Übersicht über die Problembehandlung bei Active Directory

Transkript

1 Übersicht über die Problembehandlung bei Active Directory (Engl. Originaltitel: Overview of Active Directory Troubleshooting) Beim Verzeichnisdienst Active Directory handelt es sich um ein verteiltes System, das aus vielen verschiedenen Diensten besteht. Die ordnungsgemäße Funktionsweise dieser Dienste hat wiederum entscheidenden Einfluss auf das Active Directory insgesamt. Die in diesem Kapitel vorgestellte Methodologie kann Sie bei der Behebung von Funktionsstörungen unterstützen. Sie erleichtert es Ihnen, Probleme zu identifizieren, auf die entscheidenden Komponenten einzugrenzen und zu beseitigen. In den meisten Fällen beginnt die Problembehandlung, wenn eine der folgenden Situationen eintritt: Ein Ereignis wird in einem Ereignisprotokoll aufgeführt. Eine Überwachungssystem (z. B. Microsoft Operations Manager, MOM) generiert eine Warnung. Ein Benutzer oder ein IT-Mitarbeiter meldet ein Symptom. Dieses Kapitel enthält Problembehandlungsprozeduren für die Ereignisse, Überwachungswarnungen und Symptome, die am häufigsten auftreten oder in Ihrer Organisation die größten Probleme darstellen können. Spezielle Abschnitte für die einzelnen Active Directory-Dienste beziehen dabei auch Prozeduren für Fehlermeldungen ein, die von einigen möglicherweise für die Problembehandlung verwendeten Tools erzeugt werden. Reaktion auf Ereignisse Wenn Sie auf Ereignisse im Ereignisprotokoll reagieren, sollten Sie zuerst die Quelle ermitteln, die im Ereignisprotokoll aufgeführt ist, z. B. der Anmeldedienst oder der Dateireplikationsdienst (File Replication Service oder FRS). In Tabelle 2.1 werden die Ereignisquelle und die zugehörigen IDs angezeigt sowie auf die Problembehandlungsabschnitte für Ereignisse verwiesen, die am häufigsten auftreten oder die den höchsten Schweregrad besitzen. Wenn Tabelle 2.1 die gesuchte Ereignis-ID nicht enthält, können Sie danach über die Microsoft Knowledge Base-Verknüpfung auf der Seite Web Resources unter suchen Tabelle 2.1 Ereignisreferenz für Active Directory Ereignisquelle Ereignis-ID Verweis FRS 13508, 13509, 13512, 13522, 13567, Siehe "Problembehandlung für den Dateireplikationsdienst". Netlogon 5774, 5775, 5781, 5783, 5805 Siehe "Problembehandlung bei Active Directory-bezogenen DNS-Problemen". NTDS 1083, 1265, 1388, 1645 Siehe "Problembehandlung bei Active Directory- Replikationsproblemen". UserEnv 1085 Siehe "Problembehandlung bei Active Directory- Replikationsproblemen". W32Time 13, 14, 52-56, Siehe "Troubleshooting Windows Time Service Problems"

2 Antworten auf Überwachungswarnungen Verwenden Sie zur optimalen Vorgehensweise für Ihre Umgebung ein umfassendes Überwachungssystem. Die von Überwachungssystemen generierten Warnungen können variieren. In Tabelle 2.2 sind einige allgemeine Warnungen enthalten, die von Microsoft Operations Manager (MOM) mit installiertem Active Directory Management Pack (ADMP) generiert werden. Außerdem sind Verweise auf die entsprechenden Referenzinformationen zur Problembehandlung enthalten. Wenn Sie ein anderes Überwachungssystem verwenden, suchen Sie nach der Warnung, die der von Ihrem System erzeugten Warnung am ähnlichsten ist. Wenn Sie in dieser Tabelle nicht die gewünschte Überwachungswarnung finden, zeigen Sie die Ereignisprotokolle an und beheben die Probleme von verwandten Fehlerereignissen, die Sie finden. Alternativ können Sie auch weitere