Повышение режима работы домена и леса Active Directory

Повышение режима работы домена и леса Active Directory

В этой статье описывается повышение режимов работы домена и леса, поддерживаемых контроллерами домена под управлением Microsoft Windows Server 2003 или более поздних версий. Доступно четыре выпуска Active Directory, но особого рассмотрения требуют только режимы, измененные по сравнению с Windows NT Server 4.0. Поэтому при описании других изменений режимов указываются новые, текущие или прежние версии операционной системы контроллера домена, домена или режима работы леса.

Режимы работы являются расширением концепций смешанного и основного режимов, которые были впервые реализованы в Microsoft Windows 2000 Server для активации новых возможностей Active Directory. Некоторые дополнительные возможности Active Directory доступны только в том случае, если все контроллеры домена в домене или лесу работают под управлением последней версии Windows Server, а также если администратор активировал соответствующие режимы работы в домене или в лесу.

Чтобы активировать новые возможности домена, все контроллеры домена в домене должны работать под управлением последней версии операционной системы Windows Server. При соблюдении этого условия администратор может повысить режим работы домена. Чтобы активировать новые возможности леса, все контроллеры домена в лесу должны работать под управлением версии операционной системы Windows Server, соответствующей нужному режиму работы леса. Кроме того, необходимо повысить текущий режим работы домена. При соблюдении этих условий администратор может повысить режим работы леса.

Обычно изменения режима работы домена и леса необратимы. Чтобы отменить изменение, необходимо выполнить восстановление леса. В Windows Server 2008 R2 изменения режима работы домена и леса можно откатить. Однако это возможно только в определенных случаях, описанных в статье TechNet о режимах работы Active Directory (http://technet.microsoft.com/ru-ru/library/cc787290(WS.10).aspx) .

Примечание. Применение новейших режимов работы домена и леса влияет только на взаимодействие контроллеров домена. Взаимодействие клиентов с доменом или с лесом остается без изменений. Кроме того, изменение режимов работы леса и домена не оказывает влияния на приложения. Однако приложения могут использовать новейшие возможности домена и леса.

Повышение режима работы

Внимание! Не повышайте режим работы, если используется или предполагается использовать контроллер домена, работающий под управлением более ранней версии, чем указано для этого режима. Например, для режима работы Windows Server 2008 все контроллеры домена в домене или лесу должны работать под управлением Windows Server 2008 или более поздней версии. Повышение режима работы леса можно отменить только с помощью восстановления леса. Это ограничение вызвано тем, что новые возможности часто изменяют способ связи между контроллерами домена или хранения данных Active Directory в базе данных.

Настроить режим работы домена и леса можно с помощью средства администрирования с графическим интерфейсом пользователя, описанного в статье TechNet о режимах работы Active Directory в Windows Server 2003 (http://technet.microsoft.com/ru-ru/library/cc759280(WS.10).aspx) . Эта статья предназначена для Windows Server 2003, однако описанные в ней действия применимы для более поздних версий операционной системы. Кроме того, режим работы можно настроить вручную или с помощью сценариев Windows PowerShell. Дополнительные сведения о настройке режима работы вручную см. в разделе "Просмотр и настройка режима работы".

Дополнительные сведения об использовании сценария Windows PowerShell для настройки режима работы см. в статье TechNet, в которой описывается этот способ (http://technet.microsoft.com/ru-ru/library/cc730985.aspx) .

Просмотр и настройка режима работы Параметры режима работы домена
  • DC=Mydomain
  • DC=ForestRootDom
  • DC=tld object
  • Значение равно 0 или не установлено: домен, работающий в смешанном режиме.
  • Значение равно 1: домен, работающий в режиме Windows Server 2003.
  • Значение равно 2: домен, работающий в режиме Windows Server 2003.
  • Значение равно 3: домен, работающий в режиме Windows Server 2008.
  • Значение равно 4: домен, работающий в режиме Windows Server 2008 R2.
Параметры смешанного и основного режимов
  • DC=Mydomain
  • DC=ForestRootDom
  • DC=tld object
  • Значение равно 0: домен, работающий в основном режиме.
  • Значение равно 1: домен, работающий в смешанном режиме.
Параметры режима работы леса
  • CN=Partitions
  • CN=Configuration
  • DC=ForestRootDom
  • DC=tld object

