Tools für die Problembehandlung bei Active Directory
Werbung
Übersicht über die Problembehandlung bei Active Directory (Engl. Originaltitel: Overview of Active Directory Troubleshooting) Beim Verzeichnisdienst Active Directory® handelt es sich um ein verteiltes System, das aus vielen verschiedenen Diensten besteht. Die ordnungsgemäße Funktionsweise dieser Dienste hat wiederum entscheidenden Einfluss auf das Active Directory insgesamt. Die in diesem Kapitel vorgestellte Methodologie kann Sie bei der Behebung von Funktionsstörungen unterstützen. Sie erleichtert es Ihnen, Probleme zu identifizieren, auf die entscheidenden Komponenten einzugrenzen und zu beseitigen. In den meisten Fällen beginnt die Problembehandlung, wenn eine der folgenden Situationen eintritt: Ein Ereignis wird in einem Ereignisprotokoll aufgeführt. Eine Überwachungssystem (z. B. Microsoft Operations Manager, MOM) generiert eine Warnung. Ein Benutzer oder ein IT-Mitarbeiter meldet ein Symptom. Dieses Kapitel enthält Problembehandlungsprozeduren für die Ereignisse, Überwachungswarnungen und Symptome, die am häufigsten auftreten oder in Ihrer Organisation die größten Probleme darstellen können. Spezielle Abschnitte für die einzelnen Active Directory-Dienste beziehen dabei auch Prozeduren für Fehlermeldungen ein, die von einigen möglicherweise für die Problembehandlung verwendeten Tools erzeugt werden. Reaktion auf Ereignisse Wenn Sie auf Ereignisse im Ereignisprotokoll reagieren, sollten Sie zuerst die Quelle ermitteln, die im Ereignisprotokoll aufgeführt ist, z. B. der Anmeldedienst oder der Dateireplikationsdienst (File Replication Service oder FRS). In Tabelle 2.1 werden die Ereignisquelle und die zugehörigen IDs angezeigt sowie auf die Problembehandlungsabschnitte für Ereignisse verwiesen, die am häufigsten auftreten oder die den höchsten Schweregrad besitzen. Wenn Tabelle 2.1 die gesuchte Ereignis-ID nicht enthält, können Sie danach über die Microsoft Knowledge Base-Verknüpfung auf der Seite Web Resources unter http://www.microsoft.com/windows/reskits/webresources suchen (englischsprachig). Tabelle 2.1 Ereignisreferenz für Active Directory Ereignisquelle Ereignis-ID FRS 13508, 13509, 13512, 13522, 13567, 13568 Netlogon 5774, 5775, 5781, 5783, 5805 NTDS 1083, 1265, 1388, 1645 UserEnv 1085 W32Time 13, 14, 52-56, 60-64 Verweis Siehe "Problembehandlung für den Dateireplikationsdienst". Siehe "Problembehandlung bei Active Directory-bezogenen DNS-Problemen". Siehe "Problembehandlung bei Active DirectoryReplikationsproblemen". Siehe "Problembehandlung bei Active DirectoryReplikationsproblemen". Siehe "Troubleshooting Windows Time Service Problems" (englischsprachig). Antworten auf Überwachungswarnungen Verwenden Sie zur optimalen Vorgehensweise für Ihre Umgebung ein umfassendes Überwachungssystem. Die von Überwachungssystemen generierten Warnungen können variieren. In Tabelle 2.2 sind einige allgemeine Warnungen enthalten, die von Microsoft Operations Manager (MOM) mit installiertem Active Directory Management Pack (ADMP) generiert werden. Außerdem sind Verweise auf die entsprechenden Referenzinformationen zur Problembehandlung enthalten. Wenn Sie ein anderes Überwachungssystem verwenden, suchen Sie nach der Warnung, die der von Ihrem System erzeugten Warnung am ähnlichsten ist. Wenn Sie in dieser Tabelle nicht die gewünschte Überwachungswarnung finden, zeigen Sie die Ereignisprotokolle an und beheben die Probleme von verwandten Fehlerereignissen, die Sie finden. Alternativ können Sie auch weitere Anweisungen zur Problembehandlung in