Anweisungen zur Problembehandlung in dem Abschnitt dieses Handbuchs zu Rate ziehen, der dem gemeldeten Problem am ehesten entspricht. Tabelle 2.2 Verweise auf Überwachungswarnungen für Active Directory Überwachungswarnung Beschreibung Verweis Ein Domänencontroller hat eine erhebliche Anzahl neuer Replikationspartner erhalten. Folgendes wurde von Active Directory Essential Services ermittelt: Das ist normal, wenn ein Computer zu einem globalen Katalogserver oder Bridgeheadserver wird oder neue Domänen oder Domänencontroller zur Umgebung hinzugefügt werden. Abweichende Ursachen für diese Warnung umfassen Replikationsprobleme oder Probleme mit Siteverknüpfungen. Hierbei handelt es sich um Warnungen mit hoher Priorität, da sie darauf hinweisen, dass der Domänencontroller aufgrund der im Fehler angegebenen Ursache nicht verwendet werden kann. Weitere Informationen zu Problembehandlungsverfahren für die Replikation finden Sie unter "Problembehandlung bei Active Directory-Replikationsproblemen". Empfehlungen und Verfahren zum Einrichten und Prüfen von Sites und Siteverknüpfungen finden Sie unter "Managing Sites" Wenn die Warnung angibt, dass ein Dienst nicht aktiv ist, starten Sie den Dienst erneut (restart the service). Wenn die Warnung auf ein SYSVOL-Problem hinweist, finden Sie unter "Problembehandlung für den Dateireplikationsdienst" oder "Managing SYSVOL" (englischsprachig) weitere Empfehlungen und Verfahren zur Problembehandlung. Suche im globalen Active Directory-Katalog ist fehlgeschlagen. Dies ist eine Warnung mit hoher Priorität, da ein globaler Katalogserver nicht erreichbar ist und sich Benutzer somit nicht anmelden können und das Adressbuch von Exchange nicht funktioniert. Wenn die Warnung anzeigt, dass der Domänencontroller keine Ankündigungen sendet, finden Sie weitere Informationen unter "Problembehandlung bei Active Directory-bezogenen DNS- Problemen". Prüfen Sie, ob dies ein globaler Katalogserver ist (Verify that this is a global catalog server). Weitere Informationen zum Sicherstellen der ordnungsgemäßen Funktionsweise des Servers finden Sie unter "Verifying Server Health"

3 Active Directory Warnung über verlorene Objekte. Die Active Directory-Replikation erfolgt nur langsam. Befehl "Ping" oder "Bind" für Rolleninhaber des <Betriebsmasters> fehlgeschlagen. Eine große Anzahl von Objekten befindet sich im Container LostAndFound. Das Überwachungssystem hat ermittelt, dass die Replikationszeiten die festgelegten Grenzwerte überschreiten. Der Zielserver funktioniert möglicherweise nicht, oder es ist keine Netzwerkkonnektivität vorhanden. Siehe "Troubleshooting Directory Data Problems" Weitere Informationen zum Einstellen der Replikationszeitpläne oder der Standorttopologiekonfiguration finden Sie bei Bedarf unter "Managing Sites" Wenn Sie mit dem aktuellen Zeitplan zufrieden sind, können Sie auch den Grenzwert ändern. Weitere Informationen finden Sie unter "Verifying Server Health" und "Verifying Network Path" (beide englischsprachig). Bei Bedarf finden Sie weitere Informationen unter "Managing Operations Masters" (englischsprachig), um zu ermitteln, ob es zulässig ist, die Rolle zu übernehmen. Warnung wegen starker CPU- Auslastung. Replikation wird nicht durchgeführt kein Active Directory- Replikationspartner konnte die Synchronisierung durchführen. Zeitabweichung ermittelt. Eine Anwendung oder ein Dienst belegen einen übermäßigen Teil der CPU-Kapazität. Kurzfristige