Active Directory Çoğaltma ve FSMO Rolleri Nasıl Yönetilir

Çoğaltma nedir ve neden her şeyin temelidir?

Active Directory'de her etki alanı denetleyicisi, kendi etki alanının dizin verisinin tam bir kopyasını tutar. Microsoft belgelerine göre bir denetleyicide yapılan her değişiklik, çoğaltma hizmeti aracılığıyla etki alanındaki diğer tüm denetleyicilere dağıtılır. Bu çok yöneticili (multimaster) model sayesinde herhangi bir denetleyici değişiklik kabul edebilir; bir denetleyicinin kaybı tüm dizini kapatmaz.

Bu tasarımın bedeli tutarlılıktır. Çoğaltma aksarsa iki denetleyici aynı kullanıcı için farklı bilgi tutar: biri yeni parolayı bilir, diğeri bilmez; bir grup üyeliği bir sitede görünür, başka sitede görünmez. Grup ilkesi de bu çoğaltmaya bağlıdır; çünkü ilkenin bileşenleri hem dizinde hem SYSVOL klasöründe durur ve bu iki parça birbirinden bağımsız mekanizmalarla çoğalır. Bu yüzden çoğaltma sağlığı, Active Directory işletiminin ilk izleme kalemidir.

Beş FSMO rolü ve görevleri

Bazı işlemler çok yöneticili yapıda güvenle yürütülemez, örneğin şema değişiklikleri. Bu işler için belirli denetleyiciler esnek tek yönetici (FSMO) rollerini, diğer adıyla işlem yöneticisi rollerini üstlenir. Microsoft belgelerine göre her orman ve etki alanı için beş rol vardır.

Orman düzeyinde iki rol:

• Şema yöneticisi: şemada yapılacak değişiklikleri yönetir.
• Etki alanı adlandırma yöneticisi: ormana etki alanı ve diğer dizin bölümlerini ekler ya da çıkarır.

Etki alanı düzeyinde üç rol:

• PDC emülatörü: parola güncellemelerini işler. Başka bir denetleyicide parola hatası alan kimlik doğrulama isteği karara varmadan önce PDC emülatörüne yönlendirilir.
• RID yöneticisi: etki alanında oluşturulan her güvenlik nesnesinin benzersiz tanımlayıcı alabilmesi için RID havuzunu tutar ve denetleyicilere dağıtır.
• Altyapı yöneticisi: başka etki alanlarından gelen ve gruplarda üye olan güvenlik nesnelerinin adlarını güncel tutar.

İlk denetleyici kurulurken roller otomatik olarak ona atanır; sonraki değişiklikleri yönetici yapar.

Roller nerede durmalı? Yerleşim ilkeleri

Microsoft'un yerleşim planlaması rehberi şu ilkeleri verir. Rol sahibi denetleyiciler ağın güvenilir olduğu ve tüm diğer denetleyicilerin erişebildiği yerlere konmalı; PDC emülatörü ile RID yöneticisinin sürekli erişilebilir olması gerekir. PDC emülatörü, o etki alanının kullanıcılarının yoğun bulunduğu ve diğer konumlara iyi bağlı bir yerde durmalıdır.

Tüm roller ilk denetleyicide bırakılırsa o makinede yoğun işlem yükü oluşabileceği için rolleri farklı denetleyicilere dağıtmak önerilir. Her rol için bir yedek (standby) denetleyici belirleyin ve yedeğin asıl rol sahibinin doğrudan çoğaltma ortağı olmasını sağlayın; böylece rol sahibi arızalandığında rolü kolayca devredebilirsiniz.

Önemli bir kural: altyapı yöneticisi rolünü global katalog sunucusu olan bir denetleyiciye koymayın. Belgeye göre aynı denetleyicide olurlarsa altyapı yöneticisi çalışmaz; güncel olmayan veriyi hiç bulamayacağı için değişiklikleri de çoğaltmaz. İstisna iki durumdur: ormandaki tüm denetleyiciler global katalogsa ya da ormanda tek etki alanı varsa bu rolün yeri önemsizdir. Salt okunur denetleyiciler (RODC) ise hiçbir işlem yöneticisi rolünü barındıramaz.

