[すべてのタスク] - [レプリケーション トポロジの確認] をクリックします。
- 右ペインにて [最新の情報に更新] し、降格させた DC とのオブジェクトが削除されていることを確認します。
- 2. から 4. までの手順を [Sites] - [<サイト名>] - [Servers] のすべての DC について実行します。
- 左ペインにて [Sites] - [<降格させた DC のサイト名>] - [Servers] - [<降格させた DC>] が存在しないことを確認します。
----------------------------------------
(2) DC のコンピュータ オブジェクト
----------------------------------------
[Active Directory ユーザーとコンピュータ] MMC スナップインを開き、 [Domain Controllers] 配下に降格させた DC が削除されているか確認します。
----------------------------------------
(3) FRS または DFSR のオブジェクト
----------------------------------------
- [スタート] - [ファイル名を指定して実行] を選択し、adsiedit.msc と入力して [OK] をクリックします。
- [ADSI エディタ] を右クリックして表示されるメニューから "接続" をクリックします。
- 接続の設定画面で "名前" 欄に "Domain NC" と入力し、他は既定の状態で [OK] をクリックします。
- 以下のオブジェクトを展開します (Windows Server 2008 ネイティブ以降の機能レベルで SYSVOL の複製に DFSR を使用している場合には 4. 5. を飛ばして 6. に進みます)。 [Domain NC [Domain Name]] - [DC=・・・(Domain Name)] - [CN=System] - [CN=File Replication Service] - [CN=Domain System Volume (SYSVOL share)]
- [CN=<降格させた DC>] が存在しないことを確認します。
- 以下のオブジェクトを展開します。 [Domain NC [Domain Name]] - [DC=・・・(Domain Name)] - [CN=System] - [CN=DFSR-GlobalSettings] - [CN=Domain System Volume] - [CN=Topology]
- [CN=<降格させた DC>] が存在しないことを確認します。
----------------------------------------
(4) DNS レコード
----------------------------------------
- [スタート] - [管理ツール] - [DNS] を起動します。
- [前方参照ゾーン] - [_msdcs.<フォレスト ルート ドメイン>] 配下に "データ" が降格させた DC となっている CNAME レコードが存在しないことを確認します。
- [前方参照ゾーン] - [<降格させた DC が所属するドメイン>] ゾーン配下の NS レコードのプロパティを開きます。
- [ネーム サーバー] タブで降格させた DC の FQDN が表示されていないことを確認します。
- [前方参照ゾーン] - [<降格させた DC が所属するドメイン>] ゾーン配下に "名前" が降格させた DC となっている A レコードが存在しないことを確認します。