MS_ActiveDirectoryReplication
-
TOP > インフラストラクチャ > ドメイン サービス (AD DS)
- Active Directory（レプリケーション）
- Active Directory（グローバル カタログ）
- Active Directory（正常性の確認）
- DCの冗長化
ドメイン コントローラ（DC）の、
- ディレクトリ情報ベース（DIB）
- グローバル カタログ（GC）
信頼関係を結んでいる方向にレプリケートされる。
- DNS（Active Directory 統合ゾーンの場合）
ゾーン転送ではなく、Active Directory によってレプリケーションされる。
- 「ドメイン」には 1 つ以上のドメイン コントローラ（DC）を配置でき、
- ドメイン コントローラ（DC）間の情報のレプリケーションには「マルチ マスタ方式」が採用されている。
- このため、それぞれのドメイン コントローラ（DC）は、
- 上下関係のない対等の関係にあり、
- それぞれのドメイン コントローラ（DC）に対する変更は双方向に複製される。
- これにより、複数台のドメイン コントローラ（DC）があれば
フォールト トレランスや負荷分散が実現できる。
補足: 「マルチ マスタ」といっても全ての操作が対等なわけではなく、 スキーマ更新やドメイン名前付けなど、競合が許されない操作は FSMO（操作マスタ）を持つ DC のみが実行できる。
-
ディレクトリ サービスに登録できる情報を「オブジェクト」と呼び、
電話番号や住所、所属しているグループなどが格納できる。 -
このような「オブジェクト」が持つ情報を「属性」または「プロパティ」と呼ぶ。
-
NT ドメインの PDC と BDC 間の複製はオブジェクト単位で行われているのに対し、
Active Directory の各ドメイン コントローラ（DC）ではプロパティ単位で複製される。- トラフィックの観点からすると、オブジェクト単位よりはプロパティ単位のほうが
交信するデータ量は少なくなる。 - NT ドメインの場合、ユーザ アカウントは 1024 bytes であるが、
Active Directory では 3600 bytes と倍以上に増えている。 - このようにサイズが増えた理由は、オブジェクトごとに住所や所属部署などの
プロパティがより細かく入力できるようになったためである。
- トラフィックの観点からすると、オブジェクト単位よりはプロパティ単位のほうが
補足: Windows Server 2003 以降は、複数値属性（グループの
memberなど）が LVR（Linked Value Replication） により「値単位」で複製されるようになり、 メンバを 1 人追加しただけで数千人分のメンバシップが再送される問題は解消している （フォレストの機能レベルが Windows Server 2003 以上で有効）。
ドメイン内に複数存在するドメイン コントローラ（DC）のうちの
いずれかに接続して Active Directory 情報を更新することができる。
-
ドメイン コントローラ（DC）はアカウントが更新されると、
5 分後に同じドメインのドメイン コントローラ（DC）に通知（アナウンスメント）を行う。 -
マルチマスタにおける複製は複数のドメイン コントローラ（DC）同士が
アカウントを情報交換するため、
アカウントの複製が完了するまでは、まったく同じ情報をもつことはない。 -
ドメイン コントローラ（DC）の複製は同一ドメイン内でだいたい 15 分程度で完了する。
移行メモ（最新化）: 「5 分後」は Windows 2000 時代の既定値である。 Windows Server 2003 以降は短縮され、既定は 「変更発生から 15 秒後に最初の複製パートナーへ通知し、 以降 3 秒間隔で残りのパートナーへ通知する」となっている。
なお、パスワード変更・アカウント ロックアウトなど一部の変更は、 通知間隔を待たずに PDC エミュレータへ即時複製される（緊急複製）。
「サイト」は「ドメイン サービス (AD DS)」の物理的な構成を設定するオブジェクトで、
- 回線の帯域が狭い遠隔地間の DC・GC のレプリケーションの
ネットワーク トラフィックを最適化するため、「サイト」という概念も採用されている。 - 具体的には、ディレクトリ データベースの複製トラフィックと、認証トラフィックを
最適化（複製間隔を制御したり、複製データを圧縮したりできる）するために導入された。
-
「サイト」は、
- 組織内の物理的なネットワーク接続を示すためのオブジェクトである。
- 「ドメイン サービス (AD DS)」のネットワークの物理設計をする上で
非常に重要な概念になる。
-
例えば、
- 複数の拠点を持つ企業が拠点間を WAN で結んでいる場合、
