Kapitel 25 Active-Directory-Modelle zur Verteilung der Serverfunktionen

Mit dem Wissen, welche Betriebsmasterrollen, Dienste und Funktionen auf die Server verteilt werden müssen und wie das Risiko eines Serverausfalls abgefedert werden kann, können nun Modelle für die Aufteilung der Funktionen und Dienste aufgestellt werden, die in einer Gesamtstruktur mit nur einem oder mit mehreren Standorten sinnvoll erscheinen.

25.1 Aufteilung der Serverfunktionen bei nur einem Standort 

Können alle Clients über schnelle und ausfallsichere Leitungen an einen zentralen Pool von Servern angeschlossen werden, so ist das Servermodell wenig komplex. Dieses Modell kommt auch dann in Frage, wenn nicht alle Clients physisch am selben Ort stehen, jedoch über Leitungen mit ausreichender Bandbreite mit den Servern verbunden sind, oder die Anwender in Filialen ausschließlich auf Terminalservern der Zentrale arbeiten.

»Standorte« im technischen Sinn Der Active-Directory-Begriff »Standort« (Site) beschreibt die Summe von Servern und Clients, die über Leitungen mit großer Bandbreite miteinander verbunden sind. Diese Definition ist jedoch auslegbar. Innerhalb eines Standortes muss Folgendes sichergestellt sein:

Replikationsvorgänge zwischen den Servern müssen fehlerlos und in akzeptablen Zeitintervallen ausgeführt werden. Änderungen an den Attributen des Active Directory müssen so schnell auf allen Servern bekannt gemacht werden, dass das Active Directory in sich konsistent bleibt. Anwender müssen sich fehlerlos anmelden können und auf die Dateibestände und Dienste mit akzeptabler Performance zugreifen können. Außerdem darf die Verfügbarkeit des Systems zumindest während der Arbeitszeiten nicht durch Sicherungs- und Rücksicherungsvorgänge spürbar leiden.

Das nachfolgend dargestellte Servermodell wäre in einer Domäne mit nur einem Standort bei Berücksichtigung von Ausfallsicherheit und akzeptabler Gesamtperformance denkbar:

Die Domäne Testfirma.de besteht aus zwei Domänencontrollern DC1 und DC2. Der zweite Domänencontroller soll im Notfall den Betrieb aufrechterhalten, bis der erste Domänencontroller wieder hergestellt ist. Zwar führt die Verteilung der Betriebsmasterfunktionen und der Dienste DNS, DHCP, WINS etc. auf zwei Domänencontroller auch zu einer Lastenverteilung und damit zu besserem Antwortverhalten. Jedoch stellen Hersteller wie Compaq, Hewlett Packard, IBM, DELL und andere auf Serverhardware spezialisierte Hersteller inzwischen derart leistungsfähige und ausfallsichere Server mit guten Management-Funktionen (Hardwareüberwachung, Fehleranalyse, Frühwarnsysteme) zur Verfügung, dass ein solcher Server mit entsprechend viel RAM und mehreren Prozessoren viele Hundert Clients auch bei der Anmeldelast in morgendlichen Stoßzeiten bedienen kann, ohne an die Grenzen seiner Leistungsfähigkeit zu stoßen.

Werden mehr als zwei Domänencontroller zwecks Ausfallsicherheit eingesetzt, so muss der Administrator genau wissen, welche Schritte bezüglich der Übernahme der Betriebsmasterfunktionen und des globalen Katalogs vorzunehmen und zu unterlassen sind, wenn einer der Domänencontroller ausfällt, speziell dann, wenn nicht sofort abzusehen ist, ob und wann der ausgefallene Server wieder ans Netz geht oder durch einen anderen Server ersetzt wird. Dazu muss eine Checkliste bereitliegen, denn ein falsches Vorgehen in einer derartigen Stresssituation verschlimmert nicht selten die Lage. In jedem Fall ist es besser, beim Ausfall eines wichtigen Domänencontrollers einen durchgetesteten Disaster-Recovery-Plan anzuwenden und den Server möglichst schnell wieder mit vollem Funktionsumfang ans Netz zu bringen.

Der erste Domänencontroller DC1 übernimmt die Betriebsmasterfunktionen Schemamaster sowie Domänennamenmaster und fungiert außerdem als globaler Katalogserver. Er ist der zentrale Zeitserver der Domäne und gleicht seine Zeit mit der Weltzeit ab. Er fungiert als DNS-Server, DHCP-Server und WINS-Server, wenn WINS benötigt wird.

Dieser erste Domänencontroller sollte bezüglich seiner Hardwarekomponenten hoch ausfallsicher sein:

RAID-Controller mit RAID Level 1

redundantes Netzteil

redundante Lüfter

redundante Netzwerkkarten

Der zweite Domänencontroller DC2 übernimmt die Betriebsmasterfunktionen Infrastrukturmaster, RID-Master und PDC-Emulator. Seine Funktion als Infrastrukturmaster schließt aus, dass er gleichzeitig den globalen Katalog beherbergt. Jedoch kann er bei einem längeren Ausfall des DC1 zu einem globalen Katalogserver hochgestuft werden. In diesem Fall müssen so oder so alle Betriebsmasterfunktionen des ausgefallenen DC1 auf den DC2 übertragen werden. In einer Domäne mit nur einem Domänencontroller dürfen jedoch alle Betriebsmasterfunktionen und der globale Katalog auf demselben Domänencontroller liegen.

Der Server DC2 kann außerdem als Ausfall-DHCP-Server eingesetzt werden, wobei sich die von beiden Domänencontrollern zur Verfügung gestellten IP-Adressbereiche nicht überschneiden dürfen. Alternativ ist denkbar, den DHCP-Serverdienst auf diesem Server passend einzurichten, dann zu deaktivieren und nur beim Ausfall des DC1 temporär zu aktivieren. Ebenso kann der DC2 als Ausfall-WINS-Server eingerichtet werden, soweit der WINS-Dienst weiterhin benötigt wird.

Bei Ausfall des ersten Domänencontrollers muss der DC2 auch als DNS-Server fungieren. Wichtig ist hierbei, dass die beiden Domänencontroller in den Eigenschaften des TCP/IP-Protokolls jeweils den anderen Domänencontroller als primären DNS-Server eingetragen haben. Lesen Sie hierzu den Artikel 275278 »DNS Server Becomes an Island When a Domain Controller Points to Itself for the _Msdcs_ForestDnsName Domain« bzw. in »Active Directoy Branch Office Guide Series« das »Chapter 2 – Structural Planning for Branch Office Environments« der Microsoft Knowledge Base.

Wenn das Budget knapp ist, kann beim zweiten Domänencontroller bezüglich der Hardwareausstattung eingespart werden. Der DC2 dient dann vorwiegend zum Lastausgleich des DC1 und nur im Notfall als Ausfallserver zur Überbrückung der Zeit, bis der DC1 wieder ans Netz geht. Ist mit einem längeren Ausfall des DC1 zu rechnen, müssen alle Betriebsmasterfunktionen vom DC1 übernommen werden. Außerdem muss der globale Katalog auf dem DC2 aktiviert werden, bis der ausgefallene DC1 wieder verfügbar ist und die Betriebsmasterfunktionen wieder zurückübertragen werden können. Da dann der DC1 wieder den globalen Katalog bereitstellt, muss er auf dem DC2 dann wieder deaktiviert werden, weil es anderenfalls erneut zu einem Konflikt zwischen den Rollen des Infrastrukturmasters und des globalen Katalogservers käme.