Active Directory - Globaler Katalog

[TheKeeper]

Servus!

Ick hab da ma ne frage (bzw. zwei).

Ich habe unter SUSE Linux Enterprise Server mittels VMware zwei virtuelle Windows Server 2003 R2 am laufen.
Auf dem einen liegt die Hauptdomäne "keeper.de" und auf der anderen die Subdomäne "subone.keeper.de". Beide sollten richtig konfiguriert sein.
(Zumindestens besteht dcdiag alle Tests und im Ereignissprotokoll erscheinen höchstens beim Start beider Maschinen Fehler, da der eine den jeweils anderen nicht findet.)
Meine 1. Frage: gibt es noch andere Kriterien/Methoden um zu überprüfen, ob der AD und die Replikation der Informationen in den globalen Katalog richtig läuft?

Meine 2. Frage: wenn ich mich mit einem AD-/LDAP-Browser, wie z.B. dem Yast LDAP-Browser von SLES 11, oder dem AD-Explorer von Sysinternals auf der Hauptdomäne anmelde, kann ich dort die Gesamtstruktur (+ Subdomänen) auslesen oder nur die "lokalen" Informationen des AD´s?
(Grund: Ich hab es versucht und die Informationen nicht gefunden, jedoch ist ein Kollege der Meinung, dass es trotzdem angezeigt werden sollte, wenn AD wirklich richtig konfiguriert ist. Was uns wieder zu 1. führt...)

Hoffe, mein Anliegen ist halbwegs zu verstehen...

 

[TheKeeper]

Okay.. da alles irgendwie dann doch ni so lief, wie es sollte hab ich es nochmal neu aufgesetzt.

Der Aufbau:
Drei virtuelle Server (Win2k3 R2) unter VMware Server 2.0 auf einem SLES 11 - System.

Hauptdomäne:
keeper.de (Server-Hostname: srv-active-one)

Subdomänen:
subone.keeper.de (Server-Hostname: srv-active-two)
subtwo.keeper.de (Server-Hostname: srv-active-thre)

Alle Server wurden normal in den DNS eingetragen, der DNS selber liefert auch keine Fehlermeldungen. Im Verzeichnisdiensteintrag im Ereignisprotokoll sieht das aber wieder anders aus. Er meint, er könne den globalen Katalog finden, aber sich nicht mit ihm verbinden....Was macht man in dem Fall?

Lest einfach selbst...


Hier das Log des Servers "srv-active-one":

11.11.2009	09:18:14	NTDS KCC	Warnung	Konsistenzprüfung 	1925	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-ONE	"Fehler beim Herstellen einer Replikationsverknüpfung mit der folgenden schreibbaren Verzeichnispartition. 
 
Verzeichnispartition: 
CN=Configuration,DC=keeper,DC=de 
Quelldomänencontroller: 
CN=NTDS Settings,CN=SRV-ACTIVE-THRE,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=keeper,DC=de 
Adresse des Quelldomänencontrollers: 
f9273d8e-f684-4604-a386-d0fa118090ea._msdcs.keeper.de 
Standortübergreifende Übertragung (falls vorhanden): 
 
 
Dieser Domänencontroller kann nicht mit dem Quelldomänencontroller replizieren, solange das Problem nicht behoben ist.  
 
Benutzeraktion 
Überprüfen Sie, ob auf den Quelldomänencontroller zugegriffen werden kann und ob eine Netzwerkverbindung besteht. 
 
Zusätzliche Daten 
 Fehlerwert: 
8524 Ein DSA-Vorgang kann aufgrund eines DNS-Aufruffehlers nicht fortgesetzt werden."
11.11.2009	09:15:56	NTDS General	Informationen	Dienststeuerung 	1394	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-ONE	Alle Probleme, die Aktualisierungen der Active Directory-Datenbank verhinderten, wurden behoben. Neu Aktualisierungen der Active Directory-Datenbank waren erfolgreich. Der Anmeldedienst wurde neu gestartet.
11.11.2009	09:14:44	NTDS Replication	Warnung	Verzeichnisdienst-RPC-Client 	2088	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-ONE	"Active Directory konnte DNS nicht zum Auflösen der unten aufgelisteten IP-Adresse des Quelldomänencontrollers verwenden. Active Directory wurde erfolgreich mit Hilfe von NetBIOS bzw. dem voll qualifizierten Computernamen des Quelldomänencontrollers repliziert, um die Konsistenz der Sicherheitsgruppen, der Gruppenrichtlinie, der Benutzer und Computer und deren Kennwörter zu erhalten. 
 