dem Abschnitt dieses Handbuchs zu Rate ziehen, der dem gemeldeten Problem am ehesten entspricht. Tabelle 2.2 Verweise auf Überwachungswarnungen für Active Directory Überwachungswarnung Ein Domänencontroller hat eine erhebliche Anzahl neuer Replikationspartner erhalten. Folgendes wurde von Active Directory Essential Services ermittelt: … Suche im globalen Active Directory-Katalog ist fehlgeschlagen. Beschreibung Das ist normal, wenn ein Computer zu einem globalen Katalogserver oder Bridgeheadserver wird oder neue Domänen oder Domänencontroller zur Umgebung hinzugefügt werden. Abweichende Ursachen für diese Warnung umfassen Replikationsprobleme oder Probleme mit Siteverknüpfungen. Hierbei handelt es sich um Warnungen mit hoher Priorität, da sie darauf hinweisen, dass der Domänencontroller aufgrund der im Fehler angegebenen Ursache nicht verwendet werden kann. Dies ist eine Warnung mit hoher Priorität, da ein globaler Katalogserver nicht erreichbar ist und sich Benutzer somit nicht anmelden können und das Adressbuch von Exchange nicht funktioniert. Verweis Weitere Informationen zu Problembehandlungsverfahren für die Replikation finden Sie unter "Problembehandlung bei Active Directory-Replikationsproblemen". Empfehlungen und Verfahren zum Einrichten und Prüfen von Sites und Siteverknüpfungen finden Sie unter "Managing Sites" (englischsprachig). Wenn die Warnung angibt, dass ein Dienst nicht aktiv ist, starten Sie den Dienst erneut (restart the service). Wenn die Warnung auf ein SYSVOL-Problem hinweist, finden Sie unter "Problembehandlung für den Dateireplikationsdienst" oder "Managing SYSVOL" (englischsprachig) weitere Empfehlungen und Verfahren zur Problembehandlung. Wenn die Warnung anzeigt, dass der Domänencontroller keine Ankündigungen sendet, finden Sie weitere Informationen unter "Problembehandlung bei Active Directory-bezogenen DNSProblemen". Prüfen Sie, ob dies ein globaler Katalogserver ist (Verify that this is a global catalog server). Weitere Informationen zum Sicherstellen der ordnungsgemäßen Funktionsweise des Servers finden Sie unter "Verifying Server Health" (englischsprachig). Active Directory – Warnung über verlorene Objekte. Die Active Directory-Replikation erfolgt nur langsam. Befehl "Ping" oder "Bind" für Rolleninhaber des <Betriebsmasters> fehlgeschlagen. Eine große Anzahl von Objekten befindet sich im Container LostAndFound. Das Überwachungssystem hat ermittelt, dass die Replikationszeiten die festgelegten Grenzwerte überschreiten. Der Zielserver funktioniert möglicherweise nicht, oder es ist keine Netzwerkkonnektivität vorhanden. Siehe "Troubleshooting Directory Data Problems" (englischsprachig). Weitere Informationen zum Einstellen der Replikationszeitpläne oder der Standorttopologiekonfiguration finden Sie bei Bedarf unter "Managing Sites" (englischsprachig). Wenn Sie mit dem aktuellen Zeitplan zufrieden sind, können Sie auch den Grenzwert ändern. Weitere Informationen finden Sie unter "Verifying Server Health" und "Verifying Network Path" (beide englischsprachig). Bei Bedarf finden Sie weitere Informationen unter "Managing Operations Masters" (englischsprachig), um zu ermitteln, ob es zulässig ist, die Rolle zu übernehmen. Wenn der Ausfall erwartet wird, finden Sie unter "Managing Operations Masters" (englischsprachig) weitere Informationen zum Übertragen der Rolle vor dem Ausfall, damit dieser Fehler vermieden wird. Warnung wegen starker CPUEine Anwendung oder ein Dienst Weitere Informationen finden Sie Auslastung. belegen einen übermäßigen Teil der unter "Troubleshooting High