Trả lời nhanh: Domain controller là máy chủ giữ bản sao danh bạ tài khoản và trả lời mọi yêu cầu đăng nhập trong công ty. Luôn dựng ít nhất hai máy trên hai máy chủ vật lý khác nhau, cả hai cùng lo dịch vụ phân giải tên miền nội bộ, và sao lưu trạng thái hệ thống theo lịch vì đây là thứ không phục hồi được bằng cách chép tệp.
Trong một hệ thống Windows nội bộ, domain controller là máy chủ mà mọi máy khác phụ thuộc vào. Nó chết thì không ai đăng nhập được, không mở được thư mục chung, và nhiều ứng dụng nội bộ cũng dừng theo. Bài này nói về cách bố trí để tình huống đó không xảy ra, và cách chuẩn bị cho tình huống xấu nhất.
Máy này thực sự làm gì
Ba việc chính, chạy liên tục và gần như vô hình khi mọi thứ bình thường.
Xác thực. Người dùng gõ mật khẩu, máy trạm gửi yêu cầu tới domain controller, máy chủ xác nhận rồi cấp một vé chứng minh danh tính có thời hạn. Mọi truy cập sau đó dùng vé này chứ không hỏi lại mật khẩu.
Giữ danh bạ. Toàn bộ tài khoản, máy tính, nhóm và chính sách nằm trong một cơ sở dữ liệu, và mọi domain controller đều giữ một bản đầy đủ. Sửa ở một máy thì các máy còn lại tự đồng bộ trong vài phút.
Phát chính sách. Các quy tắc áp cho máy trạm được lấy về từ đây mỗi khi máy khởi động và định kỳ sau đó.
Vì sao hai máy và đặt ở đâu
Một máy nghĩa là một điểm chết duy nhất. Ngày ổ cứng của nó hỏng là ngày cả công ty dừng làm việc, kể cả những người đang ngồi trước máy tính đã bật sẵn, vì chỉ cần khởi động lại là không đăng nhập được nữa.
Hai máy, đặt trên hai máy chủ vật lý khác nhau. Đây là chi tiết hay bị làm sai: nhiều nơi dựng hai máy ảo domain controller nhưng đặt cả hai trên cùng một máy chủ ảo hóa, và như vậy vẫn chỉ là một điểm chết.
Nếu công ty có nhiều chi nhánh, cân nhắc đặt thêm một máy ở chi nhánh lớn để nhân viên ở đó không phải xác thực qua đường truyền giữa hai văn phòng. Chi nhánh nhỏ hoặc đường truyền tốt thì không cần.
Dịch vụ phân giải tên miền nội bộ, thứ hay gây sự cố nhất
Danh bạ Windows phụ thuộc rất chặt vào dịch vụ phân giải tên miền. Máy trạm tìm domain controller bằng cách hỏi dịch vụ này chứ không phải bằng địa chỉ cố định.
Vì thế quy tắc là cài dịch vụ này ngay trên các domain controller, và cấu hình máy trạm trỏ về đúng chúng. Sai lầm phổ biến nhất trong môi trường Windows nội bộ là để máy trạm nhận địa chỉ máy chủ tên miền của nhà mạng, sau đó gặp đủ loại lỗi kỳ lạ mà nhìn bề ngoài không liên quan gì tới tên miền.
Cách kiểm nhanh khi có sự cố đăng nhập: xem máy trạm đang trỏ về máy chủ tên miền nào. Rất nhiều lần nguyên nhân nằm đúng ở đó.
Các vai trò đặc biệt chỉ một máy giữ
Phần lớn công việc chia đều cho mọi domain controller, nhưng có một nhóm vai trò đặc biệt mà tại một thời điểm chỉ một máy được giữ. Chúng lo những việc không được phép xảy ra đồng thời ở hai nơi, chẳng hạn cấp phát dải định danh mới hoặc quyết định thay đổi cấu trúc danh bạ.
Trong vận hành hằng ngày bạn không cần quan tâm. Nhưng có hai lúc phải biết máy nào đang giữ chúng: khi ngừng sử dụng một máy chủ cũ, và khi máy giữ vai trò chết đột ngột. Trường hợp đầu phải chuyển vai trò sang máy khác trước khi tắt. Trường hợp sau phải cưỡng chế chuyển vai trò, và sau đó tuyệt đối không được bật lại máy cũ vào mạng.
Lời khuyên gọn: ghi lại máy nào giữ vai trò gì vào tài liệu vận hành, cập nhật mỗi khi thay đổi.
Sao lưu và khôi phục
Không thể sao lưu danh bạ bằng cách chép tệp. Phải sao lưu trạng thái hệ thống của máy chủ, đây là kiểu sao lưu riêng mà các phần mềm sao lưu đều hỗ trợ.
Vài điểm cần nhớ.
