Optimierung von Domain Controller, Teil 2 Die Konfiguration von Domänen-Controller

Im zweiten Teil der Artikel zum Verbessern der Leistung von Domänen-Controller, geht es die richtige Positionierung des globalen Katalogs und die Verbesserung der LDAP-Anbindung.

In einigen Netzwerken neigen Verantwortliche dazu, auf Domänen-Controller zusätzliche Serverdienste zu installieren, da die Server nach eigener Meinung sonst nicht viel zu tun haben. Das ist in jedem Fall keine gute Idee, da dadurch nicht nur die Sicherheit von Active Directory kompromittiert werden kann, sondern auch die Leistung leidet. Genau das Gegenteil dieser Maßnahme wäre daher sinnvoll.

Entlastung der Domänen-Controller

Auf Domänen-Controller sollten generell keine weiteren Dienste installiert sein – mit Ausnahme von DNS. Reicht die Leistung des Servers aus, kann zwar durchaus auch DHCP auf einem Domain Controller installiert werden, allerdings sollte schon das mit Sorgfalt erfolgen.

Bei bereits ausgelasteten Domänen-Controller sollte DHCP selbstverständlich auf anderen Servern betrieben werden. Nutzten Unternehmen die Active-Directory-Integration von DNS, ist es sinnvoll, den Dienst auch auf Domänen-Controllern zu betreiben.

In jedem Fall sollten auf einem Domänen-Controller aber keine AD-fremden Programme zum Einsatz kommen. Auch der Betrieb einer Active-Directory-Zertifizierungsstelle ist generell auf einem anderen Server sinnvoll.

Ein Domänen-Controller muss über eine leistungsstarke Verbindung zum Netzwerk verfügen. Das ist beim Konfigurieren einer VM ebenfalls zu berücksichtigen. Hier kann es auch bei virtuellen Domänen-Controller sinnvoll sein, dedizierte Netzwerkverbindungen zur Verfügung zu stellen. Domänen-Controller sollten mindestens mit 1 Gigabit pro Sekunde (Gbit/s) angebunden sein.

Einsatz eines globalen Katalogs

Der 'globale Katalog' (Global Catalog, GC) ist ein wichtiger Bestandteil in Active Directory (AD). Er enthält umfassende Informationen zu Active Directory und kann daher Anfragen schnell beantworten. Allerdings muss ein GC dazu auch mehr Daten speichern.

Es ist durchaus sinnvoll, an jedem Active-Directory-Standort mindestens einen GC zu positionieren. Es ist aber selten sinnvoll, zu viele Domänen-Controller als GC zu konfigurieren. Denn durch diese Konfiguration müssen sehr viele Daten zwischen den Servern repliziert werden. Das erhöht die Auslastung der Ressourcen der beteiligten Server und auch des Netzwerks.

Microsoft empfiehlt beim Einsatz einer einzelnen Domäne an einem einzelnen Standort die Konfiguration aller Domain Controller zum globalen Katalog (Quelle: Planning Global Catalog Server Placement). Da ohnehin alle Authentifizierungen in einem Single-Domain-Forest von jedem Domänen-Controller abgewickelt werden können, erhöhen sich Speicher und Replikationsbedarf hier nicht, wenn mehrere Global Catalogs zum Einsatz kommen.

Die Planung der globalen Kataloge spielt vor allem eine wichtige Rolle, wenn es mehrere Domänen und Active-Directory-Standorte gibt. In einer solchen Infrastruktur müssen Domänen-Controller Authentifizierungsanfragen für andere Domänen in der Gesamtstruktur über globale Kataloge leiten. Daher spielt hier die strukturelle Aufteilung eine wichtige Rolle.

Einstellungen in einem globalen Katalog

Die Konfiguration eines Servers zum globalen Katalog findet in „Active Directory-Standorte und -Dienste“ (dssite.msc) statt. Unterhalb jedes Standorts ist der Ordner „Servers“ mit den Domänen-Controller zu finden. Unterhalb jedes Domänen-Controller gibt es den Menüpunkt „NTDS Settings“ In den Eigenschaften dieses Eintrags können Domänen-Controller zum globalen Katalog konfiguriert werden.

Domänen-Controller mit der Infrastruktur-Master-Rolle sollten nicht zum globalen Katalog konfiguriert werden. Die beiden Rollen sind nicht kompatibel miteinander, außer alle Domänen-Controller sind globale Kataloge und es ist nur eine Domäne im Einsatz. Falsche Konfiguration führen hier zu Problemen bei der Zuordnung von Benutzerkonten zu Gruppen in verschiedenen Domänen, was wiederum in einem Ausbremsen der Zugriffe resultiert.

Zwischenspeichern von Mitgliedschaften universeller Gruppen

Wenn in Active Directory mehrere Standorte konfiguriert sind und mit „Universellen Gruppen“ in Active Directory gearbeitet wird, sollte für jeden Standort die Zwischenspeicherung der Gruppen erfolgen. Universelle Gruppen sind in allen Domänen der Gesamtstruktur verfügbar und können Mitglieder aus allen Domänen enthalten.

Sind solche Gruppen Grundlage in einer Berechtigungsstruktur, sollten die Gruppenmitglieder schnell auflösbar sein. Das ist auf globalen Katalog-Servern kein Problem, da hier die Mitgliedschaften der universellen Gruppen gespeichert sind.