Konnektivitätsprobleme sind zu erwarten, während länger andauernde Fehlverhalten auf ein Problem hinweisen. Untersuchen Sie alle Probleme, die mehrere Stunden andauern. Die in der Warnung angezeigte Systemzeit der Server ist nicht synchronisiert. Wenn der Ausfall erwartet wird, finden Sie unter "Managing Operations Masters" (englischsprachig) weitere Informationen zum Übertragen der Rolle vor dem Ausfall, damit dieser Fehler vermieden wird. Weitere Informationen finden Sie unter "Troubleshooting High CPU Usage on a Domain Controller" Siehe "Problembehandlung bei Active Directory- Replikationsproblemen". Siehe "Troubleshooting Windows Time Service Problems" Reaktion auf Symptome Wenn Sie die Problembehandlung für Active Directory auf Basis von Symptomen durchführen, die von Benutzern gemeldet oder von IT-Mitarbeitern erkannt wurden, müssen Sie vorab einige Schritte zur Problembehandlung ausführen, um die Ursache des Problems einzugrenzen. Informationen zum Wiederholen des Problembehandlungsprozesses, bis die Hauptursache gefunden und das Problem gelöst wurde, finden Sie in diesem Handbuch unter "High-Level Methodology for Troubleshooting Active Directory Problems"

4 Wenn Sie bereits die wahrscheinlichste Quelle oder Ursache für dieses Problem ermittelt haben, finden Sie weitere Informationen in den entsprechenden Abschnitten dieses Handbuchs, z. B. "Troubleshooting High CPU Usage on a Domain Controller" (englischsprachig) oder "Problembehandlung bei Active Directory- Replikationsproblemen". Jeder Abschnitt enthält weiterführende Schritte zur Problembehandlung, mit deren Hilfe Sie das Problem weiter eingrenzen können. Voraussetzungen für die Problembehandlung bei Active Directory Bevor Sie mit der Problembehandlung bei Active Directory beginnen, stellen Sie sicher, dass Sie Voraussetzungen zum Nachverfolgen von Problemen einrichten, Informationen über die IT-Umgebung überprüfen und sich mit den Active Directory-Konzepten und -Diensten vertraut machen. Voraussetzungen für die Problemnachverfolgung Stellen Sie die folgenden Mechanismen zur Verfügung, um die rechtzeitige Erkennung, Behandlung und Behebung von Problemen sicherzustellen. Service Desk (oder Helpdesk) Prozesse zum Incident Management und Problem Management Software zur kontinuierlichen Überwachung Weitere Informationen zum Implementieren eines Service Desks sowie zu Prozessen zum Incident Management und Problem Management in Ihrer Organisation finden Sie über die Verknüpfung zum Microsoft Operations Framework (MOF) auf der Seite Web Resources unter Weitere Informationen zum Überwachen von Active Directory finden Sie in diesem Handbuch unter "Monitoring Active Directory" Informationen zur IT-Umgebung Stellen Sie sicher, dass die Mitarbeiter, die die Problembehandlung bei Active Directory durchführen, einfach auf die folgenden Dokumentationstypen zugreifen können: Active Directory-Konfiguration, einschließlich replikationsbezogener Konfigurationsdokumentation. Konfigurationen für DNS (Domain Name System), DHCP (Dynamic Host Configuration Protocol) und IP (Internet Protocol). Anwendungs- und Dienstdokumentation (z. B. Exchange). Verwaltungsmodell Serverplatzierung und -konfigurationen Änderungsverwaltungsprotokolle Active Directory-Konzepte und -Dienste Stellen Sie sicher, dass die Mitarbeiter, die die Problembehandlung durchführen, zumindest die Grundsätze der Active Directory-Konzepte und -Dienste kennen. Active Directory-Konzepte Die Active Directory-Konzepte umfassen die folgenden Bereiche: Namensauflösung, einschließlich DNS- und NetBIOS-Namensauflösung mit Broadcasts, LMHOSTS- Dateien und WINS (Windows Internet Name Service). Replikation (einschließlich Microsoft Windows 2000 Server im einheitlichen Modus und der Microsoft Windows NT 4.0-Emulation). Zeitsynchronisation

