Cloned virtualized domain controller(克隆虚拟化部署的域控制器)

在Windows Server 2012之前的版本中,在域控制器升级的过程中,添加额外的虚拟域控制器涉及到的数据复制方法有两种,分别是"复制"网络、使用IFM媒体。但如果数据库 (NTDS.DIT)本身比较大,这两种方法都需要大量时间来复制Active Directory(活动目录)数据库。

但在Windows Server 2012中,克隆虚拟域控制器就不再像以前那么费事了。Server 2012引入了全新的克隆功能,不仅加快了建立新的额外域控制器的过程,还节省了快速部署时配置域控制器的时间。

现在,当Windows Server 2012虚拟域控制器运行在Hyper-V及VMware的vSphere 上时,它会识别出这是一个虚拟化的平台,这点相比于运行在Windows Server 2008 R2或者更早版本上的虚拟域控制器来说,是一个相当显著的改进。

运行在虚拟化平台上的Windows Server 2012域控制器自带复制和安全恢复的功能,并且这些功能是不能被禁用的。

为了防止复制错误(旧对象),微软改良了Hyper-V虚拟机管理程序的代码,并加入了VM-Generation-ID功能,VM-Generation-ID (VMGID)功能可以让Windows Server 2012虚拟域控制器被安全、成功的复制。

一、安装注意事项

虚拟化域控制器不存在任何特殊的角色或功能安装;所有域控制器都将自动包含克隆和安全还原功能。无法删除或禁用这些功能。

使用 Windows Server 2012 域控制器要求 Windows Server 2012 AD DS 架构版本 56 或更高版本,以及与 Windows Server 2003 本机或更高版本相等的林功能级别。

可写和只读域控制器都支持虚拟化 DC 的所有方面,全局编录和 FSMO 角色也是如此。

克隆开始时,PDC 模拟器 FSMO 角色所有者必须处于联机状态。

二、平台要求

虚拟化域控制器克隆要求:

Windows Server 2012 DC 上托管的 PDC 模拟器 FSMO 角色

克隆操作期间 PDC 模拟器可用

克隆和安全还原都要求:

Windows Server 2012 虚拟化来宾

虚拟化主机平台支持 VM 生成 ID (VMGID)

三、虚拟化域控制器克隆

在该过程存在几个点,你可以在那时选择如何创建克隆的计算机以及如何添加 xml 文件;下面详细注明了这些步骤。此过程不可以其他方式更改。

下图说明了虚拟化域控制器克隆的过程,其中域已经存在。

Cloned virtualized domain controller(克隆虚拟化部署的域控制器)_第1张图片

步骤 1  验证虚拟机监控程序

通过查看供应商文档,确保源域控制器在支持的虚拟机监控程序上运行。虚拟化域控制器与虚拟机监控程序无关,且不需要 Hyper-v。

如果虚拟机监控程序是 Microsoft Hyper-V,请确保它在 Windows Server 2012 上运行。你可以使用设备管理对此进行验证

打开 Devmgmt.msc 并检查系统设备中的已安装 Microsoft Hyper-V 设备和驱动程序。虚拟化域控制器需要的特定系统设备是 Microsoft Hyper-V 生成计数器(驱动程序:vmgencounter.sys)

Cloned virtualized domain controller(克隆虚拟化部署的域控制器)_第2张图片

步骤 2  验证 PDCE FSMO 角色

在尝试克隆 DC 之前,你必须验证托管主域控制器模拟器 FSMO 的域控制器运行 Windows Server 2012。PDC 模拟器 (PDCE) 是必需的,原因有多种:

  • PDCE 将创建特殊的可克隆的域控制器组,并在域的根上设置其权限以允许域控制器克隆其自身。

  • 克隆域控制器将使用 DRSUAPI RPC 协议直接联系 PDCE,以便为克隆 DC 创建计算机对象。

使用 Dsa.msc 管理单元,右键单击域,然后单击操作主机。注意在 PDC 选项卡上命名的域控制器,然后关闭对话框。

Cloned virtualized domain controller(克隆虚拟化部署的域控制器)_第3张图片

右键单击该 DC 的计算机对象,再单击属性,然后验证操作系统信息。

Cloned virtualized domain controller(克隆虚拟化部署的域控制器)_第4张图片

步骤 3  授予源 DC 权限

添加权限以允许DC被克隆

把需要被复制的域控制器机器账号加入到Cloneable Domain Controllers组。

Cloned virtualized domain controller(克隆虚拟化部署的域控制器)_第5张图片

步骤 4  删除不兼容的应用程序或服务(此步骤可选)

在克隆之前,必须删除任何之前由 Get-ADDCCloningExcludedApplicationList 返回(且未添加到 CustomDCCloneAllowList.xml)的程序或服务。卸载应用程序或服务是建议的方法。

任何未卸载或添加到 CustomDCCloneAllowList.xml 的不兼容程序或服务都会阻止克隆。

使用 Get-AdComputerServiceAccount cmdlet 在域中查找任何独立的托管服务帐户 (MSA),并检查此计算机是否正在使用其中任何帐户。如果已安装任一 MSA,则使用 Uninstall-ADServiceAccount cmdlet 来删除本地已安装的服务帐户。完成第 6 步中使源域控制器脱机的操作后,在服务器重新联机时,你可以使用 Install-ADServiceAccount 重新添加 MSA。

在 Windows Server 2012 中,已将独立 MSA(在 Windows Server 2008 R2 中首次发布)替换为组 MSA。组 MSA 支持克隆。

检查当前的服务中不适用于克隆的服务

Get-ADDCCloningExcludedApplicationList

如果有,则排查该服务,并卸载该服务或生成排除文件

Get-ADDCCloningExcludedApplicationList -GenerateXML

未完待续……