Eine ungültige DNS-Konfiguration kann andere wichtige Vorgänge auf Mitgliedscomputern, Domänencontrollern oder Anwendungsservern in dieser Active  Directory-Gesamtstruktur, einschließlich der Anmeldeauthentifizierung bzw. den Zugriff auf Netzwerkressourcen, beeinflussen. 
 
Sie sollten diesen DNS-Konfigurationsfehler unverzüglich beheben, damit dieser Domänencontroller die IP-Adresse des Quelldomänencontrollers mit Hilfe von DNS auflösen kann. 
 
Alternativer Servername: 
 srv-active-two 
Fehlgeschlagener DNS-Hostname: 
 909c0140-6094-423f-b069-2ea930e4b84d._msdcs.keeper.de 
 
Anmerkung: Standardmäßig werden nur maximal 10 DNS-Fehler innerhalb eines Zeitraums von 12 Stunden angezeigt, auch wenn mehr als 10 Fehler aufgetreten sind. Setzen Sie den folgenden Registrierungswert auf 1, um alle individuellen Fehlerereignisse zu protokollieren: 
 
Registrierungpfad: 
HKLM\System\CurrentControlSet\Services\NTDS\Diagnostics\22 DS RPC Client 
 
Benutzeraktion: 
 
 1) Wenn der Quelldomänencontroller nicht mehr funktioniert bzw. dessen Betriebssystem unter einem anderen Computernamen oder NTDSDSA-Objekt-GUID neu installiert wurde, entfernen Sie die Metadaten des Quelldomänencontrollers mit dem Programm NTDSUTIL.EXE entsprechend der im MSKB-Artikel 216498 dargelegten Schritte. 
 
 2) Bestätigen Sie, dass auf dem Quelldomänencontroller Active Directory ausgeführt wird, und dass auf diesen über das Netzwerk zugegriffen werden kann, indem Sie ""NET VIEW \\<Quell-DC-Name>"" oder ""PING <Quell-DC-Name>"" eingeben. 
 
 3) Stellen Sie sicher, dass der Quelldomänencontroller einen gültigen DNS-Server für die DNS-Dienste verwendet, und dass der Host- bzw. CNAME-Eintrag des Quelldomänencontrollers richtig registriert ist, indem Sie die für den DNS erweiterte Version von DCDIAG.EXE, verfügbar unter http://www.microsoft.com/dns, ausführen. 
 
  dcdiag /test:dns 
 
 4) Stellen Sie sicher, dass dieser Zieldomänencontroller einen gültigen DNS-Server für die DNS-Dienste verwendet, indem Sie die für den DNS erweiterte Version des Befehls DCDIAG.EXE folgendermaßen auf der Konsole ausführen: 
 
  dcdiag /test:dns 
 
 5) Weitere Informationen zur Analyse von DNS-Fehlern erhalten Sie unter KB 824449: 
   http://support.microsoft.com/?kbid=824449 
 
Zusätzliche Daten 
Fehlerwert: 
 11004 Der angeforderte Name ist gültig, es wurden jedoch keine Daten des angeforderten Typs gefunden. 
"
11.11.2009	09:13:15	NTDS General	Informationen	Dienststeuerung 	1000	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-ONE	Das Starten von Microsoft Active Directory wurde ordnungsgemäß abgeschlossen. Version 5.2.3790.1830 
11.11.2009	09:12:40	NTDS ISAM	Informationen	Allgemein 	102	Nicht zutreffend	SRV-ACTIVE-ONE	NTDS (880) NTDSA: Das Datenbankmodul hat eine neue Instanz gestartet (0).
11.11.2009	09:10:48	NTDS ISAM	Informationen	Allgemein 	103	Nicht zutreffend	SRV-ACTIVE-ONE	NTDS (672) NTDSA: Das Datenbankmodul hat die Instanz (0) beendet.

