Réplication Active Directory

Les administrateurs informatiques travaillent avec et autour de Active Directory depuis l'introduction de la technologie dans Windows 2000 Server. Windows 2000 Server a été lancé le 17 février 2000 mais de nombreux administrateurs ont commencé à travailler avec Active Directory fin 1999, lorsqu'il a été publié pour la fabrication (RTM) le 15 décembre 1999.

Dans cette partie de notre tutoriel, nous parlerons de la réplication AD.

Réplication Active Directory

La réplication Active Directory est la méthode de transfert et de mise à jour des objets Active Directory d'un DC à un autre DC.

Les connexions entre les DCs sont établies en fonction de leur emplacement dans une forest et un site. Chaque site dans Active Directory contient un ou plusieurs sous-réseaux, qui identifient la plage d'adresses IP associée au site. En associant l'adresse IP d'un DC à un sous-réseau, Active Directory sait quels DCs se trouvent dans quel site. Les connexions sont configurées entre les sites pour garantir que les objets Active Directory sont répliqués entre les sites.

Technologies

La réplication Active Directory repose sur les technologies suivantes pour fonctionner correctement :

1. DNS
2. Appel de procédure distante (RPC)
3. SMTP (facultatif)
4. Kerberos
5. LDAP

Composants principaux

Il y a quatre composants principaux de la réplication dans Active Directory :

• Réplication multi-maîtres

La réplication multimaster, par rapport à la réplication mono-master utilisée dans Windows NT 4.0, garantit que chaque contrôleur de domaine peut recevoir des mises à jour pour les objets dont il est autoritaire. Cela assure une tolérance aux pannes au sein d'un environnement Active Directory.

• Réplication par extraction

La réplication par extraction garantit que les contrôleurs de domaine demandent les modifications d'objets au lieu que les modifications soient poussées (surtout inutilement). L'extraction réduit légèrement le trafic de réplication entre les contrôleurs de domaine.

• Réplication store-and-forward

La réplication store-and-forward garantit que chaque DC communique avec un sous-ensemble de DCs pour transférer les modifications d'objets survenues. Avec le store-and-forward, chaque DC communiquerait avec tous les autres DC, ce qui est inefficace. La réplication store-and-forward équilibre la charge de réplication parmi les DCs dans un environnement Active Directory.

• Réplication basée sur l'état

La réplication basée sur l'état garantit que chaque DC suit l'état des mises à jour de réplication, ce qui élimine les conflits et la réplication inutile.

Gestion de la réplication

La réplication est gérée par le Knowledge Consistency Checker (KCC).

Le KCC gère la réplication entre les DCs dans un seul site en utilisant des connexions créées automatiquement. Le KCC lit les données de configuration et lit et écrit des objets de connexion pour les DCs. Le KCC utilise uniquement RPC pour communiquer avec le service d'annuaire.

La réplication intrasite n'utilise pas de compression et les modifications sont envoyées immédiatement aux contrôleurs de domaine. Cependant, la réplication intersite repose sur des liens définis par l'utilisateur qui doivent être créés. Le KCC utilise ces liens pour créer une topologie afin que la réplication soit gérée à travers les liens de site à site.

Les connexions de site peuvent être contrôlées selon un horaire et les données de réplication sont compressées pour minimiser l'utilisation de la bande passante. Le replication schedule par défaut pour les connexions de site à site est de 180 minutes, ce qui est généralement bien trop long pour la grande majorité des organisations. Cela peut être configuré jusqu'à 15 minutes dans l'interface utilisateur graphique, et encore plus rapidement en modifiant le registre.

La taille d'un paquet de réplication est calculée en fonction de la quantité de RAM dans le DC. Par défaut, les limites de taille de paquet sont de 1/100^e de la taille de la RAM, avec un minimum de 1 Mo et un maximum de 10 Mo. De plus, le nombre maximum d'objets dans un paquet est de 1/1 000 000^e de la taille de la RAM système, avec un minimum de 100 objets et un maximum de 1 000 objets. Par conséquent, dans les serveurs modernes qui ont plus de 1 Go de RAM, les tailles des paquets de réplication contiendront soit jusqu'à 10 Mo de données, soit jusqu'à 1 000 objets. La taille maximale du paquet et la limite d'objets peuvent être configurées en modifiant le registre à l'emplacement HKEY_LOCAL_MACHINESystemCurrentControlSetServicesNTDSParameters.