5 Gruppenrichtlinien- und Dateireplikationsdienst Active Directory-Hauptfunktionen, einschließlich Kenntnissen zu globalen Katalogen, Domänen und Strukturen Authentifizierung (sowohl Kerberos-Authentifizierung als auch LAN Manager) MMC-Snap-Ins (Microsoft Management Console) für Active Directory und Active Directory-bezogene Tools (einschließlich Betriebssystem-, Support- und Resource Kit-Tools). Active Directory-Dienste Um die Hauptursache für Probleme mit Active Directory zu ermitteln, stellen Sie sicher, dass die für die Problembehandlung zuständigen Mitarbeiter Kenntnisse zu allgemeinen Active Directory-Operationen besitzen, z. B. Replikation und Kennwortänderung sowie darüber, wie die folgenden Prozesse und Rolleninhaber in diese Operationen einbezogen sind. Betriebsmasterrollen (einschließlich PDC-Emulator, RID-Master (Relative Identifier), Domänennamenmaster, Schemamaster und Infrastrukturmaster). Schlüsselverteilungscenter (Key Distribution Center oder KDC). Konsistenzprüfung (Knowledge Consistency Checker oder KCC). Ersteller der standortübergreifenden Topologie (Intersite Topology Generator oder ISTG). Zeitreferenzserver (Time Reference Server oder TRS). Da Active Directory mit externen Diensten und Protokollen in Wechselwirkung steht, z. B. TCP/IP als Transportprotokoll, DNS für die Namensauflösung und FRS für die Dateireplikation von Gruppenrichtlinienobjekten und Anmeldeskripts, gestaltet sich die exakte Ermittlung der Ursache eines Problems sowie die Anwendung einer Lösung komplexer. Die effektive Problembehandlung erfordert umfassende Kenntnisse zu diesen und anderen Protokollen sowie zu Diagnosetools, die mit den Protokollen verbunden sind. Weitere Informationen zu Active Directory, Netzwerkprotokollen und -tools finden Sie im Microsoft Windows 2000 Server Resource Kit (englischsprachig) Sie können auch weitere Informationen erhalten, indem Sie Microsoft.com und TechNet durchsuchen oder MCSE-Schulungen und Bücher nutzen. Tools für die Problembehandlung bei Active Directory In Tabelle 2.3 sind die Tools aufgeführt, die Sie zur Problembehandlung für Active Directory verwenden können, wo Sie diese Tools finden sowie eine kurze Beschreibung zur Aufgabe der Tools. Weitere Informationen zum Installieren der Windows 2000-Supporttools und der Windows Verwaltungstools finden Sie in der Windows 2000 Server-Hilfe. Tabelle 2.3 Tools für die Problembehandlung bei Active Directory Tool Speicherort Funktion Windows 2000-Verwaltungstools Snap-In für Active Directory-Domänen und - Vertrauensstellungen Snap-In für Active Directory-Sites und Dienste Snap-In für Active Directory-Benutzer und Computer Windows 2000-Verwaltungstools Windows 2000-Verwaltungstools ADSI Edit-, MMC-Snap-In Windows 2000-Supporttools Domänenvertrauensstellungen verwalten, Suffixe für Benutzerprinzipalnamen hinzufügen und den Domänenmodus ändern. Die Replikation von Verzeichnisdaten verwalten Daten im Verzeichnis verwalten und veröffentlichen. Zugriffssteuerungslisten (Access Control List oder ACL) für Objekte im Verzeichnis anzeigen, ändern und festlegen.