CPU CPU-Kapazität. Usage on a Domain Controller" (englischsprachig). Replikation wird nicht durchgeführt Kurzfristige Konnektivitätsprobleme Siehe "Problembehandlung bei – kein Active Directorysind zu erwarten, während länger Active DirectoryReplikationspartner konnte die andauernde Fehlverhalten auf ein Replikationsproblemen". Synchronisierung durchführen. Problem hinweisen. Untersuchen Sie alle Probleme, die mehrere Stunden andauern. Zeitabweichung ermittelt. Die in der Warnung angezeigte Siehe "Troubleshooting Windows Systemzeit der Server ist nicht Time Service Problems" synchronisiert. (englischsprachig). Reaktion auf Symptome Wenn Sie die Problembehandlung für Active Directory auf Basis von Symptomen durchführen, die von Benutzern gemeldet oder von IT-Mitarbeitern erkannt wurden, müssen Sie vorab einige Schritte zur Problembehandlung ausführen, um die Ursache des Problems einzugrenzen. Informationen zum Wiederholen des Problembehandlungsprozesses, bis die Hauptursache gefunden und das Problem gelöst wurde, finden Sie in diesem Handbuch unter "High-Level Methodology for Troubleshooting Active Directory Problems" (englischsprachig). Wenn Sie bereits die wahrscheinlichste Quelle oder Ursache für dieses Problem ermittelt haben, finden Sie weitere Informationen in den entsprechenden Abschnitten dieses Handbuchs, z. B. "Troubleshooting High CPU Usage on a Domain Controller" (englischsprachig) oder "Problembehandlung bei Active DirectoryReplikationsproblemen". Jeder Abschnitt enthält weiterführende Schritte zur Problembehandlung, mit deren Hilfe Sie das Problem weiter eingrenzen können. Voraussetzungen für die Problembehandlung bei Active Directory Bevor Sie mit der Problembehandlung bei Active Directory beginnen, stellen Sie sicher, dass Sie Voraussetzungen zum Nachverfolgen von Problemen einrichten, Informationen über die IT-Umgebung überprüfen und sich mit den Active Directory-Konzepten und -Diensten vertraut machen. Voraussetzungen für die Problemnachverfolgung Stellen Sie die folgenden Mechanismen zur Verfügung, um die rechtzeitige Erkennung, Behandlung und Behebung von Problemen sicherzustellen. Service Desk (oder Helpdesk) Prozesse zum Incident Management und Problem Management Software zur kontinuierlichen Überwachung Weitere Informationen zum Implementieren eines Service Desks sowie zu Prozessen zum Incident Management und Problem Management in Ihrer Organisation finden Sie über die Verknüpfung zum Microsoft Operations Framework (MOF) auf der Seite Web Resources unter http://www.microsoft.com/windows/reskits/webresources (englischsprachig). Weitere Informationen zum Überwachen von Active Directory finden Sie in diesem Handbuch unter "Monitoring Active Directory" (englischsprachig). Informationen zur IT-Umgebung Stellen Sie sicher, dass die Mitarbeiter, die die Problembehandlung bei Active Directory durchführen, einfach auf die folgenden Dokumentationstypen zugreifen können: Active Directory-Konfiguration, einschließlich replikationsbezogener Konfigurationsdokumentation. Konfigurationen für DNS (Domain Name System), DHCP (Dynamic Host Configuration Protocol) und IP (Internet Protocol). Anwendungs- und Dienstdokumentation (z. B. Exchange). Verwaltungsmodell Serverplatzierung und -konfigurationen Änderungsverwaltungsprotokolle Active Directory-Konzepte und -Dienste Stellen Sie sicher, dass die Mitarbeiter, die die Problembehandlung durchführen, zumindest die Grundsätze der Active Directory-Konzepte und -Dienste kennen. Active Directory-Konzepte Die Active Directory-Konzepte umfassen die