- Bản sao lưu danh bạ có hạn dùng. Quá thời hạn nhất định thì phục hồi vào hệ thống đang chạy sẽ gây xung đột dữ liệu. Nghĩa là bản sao lưu cũ nửa năm gần như vô dụng.
- Việc có hai domain controller không thay thế được sao lưu. Một tài khoản bị xóa nhầm sẽ được đồng bộ sang máy kia trong vài phút.
- Thử khôi phục vào một máy ảo tách biệt ít nhất mỗi năm một lần. Quy trình khôi phục có nhiều bước đặc thù, đọc tài liệu lúc đang sự cố là quá muộn.
Sự cố hay gặp nhất và nguyên nhân
| Triệu chứng | Nguyên nhân thường gặp | Cách kiểm |
|---|---|---|
| Máy trạm không đăng nhập được vào miền | Máy trạm đang trỏ tới máy phân giải tên miền bên ngoài | Kiểm cấu hình mạng của máy trạm, phải trỏ vào máy nội bộ |
| Đăng nhập rất chậm | Chính sách nhóm quá nhiều hoặc gắn ổ đĩa mạng chậm | Xem thứ tự áp chính sách, tách phần nặng ra |
| Sai lệch giữa hai máy điều khiển | Đồng bộ giữa hai máy bị gián đoạn | Kiểm nhật ký đồng bộ, xử lý trước khi sai lệch tích lũy |
| Lỗi liên quan tới thời gian và vé xác thực | Đồng hồ máy trạm lệch quá ngưỡng cho phép | Kiểm nguồn đồng bộ thời gian của cả miền |
Dịch vụ phân giải tên miền nội bộ, chỗ gây sự cố nhiều nhất
Phần lớn sự cố khó hiểu trong một miền đều quay về đúng chỗ này. Máy trạm phải trỏ vào máy phân giải tên miền nội bộ, không được trỏ thẳng ra dịch vụ công cộng. Nếu bạn đặt một máy chủ công cộng làm máy phân giải phụ, máy trạm sẽ hỏi nó khi máy chính bận, không tìm thấy tên miền nội bộ, và sinh ra lỗi xuất hiện lúc có lúc không, loại lỗi tốn nhiều ngày nhất để tìm ra.
# Kiem tra nhanh tren mot may tram gap su co: # 1. May tram dang hoi ainslookup ten-mien-noi-bo.local # 2. Neu ket qua tra ve tu mot dia chi cong cong, do chinh la loi # 3. Kiem thoi gian, lech qua nam phut la du gay loi xac thucw32tm /query /status # 4. Kiem may tram co thay may dieu khien mien khongnltest /dsgetdc:ten-mien-noi-bo.local # Tren may dieu khien mien, kiem dong bo giua hai may:repadmin /replsummarySao lưu vai trò này khác sao lưu máy chủ thường
- Không khôi phục bằng cách chép lại ảnh máy ảo như máy chủ thường. Khôi phục kiểu đó có thể gây sai lệch dữ liệu giữa các máy điều khiển.
- Dùng đúng cơ chế sao lưu trạng thái hệ thống mà hệ điều hành cung cấp cho vai trò này.
- Thử khôi phục ít nhất một lần mỗi năm vào một môi trường tách biệt. Đây là loại bản sao lưu ít được thử nhất và cũng là loại đắt giá nhất khi cần.
Câu hỏi thường gặp
Có nên ảo hóa domain controller không
Có, đây là cách làm phổ biến và được khuyến nghị. Chỉ cần đảm bảo hai máy nằm trên hai máy chủ vật lý khác nhau. Một lưu ý riêng: đừng khôi phục domain controller ảo bằng cách quay lui ảnh chụp máy ảo, vì việc đó có thể làm hỏng đồng bộ danh bạ.
Máy chủ này cần cấu hình phần cứng thế nào
Yêu cầu thấp hơn nhiều người nghĩ. Với công ty vài trăm người, vài lõi CPU và bốn tới tám gigabyte RAM là đủ, vì công việc chủ yếu là trả lời các truy vấn nhỏ. Điều quan trọng hơn cấu hình là ổ đĩa đáng tin cậy và nguồn dự phòng.
Cả hai máy cùng chết thì làm gì
Phải khôi phục từ bản sao lưu trạng thái hệ thống, theo một quy trình khôi phục đặc biệt cho máy chủ danh bạ. Đây chính là lý do phải sao lưu định kỳ và thử khôi phục trước. Không có bản sao lưu hợp lệ thì phải dựng lại toàn bộ tài khoản từ đầu.
Có cần giấy phép truy cập cho từng nhân viên không
Có. Ngoài giấy phép cho bản thân máy chủ, mỗi người dùng hoặc mỗi thiết bị kết nối vào đều cần một giấy phép truy cập. Đây là khoản hay bị bỏ sót nhất khi doanh nghiệp tự dựng hệ thống.