AD:レプリケートしたのはいいけれど。

あきこ — Mon, 26 Nov 2007 12:27:00 GMT

またもトラブル系、失敗系のお話です...。

試行錯誤しながらWindowsのドメイン環境で生活し始めて、3年ほどが過ぎました。

ドメイン生活のきっかけは、異動先の部署に、買ったばかりのSmall Business Server? 2003 (以下：SBS)があったからです。

※ただ、上司によると、別にドメイン生活がしたかったわけではなく、SharePointとSQL ServerとExchange Serverがバンドルされていたから、SBSを購入したとのこと。結局、この機能を使うためには、ドメイン利用が必要になったのですが....。

その後、SQL Serverの利用を中心に、試行錯誤しつつもドメインでの生活を続けていきました。一度この環境に慣れてしまうと、とくに認証まわりが便利になるため、ドメインに参加させるサーバやクライアントPCが、次第に増えていきました。

ただ、ドメインコントローラ（以下DC）と、メンバサーバのネットワークセグメントが別なため、ネットワークトラブルの時は、DCとの通信ができず、困ることもありました。これについては、同じネットワーク内にDCの複製を作ることで対応しました。（このあたりも、管理ツールお任せで、あまり深く考えずに行っていました）

さて、ドメインの利用は、Virtual Serverを導入したことで、さらに増えていきました。

ここで私は、「DCの冗長性のために、仮想マシンでもDCを複製しておこう！」と考えました。これも、作成と複製自体は、あっさり終了しました。

※実は、DC同士は同じOSでないとダメという制限があるようで、複製のサーバは、Windwos 2003 R2にしようと思ったのですが、SBSに合わせたOS/ServicePackでしか稼働させることができませんでした....。また、Windows 2003 Serverとは言え、SBSはどうやら特別らしく、これも正直なところ扱いに難儀したのですが。

とりあえず仮想マシンも含め、DCは3台になり、私も少しは安心感がアップ。

ところが、その後、Virtual Serverのリソースを別の仮想マシンに多く割り当てないといけない状況になり、リソース節約のために、DCとして作成した仮想マシンを停止させることにしました。

そのまま、すっかり停止させていたことを忘れて、いつしか2ケ月ほどが経過。

やがて、最初のDCとなったSBSのサーバ状況のレポートメールから、「NTDS Replication / EventID: 1864」のエラーが通知されるようになりました。もちろん、原因はDCの仮想マシンを停止させてしまったことでした.....。

＃あとから知ったのですが、仮想マシンを使う場合の注意事項は、ちゃんと、こんなところに出ているんですね(^^;;;

仮想ホスト環境で Active Directory ドメインコントローラをホストする場合の考慮事項
- http://support.microsoft.com/kb/888794/ja

とりあえずサポートツールをDCになっている各サーバにインストールし、repadminを使って、あとからメンテナンスすれば良いや～、と単純に思って悠長に構えていました。実際、警告が出てから半月くらいは、特に問題は無かったからです。

ところが、3連休中に、この同期のための有効期限(tombstone)が切れてしまっていたのです...。

さて、大変なのが後始末。

単純に同期を取り直そうとしても、時すでに遅く、素直には実施できません。

じゃあ、DCから降格させれば良いかな、と思ったのですが、これまた正常に複製されていて、同期が取れた状態でないと、降格できなかったのです。

ドメインのメンバには、SBSのDCをプライマリのDNSとしていたので、SBSのDCが大丈夫なら問題ないかな、と考えていたのですが、これも甘かったようで、ドメインへのログオンが失敗する、といったトラブルに見舞われてしまいました。

この原因は、グローバルカタログになっているDCにエラーが発生すると生じる問題のようなのですが、私は、詳しい理由がまだ見つけられていません。

ひとまず、クライアントを再起動すれば、ドメインへのログオンが出来るようになったのですが....。

自分の出来心のおかげで、とんでもないことになった連休明けでした。（幸い、メインに利用されていた2台のDC間で同期は取れていたので、被害はまだ少ないのですが）

あれこれ試した結果、なんとか同期を取らせ、DCの降格まで行うことができました。この顛末は、また別途。

とか言いつつ、まだ落とし穴がありそうな気もします。

知識も乏しいのに、DCをいじった事には変わりないので、これでしばらく様子を見ないといけません...。

管理者と言えません...。

AD:レプリケートしたのはいいけれど。