Примечание. При увеличении значения атрибута msDS-Behavior-Version с 0 до 1 с помощью средства Adsiedit.msc появляется следующее сообщение об ошибке:

Быстрый просмотр текущих параметров с помощью средства Ldp.exe
  1. Запустите средство Ldp.exe.
  2. В меню Подключение выберите команду Подключить.
  3. Укажите нужный контроллер домена или оставьте поле пустым, чтобы подключиться к любому контроллеру домена.
  • 1> domainFunctionality: 2=(DS_BEHAVIOR_WIN2003)
  • 1> forestFunctionality: 0=(DS_BEHAVIOR_WIN2000)
  • 1> domainControllerFunctionality: 2=(DS_BEHAVIOR_WIN2003)
Требования для изменения режима работы вручную
  • Если соблюдено одно из указанных ниже условий, перед повышением уровня домена необходимо перевести его в основной режим.
    • Установлен режим работы домена 2 путем непосредственного изменения значения атрибута msdsBehaviorVersion объекта domainDNS программным способом.
    • Установлен режим работы домена 2 с помощью служебной программы Ldp.exe или Adsiedit.msc.

    Active Directory не удается изменить режим работы следующего домена, поскольку он работает в смешанном режиме.

    В этом случае перевести домен в основной режим можно с помощью оснасток MMC "Active Directory — пользователи и компьютеры" и "Active Directory — домены и доверие", а также путем программного изменения значения атрибута ntMixedDomain объекта domainDNS на 0. При использовании этого варианта изменения режима работы домена на 2 (Windows Server 2003) основной режим устанавливается автоматически.

    Тип события: Информация Источник события: SAM Код события: 16408 Компьютер: имя_сервера Описание: «Режим работы домена был изменен на основной режим. Это изменение не может быть отменено».

    • Для атрибута msdsBehaviorVersion, отвечающего за режим работы домена, вручную или программным способом установлено значение 2.
    • Для режима работы леса любым способом установлено значение 2.
    Режимы работы, подходящие Windows 2000 Server

    Windows 2000 Server поддерживает только смешанный и основной режимы. Кроме того, эти режимы применяются только к функциональности домена. В следующих разделах приведен список режимов домена в Windows Server 2003, влияющих на обновление доменов Windows NT 4.0 и Windows 2000 Server.

    При повышении уровня операционной системы контроллера домена необходимо учитывать несколько факторов, вызванных ограничениями хранилища и репликации связанных атрибутов в режимах Windows 2000 Server.

    Смешанный режим Windows 2000 Server (по умолчанию)
    • Поддерживаемые контроллеры домена: Microsoft Windows NT 4.0, Windows 2000 Server, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
    • Включенные функции: поддержка глобального каталога, локальных и глобальных групп.
    Основной режим Windows 2000 Server
    • Поддерживаемые контроллеры домена: Windows 2000 Server, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
    • Включенные возможности: вложение групп, универсальные группы, журнал идентификаторов безопасности, преобразование между группами безопасности и группами рассылки, повышение режима домена с помощью изменения параметров режима леса.
    Промежуточный режим Windows Server 2003
    • Поддерживаемые контроллеры домена: Windows NT 4.0, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
    • Поддерживаемые функции: включение функций для всего домена не предусмотрено. После перевода леса во временный режим все домены леса переходят в этот режим автоматически. Режим используется только в случае обновления контроллеров домена Windows NT 4.0 до Windows Server 2003.
    Windows Server 2003
    • Поддерживаемые контроллеры домена: Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
    • Поддерживаемые функции: переименование контролера домена, обновление и репликация атрибута времени входа в систему. Поддержка пользовательских паролей для класса объектов InetOrgPerson. Принудительное делегирование, возможность перенаправления контейнеров пользователей и компьютеров.
    Промежуточный режим (обновление домена Windows NT 4.0)
    • Домен обновляется с Windows NT 4.0 до Windows Server 2003.
    • Резервные контроллеры домена Windows NT 4.0 обновляются не сразу.
    • Домен Windows NT 4.0 содержит группы с количеством участников более 5 000 (не включая группу "Пользователи домена").
    • В лесу не предполагается использовать контроллеры домена Windows Server 2000.
    1. Эффективная репликация групп безопасности и поддержка групп с числом участников более 5 000.
    2. Усовершенствованный алгоритм создания межузловой топологии путем проверки согласованности знаний (КСС).
    Установка промежуточного режима Windows Server 2003 работы леса

    1. В процессе обновления.