Çoğaltma sağlığı nasıl izlenir?

Çoğaltma sorunlarını tahmin yerine ölçerek bulun. İzleme için temel yaklaşım:

• Denetleyiciler arasındaki çoğaltma ortaklıklarını ve son başarılı çoğaltma zamanını periyodik kontrol edin. Bu iş için Microsoft'un repadmin komut satırı aracı kullanılır.
• Olay günlüklerinde dizin hizmeti ve DFS çoğaltma kayıtlarını izleyin.
• Site topolojisini doğrulayın: site bağlantıları ve zamanlamalar doğru mu?
• DNS kayıtlarını kontrol edin. Denetleyiciler birbirini DNS üzerinden bulur; DNS bozulursa çoğaltma da durur.
• Saat senkronizasyonunu doğrulayın. Kimlik doğrulama protokolü zaman farkına duyarlıdır.
• SYSVOL çoğaltmasını ayrıca izleyin.

Microsoft belgelerine göre aynı sitedeki denetleyiciler arasında dizin çoğaltması genellikle kısa sürede tamamlanır; farklı siteler arasında ise site topolojisi ve zamanlamaya göre değişir. Bir GPO değişikliğinin tüm istemcilere ulaşma süresi bu çoğaltma gecikmelerini de içerir.

Rol taşıma ve el koyma: ne zaman hangisi?

FSMO rolü iki yolla başka bir denetleyiciye geçer. Aktarma (transfer), eski ve yeni rol sahibi sağlıklıyken ve çoğaltma tamamken yapılan, veri kaybı oluşturmayan planlı bir devirdir. Bakım, makine yenileme ya da yerleşimi iyileştirme için bu yol seçilir.

El koyma (seize) ise rol sahibi geri dönmeyecek şekilde kaybedildiğinde, yani onarılamaz arızada başvurulan acil yoldur. El koyduktan sonra eski rol sahibi ortama yeniden bağlanırsa çakışma yaşanır; bu yüzden eski makine genellikle ortamdan temizlenir ve ağa yeniden alınmaz. Hangi yolu seçeceğinizi belirlemeden önce rol sahibinin gerçekten kurtarılamaz olduğundan emin olun.

Rol sahibini hızlı bulmak için hangi denetleyicinin hangi rolü tuttuğunu ortam belgesinde güncel tutun. Yedek denetleyici planı bu tür bir olayda saatler kazandırır.

Sık yapılan hatalar

• Tüm rolleri ilk kurulan denetleyicide bırakmak ve onu unutmak.
• Altyapı yöneticisini global katalog sunucusuyla aynı makineye koymak (birden fazla etki alanı olan ortamda).
• Çoğaltmayı hiç izlememek: sorun, kullanıcılar şikâyet edene kadar fark edilmez.
• Rol sahibini eski ve zayıf bir sunucuya bağlamak.
• El koyma ile aktarmayı karıştırmak.
• Saat ve DNS ayarlarını göz ardı etmek.
• Denetleyici kaldırırken rolleri önceden devretmemek.
• Siteler arası bağlantı planı olmadan yeni şube denetleyicisi eklemek.

Sağlıklı işletim, bir rol haritasının ve çoğaltma izleme rutininin yazılı olmasıdır.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Windows Server Yönetimi ve Active Directory İşletimi programında Active Directory Mimarisi modülü, ormanı, etki alanını ve denetleyici yapısını tanıtır; Çoğaltma, Yedekleme ve Süreklilik modülü ise çoğaltma işletimini ve süreklilik planını ele alır. FSMO konusu bu iki modülün kesişiminde yer alır.

Program, çok siteli ya da birden fazla denetleyicisi olan ortamları yöneten sistem yöneticileri ve altyapı ekipleri için uygundur. Kurumsal bir ekipte rol haritasının ve çoğaltma izleme rutininin ortak bir işletim belgesine bağlanması bu modülün somut çıktısıdır.