Active Directoryの同期について

質問

Windows Server 2008 R2のActive Directoryを冗長化して2台構成とした場合、
そのうちの1台をネットワークから切り離し、しばらく後に再同期させることは可能なのでしょうか？

30日を超えるとセキュアチャネルがリセットされて戻せないという話を聞いたのですが、
その場合は切り離したサーバーのActive Directoryを一旦削除して
再構築する必要があるのでしょうか？

どなたか詳しい方、よろしくお願い致します。

回答No.2

maesen

>そのうちの1台をネットワークから切り離し、しばらく後に再同期させることは可能なのでしょうか？

不可能ではないです。
ただし、切り離したDCが操作マスタを持つ場合にはトラブルが発生する場合があります。

>30日を超えるとセキュアチャネルがリセットされて戻せないという話を聞いたのですが

確かにパスワード更新間隔がデフォルトで30日ですのでセキュアチャネルのエラーになる場合がありますが、復旧出来ないわけではありません。
ちょっと古い記事ですが、以下を参考にして下さい。
http://itpro.nikkeibp.co.jp/free/NT/WinReadersOnly/20040415/5/

>その場合は切り離したサーバーのActive Directoryを一旦削除して
>再構築する必要があるのでしょうか？

切り離したサーバのOS再インストールを行わないでのあればこれはちょっとめんどくさい作業になりますね。
どちらのサーバともntdsutilを使用して適切に情報を削除しないとトラブルの元になります。

ドメインコントローラの降格や昇格はそれほど大した作業ではないので故障とかではなく予め長期に渡り切り離すことがわかっているのであればきちんとDC降格を行ったほうがいいと思います。

DCが存在するのにネットワーク上通信出来ないと認証が遅くなるとかエラーログが大量に記録されるとかという問題もでます。

回答No.1

gold_bag001

正規の手段はバックアップの復元なのでしょうから、くどくなりますが、大前提としてこちらの環境で実施したらそうなったと捉えてください。

DNSが引けない状態はADにとっては危機的状態で、いわゆる「壊れている」状態です。本来作業は「復元」とか「障害回復」手順になります。
AD統合としてのDNSはすでに壊れているため、プライマリゾーンなどのADとは関係ない機能を使って修復を試みることになります。
なお、PINGが反射してくるだけではなく、アンダースコアからはじまるAD関連のDNS情報が引けないとADはだたしく動作しません。

「Active Directory の障害回復」

手順としては、以下のようになるかと考えているのですが、
(1)サーバ３でセカンダリゾーンを削除
↓　(この時点でDNSゾーンは全て削除される)
(2)サーバ１でAD統合ゾーンの作成
↓
(3)サーバ２でAD統合ゾーンの作成
↓
(4)サーバ３でAD統合ゾーンの作成
この認識であっていますでしょうか？

こちらの環境では、ADのゾーンがなくなった時点でADが見つからなくなったため、AD統合ゾーンは作成できなくなりました。（ADとして正しい動きと思われる）
そこで、一旦プライマリゾーンを作成し、NET LOGON サービスを再起動することによりADに関する情報をDNSへ自動登録後、
そのプライマリゾーンをADに格納しました。（ADに格納＝AD統合ゾーン化、ゾーンの＜種類＞の「変更」ボタンを押したら、下側にあるチェックボックス）

セカンダリにした理由は特にありません。単に他のDCがADの情報を引っ張ってこれなくなっている状態であるためセカンダリにしました。（こちらのテスト環境で、DNSのアドレスを変えたくない事情があったためです。）
本来であれば、他のDCは、一時的にTCP/IPのプロパティからDNSを上記で設定したDNSへ設定後、NET LOGONサービスを再起動し自動登録後、
しばらくすると自身のDNSにもADのレプリケーションよりDNSの情報がコピーされてくるので、正しく複製が行われたことを確認後にTCP/IPのDNSの設定を自身のDNSへ戻すのが良いと思われます。

ということで、最初からAD統合ゾーンで作成できるのであればOKですが、AD自体はDNSを引けないので統合ゾーンの作成は失敗するように思います。
あと、一つ統合ゾーンを作れば、あとはADで複製されてくるので他のサーバで作らないでください。ぶつかってややこしいことになります。
＃ややこしい＝どうなるか不明（複製が生きていれば、すでに存在する旨のエラーがでるはずです

正直どのような壊れ方をしているのか、こちらからは想像できないため、できることなら同様の環境を作ってテストしてから実施してください
＃余り日が経っていないのでしたら、DNSを再構築すればADの機能で回復できる範囲だとは思うのですが……