Если у меня есть ПК с ОС Windows, присоединенные к домену, и контроллер домена отключается, какое поведение можно ожидать от клиентов (при условии, что нет второго контроллера домена?)
Смогут ли пользователи войти в систему? Или, может быть, лучше спросить, как изменится функциональность входа в систему, если изменится вообще?
Очевидно, что общие файлы на контроллере домена работать не будут, но как насчет общих файлов между клиентами или между ними и сервером-участником?
После восстановления DC, нужно ли перезапускать клиентов, выходить из системы/входить в нее? Есть ли какие-либо долгосрочные последствия от отключения от DC?
В конечном счете, меня интересуеткакие жалобы я должен ожидать от пользователей, если DC недоступен. Не стесняйтесь упоминать любую другую важную информацию, которую я не осветил.
решение1
При отсутствии DC произойдет несколько вещей:
Если контроллер домена является единственным DNS-сервером, то первая жалоба, которую вы получите, будет на то, что интернет не работает, поскольку у клиентов нет DNS.
Поскольку DC обычно также используют DHCP, компьютеры вообще не смогут подключиться к сети. Компьютеры, которые уже подключены, будут продолжать работать некоторое время.
Файловые ресурсы, к которым они уже подключены, будут работать нормально некоторое время (вероятно, несколько часов), пока не истечет их сессия. Когда файловый сервер начнет проверять их учетные данные, он не сможет общаться с DC и больше не позволит никому подключаться.
Все остальное, что полагается на аутентификацию Active Directory (например, сайты IIS или серверы VPN и т. д.), не позволит людям войти в систему. В зависимости от настроек, он может немедленно выкидывать людей или сохранять существующие сеансы и просто не разрешать новые.
Что касается самих компьютеров, то люди, которые недавно пользовались компьютером, все равно смогут войти в систему. Люди, которые не пользовались машиной раньше или пользовались ею давно, не будут иметь кэшированных паролей, поэтому они не смогут войти в систему, пока не восстановится соединение с DC.
Отключение от DC имеет долгосрочные последствия — в конечном итоге никто не сможет войти с учетной записью домена, поскольку все кэшированные пароли будут просрочены. Если вы не можете повторно подключиться к DC и у вас не включены локальные учетные записи, вы можете оказаться в ситуации, когда вам нужно будет использовать утилиты вроде NTPasswd, чтобы включить учетную запись локального администратора.
Лучшая практика для контроллеров домена — иметь по крайней мере два из них. Так много в сети Windows зависит от Active Directory, что вам нужна избыточность. Для небольшой организации она может делить роли с файловыми серверами, хотя избегайте того, чтобы контроллер домена делил сервер с такими вещами, как Sharepoint и Exchange (это делает восстановление и обновление их очень сложными для правильного выполнения)
При наличии двух контроллеров домена, если один из них выйдет из строя, вы можете просто переустановить Windows Server, настроить его как новый контроллер домена в существующем домене, и все готово. Никаких простоев. При наличии одного контроллера домена восстановление может быть сложным. И пока вы восстанавливаете, у вас есть люди, расстроенные тем, что они ничего не могут сделать.
решение2
Зависит от продолжительности. Как только вы удаляете услугу из сети, все становитсяненадежныйно может и не сломаться. Если вы просто хотите перезагрузить DC, то аутентификация/авторизация не должны прерываться. Люди будут входить в систему с кэшированными учетными данными, ящики, которые уже взаимодействуют, будут продолжать это делать со своими существующими билетами Kerberos и т. д.
Таким образом, люди могут входить в свои ПК с помощью кэшированных аккаунтов. Они не могут менять пароли и т. д.
В течение короткого времени (несколько часов, но не дней) они все смогут получить доступ к общим файловым ресурсам не только на DC, но в конечном итоге это перестанет работать.
Все должно восстановиться автоматически после восстановления работы ЦОД.
Но здесь есть большая оговорка. Если вы используете ваш DC для DNS, то как только он отключается, большинство вещей перестают работать, потому что клиенты не смогут найти свои серверы. Даже вещи, не зависящие от AD, полагаются на разрешение имен.
Лучше всего построить второй DC с резервным DNS на нем, чтобы клиенты могли переключаться при сбое. Часть AD будет выполнена автоматически, часть DNS вам нужно будет настроить на клиентах как второй DNS-сервер либо на клиенте, либо через DHCP и т. д.