Wenn aber ein Standort mit einer langsamen WAN-Verbindung angebunden ist, kann es sinnvoll sein, hier auf die Konfiguration eines globalen Katalogs zu verzichten und stattdessen für den Domänen-Controller an diesem Standort die Zwischenspeicherung der globalen Gruppen zu aktivieren. Auch diese Konfiguration steht in „Active Directory- Standorte und -Dienste“ (dssite.msc) zur Verfügung.

Vor der Leistungsverbesserung sind Fehler zu beheben

Durch das Anklicken eines AD-Standortes ist in der Mitte des Fensters der Menüpunkt „NTDS Site Settings“ zu sehen. In dessen Eigenschaften kann die Option „Zwischenspeichern der universellen Gruppenmitgliedschaft aktivieren“ gesetzt werden. Die Option „Cache aktualisieren“ muss nicht angepasst werden. Der Server findet den nächsten globalen Katalog zur Aktualisierung von sich aus.

Für ein leistungsstarkes Active Directory ist es zudem wichtig, dass sich die Domänen-Controller miteinander synchronisieren können und dass keine Fehler vorliegen. Dazu stehen in der Befehlszeile Tools wie dcdiag, repadmin und nltest zur Verfügung. Die wichtigsten Optionen sind hier dcdiag /v für ausführliche Diagnosen, repadmin /showreps für das Überwachten der Replikation und nltest /dclist <Name der Domäne> für das Anzeigen aller Domänen-Controller einer Active Directory-Domäne.

Vor Leistungsverbesserungen sollte immer eine Analyse stehen, mit der alle Fehler ausgeschlossen werden. Gefundene Fehler sind in den meisten Fällen über eine Suchmaschine schnell aufzulösen und zu beheben oder zumindest einzugrenzen. Optimierungen in AD machen erst dann Sinn, wenn das Active Directory auch fehlerfrei funktioniert.

LdapSrvWeight und LdapSrvPriority

Domänen-Controller lassen sich in Active Directory gewichten. Mit der Gewichtung wird die Wahrscheinlichkeit gesteuert, in der Clients einen bestimmten Domänen-Controller anfragen. Schnellere Server können dadurch höher gewichtet werden, was langsamere Server entlastet und gleichzeitig die Geschwindigkeit von Active Directory beschleunigen kann.

Die Konfiguration der Gewichtung findet in der Registry auf den Domänen-Controllern durch die Anpassung des Werts „LdapSrvWeight“ im Pfad „HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters“ statt. Clients kontaktieren die Domänen-Controller mit niedrigen Werten vor solchen mit höheren Werten. Niedrige Werte bedeuten also eine hohe Gewichtung. Bei gleichen Werten nutzen die Clients eine statistische Berechnung.

Ein sinnvoller Einsatz des Wertes ist dann gegeben, wenn zum Beispiel der PDC-Emulator einer Domäne besonders häufig zum Einsatz kommt und daher mehr belastet ist als andere Server. Ist das an der Auslastung des Domänen-Controllers zu sehen, kann es sinnvoll sein, andere Server höher zu gewichten.

Die Dienste, die den PDC-Emulator benötigen, nutzen diesen weiter, aber andere Clients verbinden sich dann eher mit einem anderen, höher gewichteten Domänen-Controller. Auch wenn im Netzwerk Domänen-Controller mit verschiedener Hardware zum Einsatz kommen, ist es sinnvoll besser ausgestattete Domänen-Controller höher zu gewichten.

Die Vorgehensweise bei der Gewichtung zeigt Microsoft bei „When to Tune LDAP Weights“ auf der Seite „Capacity Planning for Active Directory Domain Services“.

Priorisierung von Domänen-Controllern

Ein weiterer Wert zur Anpassung der Gewichtung und Priorität von Domänen-Controllern ist „LdapSrvPriority“, ebenfalls im Pfad „HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters“. Die Priorisierung arbeitet mit „LdapSrvWeight“ zusammen. Wenn Domänen-Controller denselben Prioritätswert haben, wird ihre Prioritätsgewichtung verwendet, wie im Wert von „LdapSrvWeight“ angegeben. Domänen-Controller mit der höchsten Gewichtung (LdapSrvPriority) und dem niedrigsten Prioritätswert (LdapSrvWeight) werden zuerst angesprochen. Standardmäßig hat jeder Domain Controller eine Priorität von 0 und eine Gewichtung von 100.

In zahlreichen Serverdiensten ist es möglich spezielle Domänen-Controller für den Zugriff auf Active Directory zu konfigurieren. In vielen Fällen sind hier sogar speziell einzelne eingetragen.

Oft findet hier keine richtige Gewichtung statt, sondern Administratoren oder Anwender tragen häufig die gleichen Domain Controller ein oder verteilen die Zugriffe nicht richtig. Hier ist es daher sinnvoll zu überprüfen von welchen Serverdiensten und Netzwerkgeräten, übrigens auch von Linux, Unix oder MacOS aus, Zugriff auf Active Directory erfolgt und welche Domänen-Controller zum Einsatz kommen. Grundsätzlich sollten solche Dienste auch dokumentiert sein, damit eine Änderung problemlos möglich ist. Auch dadurch lassen sich Domänen-Controller entlasten, da Anfragen von externen Systemen zu anderen umgeleitet werden.

Der Autor, Thomas Joos, ist Berater und Autor zahlreicher Fachbücher und -artikel. Auf DataCenter-Insider schreibt er seinen eigenen Blog mit Tipps und Tricks für Administratoren*innen „Toms Admin-Blog“

(ID:47435652)