folgenden Bereiche: Namensauflösung, einschließlich DNS- und NetBIOS-Namensauflösung mit Broadcasts, LMHOSTSDateien und WINS (Windows Internet Name Service). Replikation (einschließlich Microsoft® Windows 2000 Server im einheitlichen Modus und der Microsoft® Windows NT® 4.0-Emulation). Zeitsynchronisation Gruppenrichtlinien- und Dateireplikationsdienst Active Directory-Hauptfunktionen, einschließlich Kenntnissen zu globalen Katalogen, Domänen und Strukturen Authentifizierung (sowohl Kerberos-Authentifizierung als auch LAN Manager) MMC-Snap-Ins (Microsoft Management Console) für Active Directory und Active Directory-bezogene Tools (einschließlich Betriebssystem-, Support- und Resource Kit-Tools). Active Directory-Dienste Um die Hauptursache für Probleme mit Active Directory zu ermitteln, stellen Sie sicher, dass die für die Problembehandlung zuständigen Mitarbeiter Kenntnisse zu allgemeinen Active Directory-Operationen besitzen, z. B. Replikation und Kennwortänderung sowie darüber, wie die folgenden Prozesse und Rolleninhaber in diese Operationen einbezogen sind. Betriebsmasterrollen (einschließlich PDC-Emulator, RID-Master (Relative Identifier), Domänennamenmaster, Schemamaster und Infrastrukturmaster). Schlüsselverteilungscenter (Key Distribution Center oder KDC). Konsistenzprüfung (Knowledge Consistency Checker oder KCC). Ersteller der standortübergreifenden Topologie (Intersite Topology Generator oder ISTG). Zeitreferenzserver (Time Reference Server oder TRS). Da Active Directory mit externen Diensten und Protokollen in Wechselwirkung steht, z. B. TCP/IP als Transportprotokoll, DNS für die Namensauflösung und FRS für die Dateireplikation von Gruppenrichtlinienobjekten und Anmeldeskripts, gestaltet sich die exakte Ermittlung der Ursache eines Problems sowie die Anwendung einer Lösung komplexer. Die effektive Problembehandlung erfordert umfassende Kenntnisse zu diesen und anderen Protokollen sowie zu Diagnosetools, die mit den Protokollen verbunden sind. Weitere Informationen zu Active Directory, Netzwerkprotokollen und -tools finden Sie im Microsoft® Windows® 2000 Server Resource Kit (englischsprachig) Sie können auch weitere Informationen erhalten, indem Sie Microsoft.com und TechNet durchsuchen oder MCSE-Schulungen und Bücher nutzen. Tools für die Problembehandlung bei Active Directory In Tabelle 2.3 sind die Tools aufgeführt, die Sie zur Problembehandlung für Active Directory verwenden können, wo Sie diese Tools finden sowie eine kurze Beschreibung zur Aufgabe der Tools. Weitere Informationen zum Installieren der Windows 2000-Supporttools und der Windows 2000Verwaltungstools finden Sie in der Windows 2000 Server-Hilfe. Tabelle 2.3 Tools für die Problembehandlung bei Active Directory Tool Snap-In für Active Directory-Domänen und Vertrauensstellungen Speicherort Windows 2000-Verwaltungstools Snap-In für Active Windows 2000-Verwaltungstools Directory-Sites und Dienste Snap-In für Active Windows 2000-Verwaltungstools Directory-Benutzer und Computer ADSI Edit-, MMC-Snap-In Windows 2000-Supporttools Funktion Domänenvertrauensstellungen verwalten, Suffixe für Benutzerprinzipalnamen hinzufügen und den Domänenmodus ändern. Die Replikation von Verzeichnisdaten verwalten Daten im Verzeichnis verwalten und veröffentlichen. Zugriffssteuerungslisten (Access Control List oder ACL) für Objekte im Verzeichnis anzeigen, ändern und festlegen. Sicherungs-Assistent Systemsteuerung Dcdiag.exe DNS-Snap-In Dsastat.exe Ereignisanzeige Ipconfig.exe Ldp.exe Linkd.exe MMC Netdiag.exe Netdom.exe Net use, start, stop, del, copy, time