Hier das Log des Servers (srv-active-two):

11.11.2009	09:00:56	NTDS KCC	Warnung	Konsistenzprüfung 	1925	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-TWO	"Fehler beim Herstellen einer Replikationsverknüpfung mit der folgenden schreibbaren Verzeichnispartition. 
 
Verzeichnispartition: 
CN=Configuration,DC=keeper,DC=de 
Quelldomänencontroller: 
CN=NTDS Settings,CN=SRV-ACTIVE-THRE,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=keeper,DC=de 
Adresse des Quelldomänencontrollers: 
f9273d8e-f684-4604-a386-d0fa118090ea._msdcs.keeper.de 
Standortübergreifende Übertragung (falls vorhanden): 
 
 
Dieser Domänencontroller kann nicht mit dem Quelldomänencontroller replizieren, solange das Problem nicht behoben ist.  
 
Benutzeraktion 
Überprüfen Sie, ob auf den Quelldomänencontroller zugegriffen werden kann und ob eine Netzwerkverbindung besteht. 
 
Zusätzliche Daten 
 Fehlerwert: 
8524 Ein DSA-Vorgang kann aufgrund eines DNS-Aufruffehlers nicht fortgesetzt werden."
11.11.2009	09:00:05	NTDS General	Fehler	Globaler Katalog 	1126	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-TWO	"Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen. 
 
Zusätzliche Daten 
Fehlerwert:
1355 Die angegebene Domäne ist nicht vorhanden, oder es konnte keine Verbindung hergestellt werden. 
Interne Kennung:
3200d11 
 
Benutzeraktion 
Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann.  Für die Diagnose dieses Problems können Sie das Dienstprogramm nltest verwenden."
11.11.2009	08:56:26	NTDS General	Informationen	Dienststeuerung 	1394	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-TWO	Alle Probleme, die Aktualisierungen der Active Directory-Datenbank verhinderten, wurden behoben. Neu Aktualisierungen der Active Directory-Datenbank waren erfolgreich. Der Anmeldedienst wurde neu gestartet.
11.11.2009	08:56:20	NTDS General	Fehler	Globaler Katalog 	1126	NT-AUTORITÄT\SYSTEM	SRV-ACTIVE-TWO	"Active Directory konnte keine Verbindung mit dem globalen Katalog herstellen. 
 
Zusätzliche Daten 
Fehlerwert:
1355 Die angegebene Domäne ist nicht vorhanden, oder es konnte keine Verbindung hergestellt werden. 
Interne Kennung:
3200d11 
 
Benutzeraktion 
Überprüfen Sie, ob der globale Katalog in der Gesamtstruktur verfügbar ist und von diesem Domänencontroller erreicht werden kann.  Für die Diagnose dieses Problems können Sie das Dienstprogramm nltest verwenden."
11.11.2009	08:56:20	NTDS General	Warnung	Globaler Katalog 	1655	NT-AUTORITÄT\SYSTEM	SRV-ACTIVE-TWO	"Active Directory hat versucht mit dem folgenden globalen Katalog eine Verbindung aufzunehmen. Die Versuche waren nicht erfolgreich. 
 
Globaler Katalog:
\\srv-active-one.keeper.de 
 
Der zurzeit ausgeführte Vorgang kann möglicherweise nicht fortgesetzt werden. Active Directory wird den Domänencontrollerlocator verwenden, um einen verfügbaren globalen Katalogserver zu suchen. 
 
Zusätzliche Daten 
Fehlerwert:
1908 Der Domänencontroller für diese Domäne wurde nicht gefunden."
11.11.2009	08:56:19	NTDS General	Informationen	Globaler Katalog 	1869	NT-AUTORITÄT\SYSTEM	SRV-ACTIVE-TWO	"Active Directory hat den globalen Katalog in folgendem Standort gefunden. 
 
