Почему контроллер домена не должен быть приостановлен или приостановлен
Я видел упоминание о сбое сервера, а также в блоге Technet о том, что вы никогда не должны останавливать или приостанавливать работу контроллера домена. При поиске в документации Microsoft по этому вопросу я обнаружил только один случай, когда это было бы плохо. Официальная документация службы поддержки Microsoft гласит только, что Контроллеры домена не должны быть приостановлены более чем на период Tombstone (который составляет 90 или 180 дней), поскольку это может привести к задержке объектов. Есть ли другие причины, по которым кто-то не хочет приостанавливать DC? Я не понимаю, как это может вызвать откат USN. Я уверен, что есть еще одна плохая вещь, которую я мог пропустить. Спасибо за ваш вклад.
4 ответа
Они не предназначены для того, чтобы быть приостановленными \ приостановленными \ изолированными, потому что вы хотите, чтобы ваш DC был в сети и исправен, но, как указывают официальные документы, это можно сделать безопасно, при условии, что вы не держите один в автономном режиме так долго, что захоронения ведут к длительным объектам, когда он возвращается в онлайн. Мне просто нужно было сделать что-то похожее на это - полностью изолировать DC и выполнить некоторую работу, используя его в течение пары недель, - и получил тот же совет от MS, когда мы описывали сценарий. У нас были некоторые другие осложнения (риск исчерпания МПОГ), которые относятся только к изолированному, но все еще включенному и активному постоянному току, но не относятся к приостановленному / остановленному постоянному току.
Одна из причин не приостанавливать и не приостанавливать работу контроллера домена заключается в том, что он оставляет базу данных в открытом и несовместимом состоянии в памяти. Когда вы выключаете DC и снова включаете его, в базе данных Active Directory выполняются проверки согласованности.
Я не знаю, обоснованы ли эти опасения, но другие проблемы, которые я вижу, - это когда они возобновляются, внутренние часы находятся в другом состоянии, чем выданные в настоящее время билеты Kerberos.
Короче говоря, я могу вспомнить несколько вещей, которые МОГУТ пойти не так, и нет никакой реальной причины когда-либо переводить в спящий режим или приостанавливать DC.
Если вы неправильно настроили синхронизацию времени и с некоторыми продуктами VM при возобновлении работы системы, ваше время может не обновиться до реального времени немедленно. Если у вас нет точного времени, у вас могут возникнуть странные проблемы с аутентификацией.
Я не верю, что приостановка / приостановка приведет к откату. Эта конкретная проблема больше связана с использованием снимков, возврат к более старому снимку серьезно нарушил бы репликацию.
Подумайте об этом, как о внезапном выключении машины. Это не то, что вы должны обычно делать, но иногда это случается. Тот факт, что машина может остаться в несколько непоследовательном состоянии, нежелателен, но это не конец света. Учитывая контекст, который вы создали с помощью вашего комментария выше, я полагаю, что когда это произойдет, просто выполните обычную перезагрузку и дайте серверу нормально разобраться.