Nltest.exe Ntdsutil.exe Ntfrsutl.exe Systemmonitor Pathping.exe Ping.exe Regedit.exe Windows 2000-Betriebssystemtool Windows 2000 Daten sichern und wiederherstellen. Computer-, Anwendungs- und Netzwerkeinstellungen anzeigen und ändern. Windows 2000-Supporttools und Den Status von Domänencontrollern in Windows 2000 Server Resource Kit einer Struktur oder einem Unternehmen analysieren. Bei der Problembehandlung durch Melden von Problemen helfen. Windows 2000-Verwaltungstools DNS verwalten. Windows 2000-Supporttools Verzeichnisdaten auf Domänencontrollern vergleichen und Unterschiede erkennen. Windows 2000-Verwaltungstools In Ereignisprotokollen aufgezeichnete Ereignisse überwachen. Windows 2000-Betriebssystemtool Netzwerkkonfiguration anzeigen und verwalten. Windows 2000-Supporttools LDAP-Operationen (Lightweight Directory Access Protocol) für Active Directory durchführen. Windows 2000 Server Resource Kit Verknüpfungen erstellen, löschen, aktualisieren und anzeigen, die in Abzweigungspunkten gespeichert werden. Windows 2000 Verwaltungstools (auch als MMC-SnapIns bezeichnet) erstellen, speichern und öffnen und somit Hardware-, Softwareund Netzwerkkomponenten verwalten. Windows 2000 Server Resource Kit und End-to-End-Netzwerkkonnektivität und Windows 2000-Supporttools verteilte Dienstfunktionen prüfen. Windows 2000-Supporttools Batchverwaltung von Vertrauensstellungen, Zusammenfassen von Computern zu Domänen und Überprüfen von Vertrauensstellungen und sicheren Kanälen zulassen. Windows 2000-Betriebssystemtool Allgemeine Aufgaben für Netzwerkdienste durchführen, einschließlich dem Anhalten und Starten von sowie dem Herstellen von Verbindungen zu Netzwerkressourcen. Windows 2000-Supporttools Funktionalität des Locatorkanals und des sicheren Kanals überprüfen. Windows 2000-Betriebssystemtool Active Directory verwalten, einzelne Masteroperationen verwalten und Metadaten entfernen. Windows 2000 Server Resource Kit Konfiguration für den Dateireplikationsdienst anzeigen und verwalten. Windows 2000-Betriebssystemtool Systemleistungsdaten, Leistungsprotokolle und -warnungen anzeigen sowie Protokolldateien nachverfolgen. Windows 2000-Betriebssystemtool Eine Route von einer Quelle zu einem Ziel im Netzwerk nachverfolgen und die Anzahl der Hops sowie den Paketverlust anzeigen. Windows 2000-Betriebssystemtool Netzwerkkonnektivität überprüfen. Windows 2000-Betriebssystemtool Registrierungseinstellungen anzeigen und ändern. Repadmin.exe Windows 2000-Supporttools Replmon.exe Windows 2000-Supporttools Secedit.exe Windows 2000-Betriebssystemtool Snap-In für Dienste Windows 2000-Verwaltungstools Setspn.exe Windows 2000-Supporttools Task-Manager Terminaldienste Windows 2000 Windows 2000 W32tm Windows-Explorer Windows 2000-Betriebssystemtool Windows 2000 Replikationskonsistenz zwischen den Replikationspartnern überprüfen, den Replikationsstatus überwachen, Replikationsmetadaten anzeigen sowie Replikationsereignisse und Topologieneuberechnung erzwingen. Replikationstopologie anzeigen, Replikationsstatus überwachen sowie Replikationsereignisse und Topologieneuberechnung erzwingen. Gruppenrichtlinieneinstellungen verwalten. Systemdienste auf Remote- und lokalen Computern starten, stoppen und anhalten, Start- und Wiederherstellungsoptionen für jeden Dienst konfigurieren. Sicherheitsprinzipalnamen (Security Principal Name oder SPN) verwalten. Prozesse und Leistungsdaten anzeigen. Auf Computer remote zugreifen und diese verwalten. Windows-Zeitdienst verwalten. Auf Dateien, Webseiten und Netzwerkspeicherorte zugreifen.
