Как ввести в работу контроллер домена после 5-дневного простоя?

Question

[Максим К]

Один из контроллеров домена и на нем же dns, был недоступен более 5 дней, плюсом точно были сменены пароли пользователям. Необходимо вернуть контроллер обратно в строй, где почитать про корректный алгоритм ввода, т.к. слишком большая разница по времени простоя?

Comments

[Alexey Dmitriev]

А что страшного в недоступности 5 дней?
А у админа спрашивали, он должен знать что делать

[Ziptar]

слишком большая разница по времени простоя

По умолчанию предельный срок синхронизации не то 60 дней, не то 180. 5 дней это не срок.

Answer 1

[MVV]

Просто включите и работайте: все изменения, сделанные на других КД, будут на него перенесены репликацией. AD сконструирована так, что изменения никуда не пропадают в течение срока их хранения. А 5 дней - это значительно меньше срока хранения: для базы данных AD он очень редко в наше время (это когда домен - родом с Win2K) бывает 60 дней, обычно - 180, а для изменений в папке SYSVOL (там лежат политики и скрипты) - 90 дней.
PS Для диагностики отсутствия проблем с КД испольуйте команду dcdiag /q из командной строки в режиме администратора. Если нет ошибок, она не вернет ничего. Правда, в первые сутки после запуска там даже в норме могут быть сообщения об ошибках в журналах событий (во время запуска), в таком случае загляните в эти журналы.

Comments

[Максим К]

Спасибо

[pindschik]

Но никогда не подключайте к сети контроллеры, которые были в длительном простое.
Они могут внутри себя обновить ключи шифрования и притащить их с репликацией. После чего домен упадет.
Но это примерно от месяца простоя.

[MVV]

Они могут внутри себя обновить ключи шифрования и притащить их с репликацией.

pindschik, какие ключи шифрования вы имеете в виду?
Если речь о ключах Kerberos (которые генерируются из паролей, поэтому лучше говорить о паролях), то пароли компьютеров меняются раз 30 дней (по умолчанию), и доступ возможен по текущему и предыдущему паролю. Т.е., перерывы больше 30 дней действительно нежелательны.
Но эта ситуация лечится - временным отключением службы KDC на подключаемом КД, чтобы билеты Kerberos выдавались с актуальных КД.
PS Ситуации с подключением после превыщения срока хранения тоже лечатся.

[pindschik]

MVV, да Kerberos, и лечатся, да. Но вручную и на кажом контроллере. И это неприятно. И будет простой всей конторы. Причем настигает проблема не сразу, а через некоторе время после возврата в сеть такого КД.

В общем целесообразнее про такую ситуацию знать и предусматривать заранее. Исключая полностью саму необходимость в возврате в сеть именно КД. Умерла так умерла.

З.Ы.
А еще хуже, когда блудный сын в сеть он возвращается "сам", например после поднятия долго лежащей связи удаленного сервера. :)