Репликация в Active Directory

Планирование стратегии репликации

Репликация Active Directory - жизненно важная операция, которую необходимо тщательно планировать. Правильно спланированная репликация ускоряет ответ каталога, уменьшает сетевой трафик по WAN-каналам и сокращает административные издержки.

В Windows Server 2003 используется модель репликации с несколькими хозяевами, при которой на всех контроллерах домена хранятся равноправные копии БД Active Directory. Когда создается, удаляется или переносится объект либо изменяются его атрибуты на любом контроллере домена, эти изменения реплицируются на остальные контроллеры домена.

Внутрисайтовая (между контроллерами домена одного сайта) и межсайтовая репликация (между контроллерами домена, относящимися к разным сайтам) выполняется по-разному [ 3 ] , [ 4 ] .

Репликация внутри сайта

В пределах сайта Active Directory автоматически создает топологию репликации между контроллерами одного домена с использованием кольцевой структуры. Топология определяет путь передачи обновлений каталога между контроллерами домена до тех пор, пока обновления не будут переданы на все контроллеры домена.

Кольцевая структура обеспечивает существование минимум двух путей репликации от одного контроллера домена до другого, и если один контроллер домена временно становится недоступен, то репликация на остальные контроллеры домена все равно продолжится.

При внутрисайтовой репликации трафик репликации передается в несжатом формате. Это объясняется тем, что контроллеры домена, принадлежащие одному сайту, как предполагается, связаны каналами с высокой пропускной способностью. Помимо того, что данные не сжимаются, используется механизм репликации, основанный на уведомлении об изменениях. Значит, если в данные домена вносятся изменения, эти изменения быстро реплицируются на все контроллеры домена.

Репликация между сайтами

Для обеспечения репликации между узлами нужно представить сетевые соединения в виде связей сайтов. Active Directory использует информацию о сетевых соединениях для создания объектов-соединений, что обеспечивает эффективную репликацию и отказоустойчивость.

Необходимо предоставить информацию о применяемом для репликации протоколе, стоимости связи сайтов, о времени доступности связи и о том, как часто она будет использоваться. Исходя из этого Active Directory определит, как связать сайты для репликации.

При межсайтовой репликации все данные передаются в сжатом виде. Причина в том, что трафик, вероятно, передается по более медленным WAN-каналам (см. рис. 10.1) в сравнении с соединениями локальной сети, используемыми при внутрисайтовой репликации.

Рис. 10.1. Межсайтовая репликация

Однако при этом увеличивается нагрузка на серверы, поскольку, помимо прочих операций по обработке, им приходится упаковывать/распаковывать данные. Кроме того, репликация выполняется по расписанию в момент времени, лучше всего подходящий для данной организации.

Виды реплицируемой информации

Хранимая в каталоге информация делится на три категории, которые называются разделами каталога. Раздел каталога служит объектом репликации. В каждом каталоге содержится следующая информация [ 4 ] :

• информация о схеме - определяет, какие объекты разрешается создавать в каталоге и какие у них могут быть атрибуты;
• информация о конфигурации - описывает логическую структуру развернутой сети, например структуру домена или топологию репликации. Эта информация является общей для всех доменов в дереве или лесе;
• данные домена - описывают все объекты в домене. Эти данные относятся только к одному определенному домену, подмножество свойств всех объектов во всех доменах хранится в глобальном каталоге для поиска информации в дереве доменов или лесе.

Схема и конфигурация реплицируются на все контроллеры домена в дереве или лесе.

Все данные определенного домена реплицируются на каждый контроллер именно этого домена. Все объекты каждого домена, а также часть свойств всех объектов в лесе реплицируются в глобальный каталог.

Контроллер домена хранит и реплицирует [ 4 ] :

• информацию о схеме дерева доменов или леса;
• информацию о конфигурации всех доменов в дереве или лесе;
• все объекты и их свойства для своего домена. Эти данные реплицируются на все дополнительные контроллеры в домене, часть всех свойств объектов домена реплицируется в глобальный каталог для организации поиска информации.

Глобальный каталог хранит и реплицирует:

• информацию о схеме в лесе;
• информацию о конфигурации всех доменов в лесе;
• часть свойств всех объектов каталога в лесе (реплицируется только между серверами глобального каталога);
• все объекты каталога и все их свойства для того домена, в котором расположен глобальный каталог.

Протоколы репликации

Удаленные вызовы процедур выполняются при отправке сообщений репликации внутри сайта и между сайтами. Протокол RPC используется по умолчанию при всех операциях репликации Active Directory, поскольку является отраслевым стандартом и совместим с большинством типов сетей [ 3 ] .

Обмен данными из каталога производится с помощью разных сетевых протоколов, таких как IP или SMTP [ 4 ] :

• IP-репликация. Использует удаленный вызов процедур (Remote Procedure Call, RPC) для репликации через связи сайтов (межсайтовой) и внутри сайта (внутрисайтовой). По умолчанию межсайтовая IP-репликация выполняется по соответствующему расписанию, однако можно настроить репликацию Active Directory, чтобы игнорировать расписания. Для IP-репликации не требуется центр сертификации.
• SMTP-репликация. Производится только через связи сайтов (межсайтовая), но не в пределах сайта. Так как протокол SMTP асинхронный, обычно все расписания им игнорируются. Необходимо установить и настроить центр сертификации (Certification Authority, CA) компании для использования SMTP-связей сайтов. Центр сертификации подписывает сообщения SMTP, которыми обмениваются контроллеры домена для подтверждения подлинности обновлений каталога.