Globaler Katalog:
\\srv-active-one.keeper.de 
Standort:
Standardname-des-ersten-Standorts"
11.11.2009	08:55:56	NTDS General	Informationen	Dienststeuerung 	1000	NT-AUTORITÄT\ANONYMOUS-ANMELDUNG	SRV-ACTIVE-TWO	Das Starten von Microsoft Active Directory wurde ordnungsgemäß abgeschlossen. Version 5.2.3790.1830 
11.11.2009	08:55:39	NTDS ISAM	Informationen	Allgemein 	102	Nicht zutreffend	SRV-ACTIVE-TWO	NTDS (864) NTDSA: Das Datenbankmodul hat eine neue Instanz gestartet (0).
11.11.2009	08:54:04	NTDS ISAM	Informationen	Allgemein 	103	Nicht zutreffend	SRV-ACTIVE-TWO	NTDS (1048) NTDSA: Das Datenbankmodul hat die Instanz (0) beendet.

 

[blogscreen]

Benutzeraktion:

1) Wenn der Quelldomänencontroller nicht mehr funktioniert bzw. dessen Betriebssystem unter einem anderen Computernamen oder NTDSDSA-Objekt-GUID neu installiert wurde, entfernen Sie die Metadaten des Quelldomänencontrollers mit dem Programm NTDSUTIL.EXE entsprechend der im MSKB-Artikel 216498 dargelegten Schritte.

2) Bestätigen Sie, dass auf dem Quelldomänencontroller Active Directory ausgeführt wird, und dass auf diesen über das Netzwerk zugegriffen werden kann, indem Sie ""NET VIEW \\<Quell-DC-Name>"" oder ""PING <Quell-DC-Name>"" eingeben.

3) Stellen Sie sicher, dass der Quelldomänencontroller einen gültigen DNS-Server für die DNS-Dienste verwendet, und dass der Host- bzw. CNAME-Eintrag des Quelldomänencontrollers richtig registriert ist, indem Sie die für den DNS erweiterte Version von DCDIAG.EXE, verfügbar unter http://www.microsoft.com/dns, ausführen.


Schon gemacht?

 

[jni]

Die Server hängen alle in einem Netz ?
Der Globale Katalog ist auch aktiviert - zumindest auf srv-active-one ?
Der Firewall ist auf allen DC's aus ?

Es gibt von Microsoft ein Tool namens replmon - das müßte aus dem Server-Toolkit sein. Damit kann man u. a. die Replikation auf Fehler prüfen. Wird dir aber erstmal auch nix nützen, da hier ja klar ist, das es nicht geht. Das Tool ist eher geeignet, um einen vermutlich voll funktionierenden ADS zu prüfen.

 

[XN04113]

von welch einem DNS reden wir denn?
Wenn es keiner von MS ist sind vor der Einrichtung von Domainkontrollern einige Schritte durchzuführen.

 

[TheKeeper]

Danke schonmal für eure Antworten!

@ blogscreen
zu 1. Ich glaube das bringt mir ni viel. Damit stufe ich den Quelldomaincontroller doch einfach wieder herab. Davon handelt zumindestens der betreffende MSKB-Artikel. Ich denke das kommt einer Neu-Installation der Server-Rollen gleich. Oder sehe ich das falsch?
zu 2. Beides klappt wunderbar und ohne Fehlermeldungen. @jni Sind alle im selben Netz.
zu 3. Das tut er. ABER seid heute bringt dcdiag wieder Fehlermeldungen (aus welchem Grund auch immer, verändert habe ich nichts) Bei den Replication Tests bringt er auf allen Servern den Fehler (...)The replication generated an error (1722): Der RPC-Server ist nicht verfügbar. Gestern gab es den Fehler noch nicht. Wenn ich bei "Standorte und Dienste" die Verbindungen repliziere schlagen alle Versuche mit der Meldung "Der Replikationszugriff wurde verweigert.", außer bei den Verbindungen von srv-active-one, fehl.

@jni

Der Globale Katalog ist auch aktiviert - zumindest auf srv-active-one ?