    Рекомендации

    Этот раздел состоит из двух частей, в которых представлены рекомендации по изменению режимов работы. В первой части ("Подготовка") приводятся действия, которые требуется выполнить перед изменением режима работы, а во второй части ("Оптимальные способы") рассматриваются несколько сценариев изменения режима.

    1. На любом компьютере под управлением Windows Server 2003 откройте оснастку Active Directory — пользователи и компьютеры.
    2. Если контроллер домена не подключен к соответствующему домену, выполните следующие действия:
      1. Правой кнопкой мыши щелкните объект текущего домена и выберите команду Подключение к домену.
      2. В диалоговом окне Домен введите DNS-имя домена, к которому требуется подключиться, и нажмите кнопку ОК. Либо нажмите кнопку Обзор, выберите домен из дерева и нажмите кнопку ОК.
      • контроллер домена находится под управлением Windows NT 4.0 и нуждается в обновлении;
      • контроллер домена обновлен до Windows Server 2003, однако изменения не реплицированы на целевой контроллер домена;
      • контроллер домена больше не обслуживается, но соответствующий объект компьютера не удален из домена.

      Примечание. В отличие от контроллеров домена под управлением Windows Server 2000, контроллеры домена под управлением Windows NT 4.0 не блокируют изменение режима работы. При изменении режима работы домена репликация на контроллеры домена под управлением Windows NT 4.0 прекращается. Однако при изменении режима леса на Windows Server 2003 с доменами Windows 2000 смешанный режим блокируется. Предполагается, что резервные контроллеры домена под управлением Windows NT 4.0 отсутствуют, если соблюдено требование для режима леса, согласно которому все домены должны работать в основном режиме Windows Server 2000 или более поздней версии.

      Пример. Подготовка к изменению уровня

      В этом примере в среде смешанный режим Windows Server 2000 изменяется на режим леса Windows Server 2003.

      1. Чтобы найти домены, работающие в смешанном режиме, контроллеры домена под управлением Windows Server 2000 либо контроллеры домена с поврежденными или отсутствующими объектами, воспользуйтесь оснасткой "Active Directory — домены и доверие".
      2. Выберите команду Изменить режим работы леса и нажмите кнопку Сохранить как для создания подробного отчета.
      3. Если проблемы не обнаружены, в раскрывающемся списке Доступные режимы работы леса можно выбрать параметр для изменения режима работы леса до Windows Server 2003. При попытке повысить режим работы леса объекты контроллеров домена в контейнерах конфигурации просматриваются в поисках контроллеров домена, у которых для атрибута msds-behavior-version не установлен нужный режим. Предполагается, что они являются объектами контроллеров домена под управлением Windows Server 2000 или поврежденными объектами контроллеров домена под управлением более поздней версии Windows Server.
      4. Найденные контроллеры домена под управлением операционных систем более ранних версий, а также контроллеры домена с поврежденными или отсутствующими объектами компьютера включаются в отчет. Необходимо изучить состояние таких контроллеров домена, а затем с помощью средства Ntdsutil восстановить или удалить их из Active Directory.
      Убедитесь, что в лесу выполняется репликация от точки до точки

      • Repadmin/Replsum * /Sort:Delta[/Errorsonly] (исходная инвентаризация).
      • Repadmin/Showrepl * /CSV>showrepl.csv. Импортируйте этот файл в Excel и запустите команду «Автофильтр» из меню «Данные» для идентификации свойств репликации.

      • Отключите, как минимум, два контроллера домена в каждом домене леса.
      • Создайте резервную копию состояния системы, как минимум, двух контроллеров домена в каждом домене леса.

      Примечание. Изменение режима работы невозможно принудительно восстановить. Это означает, что все контроллеры домена, для которых выполнена репликация изменения режима, необходимо списать.

      После этого используйте отключенные контроллеры домена или восстановите резервные копии контроллеров домена. Удалите метаданные на остальных контроллерах домена и снова повысьте их роль. Это сложный процесс, которого по возможности следует избегать.