Composants principaux de réplication

Les éléments suivants sont des composants de primary replication components :

• Knowledge Consistency Checker (KCC)

Le KCC est un processus qui s'exécute sur chaque DC et communique directement avec Ntdsa.dll pour lire et écrire des objets de réplication.

• Agent de système d'annuaire (DSA)

Le DSA est un composant de service d'annuaire qui s'exécute en tant que Ntdsa.dll sur chaque DC. Il fournit une interface pour que les services et les processus puissent lire la base de données de l'annuaire.

• Moteur de stockage extensible (ESE)

L'ESE gère les enregistrements de base de données d'annuaire, qui peuvent contenir une ou plusieurs colonnes.

• Appel de procédure distante (RPC)

La réplication de l'annuaire est communiquée en utilisant le protocole RPC. RPC est un protocole de communication qui permet aux développeurs d'exécuter du code sur un système local ou distant sans avoir à développer un code spécifique pour l'exécution à distance. Le KCC utilise également RPC pour communiquer avec les DCs afin de demander des informations lors de la construction d'une topologie de réplication.

• Générateur de topologie intersites (ISTG)

The ISTG manages the intersite inbound replication connection objects for a specific site. There is one ISTG server in each site. By default, the first DC in each site is the ISTG. To find the ISTG in a site named HQ in a domain named tailspintoys.com, you can run the Get- ADObject -Identity “cn=NTDS Site Settings,cn=HQ,cn=sites,cn=configuration,dc=tailspintoys,dc=com” -Properties interSiteTopologyGenerator |Select interSiteTopologyGenerator Windows PowerShell command.

Les objets Active Directory utilisés par le KCC et ses composants incluent :

• Sites

Les sites sont des objets Active Directory dans la classe de site, qui correspondent aux sous-réseaux dans un site donné.

• Sous-réseaux

Les objets de sous-réseau se trouvent dans la classe de sous-réseau et définissent le sous-réseau IP du réseau qui correspond à un site.

• Serveurs

Un objet serveur, dans la classe serveur, représente des ordinateurs serveurs, y compris les DCs. Les objets serveur sont traités comme des principaux de sécurité qui sont stockés dans une partition d'annuaire séparée et possèdent des identifiants uniques globaux (GUIDs) distincts.

• Paramètres NTDS

Les objets de configuration NTDS se trouvent dans la classe nTDSDSA et représentent une instance d'Active Directory sur un DC spécifique.

• Connexions

Les objets de connexion se trouvent dans la classe nTDSConnection et définissent un itinéraire unidirectionnel entrant d'un contrôleur de domaine source vers le contrôleur de domaine qui stocke l'objet de connexion.

• Liens du site

Les objets Site Link appartiennent à la classe siteLink et identifient le protocole ainsi que le calendrier pour répliquer les données entre deux sites ou plus.

• Paramètres du site NTDS

Les objets de paramètres de site NTDS se trouvent dans la classe nTDSSiteSettings et identifient les paramètres à l'échelle du site pour Active Directory. Il n'y a qu'un seul objet de paramètres de site NTDS par site dans le conteneur Sites.

• Recoupement

Les objets de référence croisée se trouvent dans la classe crossRef et stockent l'emplacement des partitions Active Directory dans le conteneur Partitions.

Le schéma ci-dessous montre un environnement typique de two-site Active Directory avec certains des composants de réplication.

Commandes et outils de réplication

À partir de Windows PowerShell dans Windows Server 2012, il y a 25 cmdlets pour gérer spécifiquement la réplication Active Directory. Ces cmdlets offrent des fonctionnalités telles que l'affichage des informations de réplication, la configuration des sites, la gestion des liens de sites et le forcing de la réplication.

L'outil en ligne de commande RepAdmin.exe est également disponible pour fournir des informations et configurer la réplication Active Directory.

Another replication tool is the Active Directory Replication Status Tool. It is available at http://www.microsoft.com/en-us/download/details.aspx?id=30005. You can use it to analyze and troubleshoot Active Directory replication issues.

Vous trouverez plus d'informations sur les bases de Active Directory dans notre AD tutorial for beginners.