Một số vấn đề liên quan đến Master Roles khi Domain Controller(DC) bị sự cố.

Q: Domain Controller không chứa bất kỳ Master Roles bị sự cố phải shutdown, hoặc shutdown theo kế hoạch có ảnh hưởng gì đến hệ thống không?

A: Theo mặc định thì Domain Controller sẽ được phép rời hệ thống dưới 180 ngày (tombstoneLifetime). Thời gian này có thể thay đổi tùy theo người quản trị.

Q: Domain Controller đang giữ các Master Roles bị sự cố phải shutdown, hoặc shutdown theo kế hoạch có ảnh hưởng gì đến hệ thống không?

A: Thông tin chi tiết về Master Roles xem tại ĐÂY. Với việc DC chứa Master Roles bị sự cố thì hướng xử lý thông thường sẽ tiến hành như sau:

Nếu DC có thể phục hồi trong thời gian ngắn: Tiến hành phục hồi DC, nếu DC hoạt động bình thường thì hệ thống tự động phục hồi và hoạt động bình thường

Nếu DC không thể phục hồi trong thời gian ngắn, yêu cầu của hệ thống không cho phép thiếu các Master Roles. Tiến hành các bước sau:

1. Tiến hành Seize Roles sang các DC đang online khác. Seize khác với Transfer ở chỗ Seize tiến hành khi DC giữ Master Roles bị lỗi và DC giữ Master Roles cũ không nhận được thông báo chuyển Roles (Passive). Transfer là chuyển Master Roles sang DC khác và DC giữ Master Roles nhận được thông báo chuyển Roles  (Active)

2. Một khi Seize Roles thành công, tiến hành dọn dẹp các thông số của DC lỗi. Các bước dọn dẹp như sau:

Gỡ bỏ thông tin của DC lỗi bằng command “ntdsutil”

C:\>ntdsutil
ntdsutil: metadata cleanup
metadata cleanup: connections
server connections: connect to server WIN12DC02
Binding to WIN12DC02 ...
Connected to WIN12DC02 using credentials of locally logged on user.
server connections: quit
metadata cleanup: select operation target
select operation target: list domains
Found 1 domain(s)
0 - DC=datum,DC=com
select operation target: select domain 0
No current site
Domain - DC=datum,DC=com
No current server
No current Naming Context
select operation target: list sites
Found 1 site(s)
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=datum,DC=com
select operation target: select site 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=datum,DC=com
Domain - DC=datum,DC=com
No current server
No current Naming Context
select operation target: list server in site
Found 2 server(s)
0 - CN=WIN12DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration
,DC=datum,DC=com
1 - CN=WIN12DC02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration
,DC=datum,DC=com
select operation target: select server 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=datum,DC=com
Domain - DC=datum,DC=com
Server - CN=WIN12DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configur
ation,DC=datum,DC=com
        DSA object - CN=NTDS Settings,CN=WIN12DC01,CN=Servers,CN=Default-First-S
ite-Name,CN=Sites,CN=Configuration,DC=datum,DC=com
        DNS host name - WIN12DC01.datum.com
        Computer object - CN=WIN12DC01,OU=Domain Controllers,DC=datum,DC=com
No current Naming Context
select operation target: quit
metadata cleanup: remove selected server


Transferring / Seizing FSMO roles off the selected server.
Removing FRS metadata for the selected server.
Searching for FRS members under "CN=WIN12DC01,OU=Domain Controllers,DC=datum,DC=
com".
Deleting subtree under "CN=WIN12DC01,OU=Domain Controllers,DC=datum,DC=com".
The attempt to remove the FRS settings on CN=WIN12DC01,CN=Servers,CN=Default-Fir
st-Site-Name,CN=Sites,CN=Configuration,DC=datum,DC=com failed because "Element n
ot found.";
metadata cleanup is continuing.
"CN=WIN12DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC
=datum,DC=com" removed from server "WIN12DC02"
metadata cleanup: quit
ntdsutil: quit

Cửa sổ xác nhận xóa Object DC lỗi

Kiểm tra, gỡ bỏ thông tin của DC lỗi trên DNS

Xóa CNAME

Xóa A Record

Gỡ bỏ DC trong Name Servers của Forward Lookup Zone

Gỡ bỏ DC trong Name Server của Reverse Lookup Zone

Gỡ bỏ, kiểm tra thông tin của DC lỗi trên AD Sites and Services, 

Xóa Object trong AD Sites and Services

 Gỡ bỏ, kiểm tra thông tin của DC lỗi trên ADSI Edit

Kiểm tra Object có còn tồn tại trong AD Default Naming Context ?

Lưu ý: DC lỗi nếu sửa chữa phục hồi hoạt động thì tuyệt đối không được đưa lại vào hệ thống. Việc đưa vào hệ thống sẽ làm cho hệ thống lỗi do sự thay đổi của Schema, trùng lặp RIDs và nhiều lỗi khác do xung đột Master Role vì hệ thống không phân biệt được đâu là DC đang giữ Master Roles hiện hành. Tốt nhất là nên cài lại OS cho DC lỗi và tái sử dụng nếu có nhu cầu.

Q: Nếu DC lỗi chỉ chứa 1 Roles thì có cần phải thực hiện thủ tục như trên không?

A:  Về mặt lý thuyết thì nếu DC lỗi giữ các Master Roles (Infrastructure Master, PDC) có thể cho hoạt động lại. Tuy nhiên, trong thực tế thì dù DC lỗi giữ 1 hay nhiều Master Roles đều phải tuân theo thủ tục trên.

Tại sao phải quan tâm đến DC giữ Master Roles? Câu trả lời sẽ được viết trong một bài khác trong thời gian tới.