各拠点を別々の「サイト」として設計し、 - 各拠点（サイト）間の DC・GC の、レプリケーションのスケジュールを管理などする。
- 複数の拠点を持つ企業が拠点間を WAN で結んでいる場合、
- 1 つの「サイト」は、高速で信頼性の高い接続で結ばれた、
1 つ以上の IP サブネットから構成される。
- 複数の「サイト」を跨る「サブネット」は構築できない。
- また、「サイト」は物理的な構成を意味する概念であるため、
- 「ドメイン」・「フォレスト」などの論理的な構成を意味する概念には依存しない。
- 従って、以下のようなパターンも構築可能である。
サイト同士は、「サイトリンク」と呼ぶ仮想のコネクタで接続する。
ログオン認証時に、同一サイト内のドメイン コントローラを優先して使用する。
サイト間でのディレクトリ データベースを複製するためのトラフィックを
-
スケジューリング（複製を行う時間帯を限定）し、
他のネットワーク トラフィックへの影響を抑える。
また、通信料金が安くトラフィックが少ない
時間帯に複製を行うように設定することもできる。 -
圧縮する（限られたネットワーク帯域を有効的に利用する）。
DC・GC のレプリケーションを考慮して、
- 「サイト」毎、
- あるいは地理的に近い複数の「サイト」毎に、
DC・GC を設置すると良い。
「サイト」間の、DC・GC のレプリケーションの例を以下に示す（同一ドメイン内）。
「サイト」間の、GC のレプリケーションの例を以下に示す（ドメイン間）。
下記の複製間隔をプラスするので、約 3 時間半程度で複製が完了する。
- サイトリンク間のデフォルト値：3 時間
- ドメイン内のデフォルト値：15 分
補足: サイトリンクの既定値は「複製間隔 180 分（3 時間）、 スケジュールは 24 時間常時可」であり、間隔は 15 分単位で短縮できる。 なお、サイト間の複製は既定で 圧縮あり／通知なし だが、 帯域に余裕があるならサイトリンクで「変更通知」を有効化して 遅延を短縮する構成も採れる。
ユーザーが ［Active Directory サイトとサービス］ でサイト接続に関する情報を指定すると、
- サイト内
KCC（Knowledge Consistency Checker）により、
レプリケーション パートナーが最適化により自動的に決定される。 - サイト間
サイト接続に関する情報を元に、
サイト間トポロジ ジェネレータ (ISTG) により決定される。
補足: サイト内トポロジは、どの DC からも 3 ホップ以内で到達できる リング状に構成される（DC が増えると弦（ショートカット接続）が追加される）。
- Active Directory の「ドメイン ツリー」は、DNS の階層のように連続した名前空間として
構成されるが、各「ドメイン」に DNSサーバは必須ではない。 - 基本的にひとつのフォレストの中に 1 つ DNSサーバがあれば、
サブ ドメインを作成するとき DNSサーバを構築する必要はない。 - このため、フォレストの「ルート DC（「フォレスト」内で最初に作成される DC）」の
インストール時には、DNSサーバも合わせてインストールすることが多い。 - ただし、DC（DNSサーバ）が 1 台だけだと障害発生時の復旧が困難になるため、
通常は DC（DNSサーバ）共に 2 台以上の構成が推奨される。
-
DC と DNSサーバを同一のコンピュータで構成することにより、
DNS のゾーン データを「Active Directory 統合ゾーン」に格納できる。 -
「Active Directory 統合ゾーン」では、通常の DNS のゾーン転送より
安全かつ信頼性の高い DC（GC）のレプリケーションを利用できる。 -
このため、
「Active Directory 統合ゾーン」を使用する「プライマリ ネームサーバ」（ルート DC）に対する
「セカンダリ ネームサーバ」（DC）は、同一「フォレスト」内の「ドメイン」であれば、
何処にでも配置することができる。
移行メモ（正誤）: Active Directory 統合ゾーンでは、 ゾーン データは アプリケーション パーティション （
DomainDnsZones/ForestDnsZones）に格納され、 グローバル カタログ（GC）ではなく DC 間のレプリケーションで複製される。 また、統合ゾーンを持つ DC はすべて「プライマリ」として振る舞う（マルチマスタ）ため、 厳密には「プライマリ／セカンダリ ネームサーバ」という区別は存在しない。
- Active Directory（正常性の確認）
- Active Directory レプリケーションの概念 - Microsoft Learn
- Active Directory 統合 DNS ゾーンについて - Microsoft Learn
Tags: Active Directory