Ja ist aktiviert. (Bei "Standorte und Dienste" ist zumindestens der entsprechende Haken bei den NTDS Settings gesetzt. -> gibt es sonst noch etwas zu überprüfen)

Der Firewall ist auf allen DC's aus ?

Ebenfalls ja, noch nichteinmal der Dienst ist aktiviert. Das gilt ebenso für den SLES 11 Host. (Btw. dieser besitzt auch keine Netzwerkverbindung mit den VM´s)

Es gibt von Microsoft ein Tool namens replmon(...)

Das ist gut, sowas habe ich ebenfalls gesucht. Werde ich mir bei Gelegenheit mal ansehen.

Ich setze nebenbei noch zwei physikalische ADS auf um zu sehen ob ich es wenigstens mit denen hinbekomme. Aber trotzdem: Unter VMware sollte das doch kein Problem sein!

EDIT: @XN04113

Der DNS befindet sich mit auf srv-active-one. Hab ich gleich bei der Installation des AD mit installieren lassen. Also MS-Software.

MFG
The Keeper

 

[TheKeeper]

Also,
Active Directory läuft. (Zumindestens auf den physikalischen Servern)
Laut replmon waren alle Replikationen erfolgreich. dcdiag besteht ebenfalls alle Tests. netdiag sowieso. Das es bei VMware nicht funktioniert, muss wohl an dess Config liegen, oder eben, (dass was ich am meisten Vermute) dass die virtuellen Netzwerkschnittstellen (HostOnly, NAT, bridged) bestimmte Dinge nicht zulassen. Weis da mal jemand was?

Und wie sieht es nun mit dem GC aus? Beinhaltet dieser nun die Daten aller Haupt- und Subdomains und kann man diese auch mittels einen LDAP-Browser o.ä. auslesen?

MFG
The Keeper

 

[blogscreen]

Hmm, also ich glaube an der VMware liegt das nicht.
Habe das kürzlich auf einen Lehrgang gesehen das jemand dies
auch so vorgeführt hat ...

 

[TheKeeper]

Naja was soll man da noch machen...

Trotzdem danke!

 

[XN04113]

Mit Hyper-V klappt es bei mir, warum sollte es also mit VMware nicht gehen? Ich setzte allerdings Server 2008 ein.
Halt Stop, hier in der Firma habe ich eine 2003 R2 Testdomäne unter VMware ESX laufen. Die hängt sogar im normalen Hausnetz und arbeitet mit einem Bind9 DNS zusammen (Lucent QIP).
Muß also gehen.

Mike

 

[TheKeeper]

Und wie sieht das Netzwerk deiner Testdomäne aus? Im welchen Modus ist die VM im "Hausnetz" integriert. bridged oder NAT?

 

[TheKeeper]

Wechsel in ein anderes Forum?????

Okay, ich ziehe hier erstmal einen Schlussstrich.

Und auf zum nächsten Problem:
Ich weiß jetzt, dass die Benutzer der Subdomäne in den globalen Katalog der TLD repliziert werden. Dies konnte ich, unter SLES 11 mithilfe von ldapsearch, feststellen.

Meine nächste Aufgabe ist die Realisierung einer Anmeldung an einem Apache-Webserver mit Active Directory Benutzern. Ich habe schon die entsprechende Konfiguration geschrieben, die eine Anmeldung für jeden Benutzer in der AD-Struktur ermöglicht. Dazu habe ich die entsprechende httpd.conf modifiziert. Dies ist der betreffende Ausschnitt:

<Directory "/opt/lampp/htdocs/ad">
##Order deny,allow
##Deny from All
AuthName "Anmelden an Domäne: mofi.de"
AuthType basic
AuthBasicProvider ldap
AuthzLDAPAuthoritative on
AuthLDAPUrl ldaps://srv-active-rone.mofi.de:3268/?sAMAccountname?sub
AuthLDAPBindDN administrator@mofi.de
AuthLDAPBindPassword Password01
AuthLDAPGroupAttributeIsDN on
Require valid-user
</Directory>

Das funktioniert fantastisch, bei Aufruf der entsprechenden Seite öffnet sich ein Browserseitiges Anmeldefenster, bei dem ich mich Benutzernamen und Passwort anmelden kann.