6 Sicherungs-Assistent Windows 2000-Betriebssystemtool Daten sichern und wiederherstellen. Systemsteuerung Windows 2000 Computer-, Anwendungs- und Netzwerkeinstellungen anzeigen und ändern. Dcdiag.exe Windows 2000-Supporttools und Windows 2000 Server Resource Kit DNS-Snap-In Windows 2000-Verwaltungstools DNS verwalten. Den Status von Domänencontrollern in einer Struktur oder einem Unternehmen analysieren. Bei der Problembehandlung durch Melden von Problemen helfen. Dsastat.exe Windows 2000-Supporttools Verzeichnisdaten auf Domänencontrollern vergleichen und Unterschiede erkennen. Ereignisanzeige Windows 2000-Verwaltungstools In Ereignisprotokollen aufgezeichnete Ereignisse überwachen. Ipconfig.exe Windows 2000-Betriebssystemtool Netzwerkkonfiguration anzeigen und verwalten. Ldp.exe Windows 2000-Supporttools LDAP-Operationen (Lightweight Directory Access Protocol) für Active Directory durchführen. Linkd.exe Windows 2000 Server Resource Kit Verknüpfungen erstellen, löschen, aktualisieren und anzeigen, die in Abzweigungspunkten gespeichert werden. MMC Windows 2000 Verwaltungstools (auch als MMC-Snap- Ins bezeichnet) erstellen, speichern und öffnen und somit Hardware-, Softwareund Netzwerkkomponenten verwalten. Netdiag.exe Windows 2000 Server Resource Kit und Windows 2000-Supporttools End-to-End-Netzwerkkonnektivität und verteilte Dienstfunktionen prüfen. Netdom.exe Windows 2000-Supporttools Batchverwaltung von Vertrauensstellungen, Zusammenfassen von Computern zu Domänen und Überprüfen von Vertrauensstellungen und sicheren Kanälen zulassen. Net use, start, stop, del, copy, time Windows 2000-Betriebssystemtool Allgemeine Aufgaben für Netzwerkdienste durchführen, einschließlich dem Anhalten und Starten von sowie dem Herstellen von Verbindungen zu Netzwerkressourcen. Nltest.exe Windows 2000-Supporttools Funktionalität des Locatorkanals und des sicheren Kanals überprüfen. Ntdsutil.exe Windows 2000-Betriebssystemtool Active Directory verwalten, einzelne Masteroperationen verwalten und Metadaten entfernen. Ntfrsutl.exe Windows 2000 Server Resource Kit Konfiguration für den Dateireplikationsdienst anzeigen und verwalten. Systemmonitor Windows 2000-Betriebssystemtool Systemleistungsdaten, Leistungsprotokolle und -warnungen anzeigen sowie Protokolldateien nachverfolgen. Pathping.exe Windows 2000-Betriebssystemtool Eine Route von einer Quelle zu einem Ziel im Netzwerk nachverfolgen und die Anzahl der Hops sowie den Paketverlust anzeigen. Ping.exe Windows 2000-Betriebssystemtool Netzwerkkonnektivität überprüfen. Regedit.exe Windows 2000-Betriebssystemtool Registrierungseinstellungen anzeigen und ändern.

7 Repadmin.exe Windows 2000-Supporttools Replikationskonsistenz zwischen den Replikationspartnern überprüfen, den Replikationsstatus überwachen, Replikationsmetadaten anzeigen sowie Replikationsereignisse und Topologieneuberechnung erzwingen. Replmon.exe Windows 2000-Supporttools Replikationstopologie anzeigen, Replikationsstatus überwachen sowie Replikationsereignisse und Topologieneuberechnung erzwingen. Secedit.exe Windows 2000-Betriebssystemtool Gruppenrichtlinieneinstellungen verwalten. Snap-In für Dienste Windows 2000-Verwaltungstools Systemdienste auf Remote- und lokalen Computern starten, stoppen und anhalten, Start- und Wiederherstellungsoptionen für jeden Dienst konfigurieren. Setspn.exe Windows 2000-Supporttools Sicherheitsprinzipalnamen (Security Principal Name oder SPN) verwalten. Task-Manager Windows 2000 Prozesse und Leistungsdaten anzeigen. Terminaldienste Windows 2000 Auf Computer remote zugreifen und diese verwalten. W32tm Windows 2000-Betriebssystemtool Windows-Zeitdienst verwalten. Windows-Explorer Windows 2000 Auf Dateien, Webseiten und Netzwerkspeicherorte zugreifen.