☰

外部 DNS を備えた Windows AD

tag-icon • tag-icon windows domain-name-system active-directory
外部 DNS を備えた Windows AD

外部 DNS サーバーを使用するように Windows AD を構成するにはどうすればよいでしょうか? DNS を管理するためのツールがあります。認証に Windows AD を使用しようとしています。サーバーをドメインに参加させるには、DNS として AD サーバーを指すようにする必要があります。ただし、そうすると、DNS として AD サーバーを指すサーバーは、環境内でホスト名を解決できなくなります。

環境全体のログイン ドメインには example.com を使用しています。すべてのサーバーは servername.subdomain.example.com です。

servername1.subdomain.example.com をドメインに参加させると、AD サーバー上の DNS で servername2.subdomain.example.com の DNS エントリを手動で追加しない限り、servername2.subdomain.example.com を解決できなくなります。

すべてのものに対して 2 つの DNS エントリを作成する必要はないため、AD サーバーが DNS の外部 DNS サーバーを参照できるようにする必要があります。

subdomain.example.com の前方参照スタブ ゾーンを作成しようとしましたが、「ゾーンをロードする DNS サーバーを指定する」まで進み、DNS サーバーを入力すると、検証時に「不明なエラーが発生しました」というエラーが発生します。

既存の example.com ドメインの下に新しい委任を追加しようとすると、DNS サーバーを追加するときと同じエラーが発生します。

確かに、私は Windows 管理者ではなく、AD についての理解はせいぜい表面的なものですが、私が求めているのは比較的単純なもののように思えます...ドメイン コントローラーからのホスト名の再帰検索を求めているだけです。

正しい方向を指し示すご指摘をいただければ幸いです。

答え1

ただし、そうすると、DNS の AD サーバーにポイントされているサーバーは、環境内でホスト名を解決できなくなります。

それが問題なら、ADで希望のDNSサーバーへのフォワーダーを設定してみてはいかがでしょうか？ADサーバーでDNS MMCスナップインを開き、サーバー名を右クリックします（ないゾーンまたはフォルダーのいずれかを選択し、「プロパティ」を選択します。これにより、「フォワーダー」というタブを含むダイアログ ウィンドウが開き、目的の DNS サーバーの IP アドレスを追加して、検索順序を設定できます。

答え2

ADが操作できるようにするには依存するDNS システムでは、時間や特定のイベントによって変化するレコードがいくつかあります。これらのレコードを AD の外部で維持することは、事実上不可能 (または非常に困難) です。これが、「デフォルトのクリック、クリック」インストールで AD が DNS サーバーとして動作し始め、これを動作させるにはこれらの DNS (AD メンバー/-s/) を指定しなければならない理由です。同じドメインを他の目的にも使用したい場合は、次のシナリオのいずれかを選択できます (AD プロビジョニング/新しい AD ドメインのセットアップで選択)。

  • ADのDNSにドメインのDNSレコードを保存し、リクエストを転送する

  • 外部DNSにDNSレコードを保持するしかし広告しなければならない外部DNSサーバーを使用するように構成し、ADが外部ソースのゾーンの動的更新を許可する必要があります。

実際には、ドメインと外部 DNS サーバーを持ち、AD をドメインのマスターとして「考え続ける」ことは不可能です。その場合、ゾーンは、質問している場所に基づいて一貫性がなくなります。すべての DNS サーバーは、すべてを知っていると考えていますが、情報の一部しか持っていません...

動作しないシナリオ

有効なDNSが例.com（これまではADなし）。同じDNSゾーンでADを使用することを決定します（例.com) をクリックし、「デフォルト クリック」インストールを実行します (インストール中に AD がドメインの存在を確認できないと仮定します)。

  • 元のDNSサーバーはADについて何も知らない

  • ADはDNSゾーンを管理していると考えており、example.comドメインの残りの部分については何も知らない。

    • 一度PCやサーバーをドメインに接続すれば、ロック「ADビュー」に設定しないとADに関する情報が何も表示されません

    • ADで生成/作成されたDNSレコードは、自動的に「メイン」DNSに伝播されません。例.com

作業シナリオA

有効なDNSが例.com（これまではADなし）。同じDNSゾーンでADを使用することを決定します（例.com）。ADをインストールするとします。10.20.30.1。

  • （ADインストール前）現在のDNSサーバー上で動的更新を許可する例..comゾーンの10.20.30.1(新しくインストールされた AD サーバーの IP)

  • AD は必要なすべての DNS 構造を外部 DNS サーバーにプッシュし、それを適時に維持します (適時にいくつかの動的更新が表示されます ;-) )。

  • すべては現在の DNS ゾーンに対して透過的に行われます。変更は AD によって直接実行されるため、システムを現在の DNS サーバー以外にポイントする必要はありません。

オプション分離したい場合は、「サービス サブドメイン」を追加のゾーンとして準備できます (ここでは、長くなるのでこれ以上深くは説明しませんが、技術的すぎて複雑すぎるわけではありません ;-) )。実現したい場合は、AD のインストール前に行うことをお勧めします。または、ゾーンをフリーズして、別のゾーン ファイル (サブドメイン) に手動で移動することもできます。

作業シナリオB

有効なDNSが例.comDNSゾーンのサブドメインでADを使用することを決定します（サブドメイン.example.com）。ADをインストールするとします。10.20.30.1。

  • ADはDNSサーバーとして機能しますサブドメイン.example.com。

    • example.com が「公式」に公開されている/知られている（そしてあなたの！）ドメインである場合、AD 側での操作は完了です。

    • ローカルドメインのみを使用している場合は、ADをセットアップしたら、転送ゾーンを追加する必要があります。例.com（使用している最上位のローカルゾーン - 下位のゾーンは「通常の」DNS操作を使用して解決されます）現在のDNSサーバーに「公式に」解決できないことを指摘します。.comネームサーバー（例.com）。

  • 現在のDNSサーバー（この場合の処理​​）例.com）サブドメインの委任レコードを追加して、どこを探すかを知る必要があります（新しく追加されたAD）

    subdomain.example.com. IN NS ad1.subdomain.example.com.
ad1.subdomain.example.com. IN A 10.20.30.1

関連情報