Nun das Problem: Ich kann ja mehrere Benutzer des gleichen Namens in unterschiedlichen OU´s und unterschiedlichen Domänen anlegen.
Mit meiner jetzigen Konfiguration ist es in diesem Fall nicht mehr möglich, mich mit einem der beiden Nutzer anzumelden.
Gibt es eine Möglichkeit eine Einzigartigkeit der Benutzer festzulegen? Eine die auch bei mehreren Zehntausend Benutzern für eine Abgrenzung derselben sorgt?
Am einfachsten wäre ja, wenn ich in das Browser-Anmeldefenster auch die (Sub-)Domäne mit angeben und auswerten könnte.

In der Hoffnung, dass es jetzt keine Überschneidungen mit anderen Foren gibt.

MFG
The Keeper

 

[TheKeeper]

Ich glaube das artet langsam in einer Art Blog aus.
Schreibe aber trotzdem weiter, damit andere User, die sich mit der Materie beschäftigen und auf die selben Probleme stoßen wie ich, schneller auf ein brauchbares Ergebnis kommen. Bei meiner Arbeit habe ich gemerkt, was es alles für Möglichkeiten gibt um auf ein und dasselbe Ziel zu kommen und wie viele unterschiedliche, syntaktische Varianten von Configfiles im Internet auftauchen. Also dann mal...!

Das Problem mit den gleichnamigen Benutzern in der Domäne habe ich gelößt, in dem ich einfach in der Zeile AuthLDAPUrl den sAMAccountName durch den userPrincipalName ersetzt habe. Praktisch so:

AuthLDAPUrl ldaps://srv-active-one.mofi.de:3268/?userPrincipalName?sub

Jetzt muss man nur noch beim Anmelden über den Browser seinen genauen Anmeldenamen, in der Form benutzer@mofi.de eingeben und scho basst dass. Da jeder Benutzer in der Gesamtdomäne seinen eigenen Anmeldenamen haben muss, kann es keine Probleme mehr geben.

Meine nächste Aufgabe war die Realisierung einer Authentifizierung eines Squid-Proxy´s am AD.
Bin mir aber nicht sicher, ob das hier auch noch geposted werden sollte, da es ja fast nicht mehr zum Thema gehört.

 

[muggu]

Noch mal nen ganz simpler Tipp, ich steige hier nicht ganz durch was du schon alles probiert hast, aber ich habe gerade einen 2008DC installiert. Vor DCPROMO hatte ich als ersten DNS Server der LAN Karte meinen Router angegeben.
Nach DCPROMO wurde der erste DNS Server durch 127.0.0.1 geändert und ich bekam sehr viele Fehler im ServerManager für das AD, Dateiserver und DNS.
Habe dann den Router wieder als 2. DNS eingetragen und seitdem ist alles wieder sauber...
Vielleicht das mal bei allen 3 Servern checken.

 

[TheKeeper]

Noch mal nen ganz simpler Tipp, ich steige hier nicht ganz durch was du schon alles probiert hast, aber ich habe gerade einen 2008DC installiert. Vor DCPROMO hatte ich als ersten DNS Server der LAN Karte meinen Router angegeben.
Nach DCPROMO wurde der erste DNS Server durch 127.0.0.1 geändert und ich bekam sehr viele Fehler im ServerManager für das AD, Dateiserver und DNS.
Habe dann den Router wieder als 2. DNS eingetragen und seitdem ist alles wieder sauber...
Vielleicht das mal bei allen 3 Servern checken.

Nein funktioniert trotzdem nicht.
BTW.: Ich hab ne "reale" AD-Kiste aufgesetzt und da funktioniert soweit alles.
(Im Moment) Musste sie aber zwischendurch nochmal aufsetzen, weil der DNS irgendwie keine Daten mehr aus dem AD bekommen hat. Und AD hatte bemerkt dass der DNS nicht funkt. Und schon ging gar nichts...