      Пример. Переход со смешанного режима Windows Server 2000 на режим леса Windows Server 2003
      • Режим работы леса меняется только один раз. Нет необходимости переводить каждый домен леса в режим работы Windows Server 2003 в ручном режиме.
      • Перед изменением режима работы производится проверка контроллеров домена под управлением Windows Server 2000 (см. действия по подготовке). Изменение режима блокируется до тех пор, пока проблемные контроллеры домена не обновлены или не удалены. Создается подробный отчет, в котором содержится список блокированных контроллеров домена и сведения о необходимых действиях.
      • Производится проверка доменов, которые работают в смешанном режиме Windows Server 2000 или в промежуточном режиме Windows Server 2003. Изменение режима блокируется до перевода этих доменов по меньшей мере в основной режим Windows Server 2000. Домены, работающие во временном режиме, необходимо перевести в режим Windows Server 2003. Создается подробный отчет, который содержит список несовместимых доменов.
      Обновления Windows NT 4.0
      • Выберите временный режим с помощью программы Dcpromo. Такая возможность существует только при включении основного контроллера домена в новый лес.
      • Измените режим существующего леса на временный и подключите лес в процессе обновления основного контроллера домена. Обновленный домена наследует параметры конфигурации леса.
      • После обновления или удаления всех резервных контроллеров домена под управлением Windows NT 4.0 каждый домен необходимо перевести в режим работы леса (возможно Windows Server 2003).
      Замечания относительно больших групп в Windows NT 4.0

      В существующих продолжительное время доменах Windows NT 4.0 могут быть группы безопасности, которые содержат более 5 000 участников. В Windows NT 4.0 изменение одного члена группы безопасности приводит к репликации на резервные контроллеры домена только этого изменения. В Windows Server 2000 участие в группах определяется с помощью связанных атрибутов, которые хранятся в одном многозначном атрибуте объекта группы. Одно изменение в составе группы приводит к репликации всей группы одним блоком. По этой причине существует опасность «потери» обновлений состава групп, когда разные члены одновременно добавляются или удаляются на разных контроллерах домена. Кроме того, размер такого объекта может превышать размер буфера, который используется для внесения записи в базу данных. Дополнительные сведения см. в разделе «Хранилище версии и группы с большим количеством членов» этой статьи. По этой причине не рекомендуется использовать группы с количеством членов больше 5000.

      Исключением из этого правила является основная группа (по умолчанию группа "Пользователи домена"). В группе "Пользователи домена" для определения участия используется механизм вычисления на основе атрибута primarygroupID, а участники не хранятся в многозначных связанных атрибутах. Если основная группа пользователя меняется, участие в группе "Пользователи домена" записывается в связанный атрибут группы и больше не вычисляется. Новый относительный идентификатор записывается в атрибут primarygroupID, а пользователи удаляются из атрибута участия группы.

      1. Найдите группы с количеством членом больше 5000 (кроме группы «Пользователи домена»).
      2. Разделите такие группы так, чтобы количество участников не превышало 5 000.
      3. Найдите все списки управления доступом, в которых содержатся большие группы, и добавьте в них небольшие группы, созданные в действии 2.
      Проблемы с хранилищем версий при наличии групп с большим количеством участников

      Во время выполнения продолжительных операций, таких как расширенный поиск или фиксация в единый большой атрибут, состояние базы данных Active Directory должно быть статичным. Например, такие операции могут выполняться для большой группы, использующей устаревшее хранилище.

      Поскольку обновления базы данных постоянно осуществляются локально и через партнеров репликации, статичное состояние Active Directory обеспечивается путем организации очереди из всех входящих изменений до завершения продолжительной операции. После окончания этой операции все изменения из очереди применяются к базе данных.

      Место для хранения этих изменений называется хранилищем версий и равно приблизительно 100 МБ. Размер хранилища версий зависит от физической памяти. Если хранилище версий заполняется до завершения продолжительных операций, контроллер домена перестает принимать обновления до выполнения этих операций и применения изменений. Группы с большим количеством участников (более 5 000) могут привести к заполнению хранилища версий во время выполнения продолжительных операций.

      В Windows Server 2003 доступен новый механизм репликации для связанных многозначных атрибутов — репликация связанного значения. Вместо репликации всей группы в единой операции, выполняется репликация отдельных участников группы в отдельных операциях. Репликация связанного значения становится доступна при повышении режима работы леса до промежуточного режима Windows Server 2003 или режима леса Windows Server 2003. В этих режимах работы данный механизм используется для репликации групп между контролерами домена под управлением Windows Server 2003.