sid anstatt <automatisch generiert> bei AD Standorte und Dienste?

[guybrush 19]

hallo,

 

ich hab mal wieder meine server durchforstet und bin auf folgendes "phänomen" gestossen:

unter active directory standorte und dienste sind ja alle meine domänencontroller drinnen (ich habe 2 vorort und 1 in ner remote site - alles gleiche domäne).

 

jetzt steht beim "pdc" (2k3 r2) <automatisch generiert> in der liste, wo die anderen beiden server drinnen stehen, beim 2. lokalen dc (2k sp4) ist da allerdings nicht, wie früher, auch <automatisch generiert>, sondern eine lange sid: 4a3d1f4b-1caa-41bd-a9f9-2206ad635d6c

 

im eventlog ist nichts drinnen, was ich da zuordnen könnte, ich weiss allerdings fix, dass da auch <automatisch generiert> drinnen gestanden ist.

 

was hat es damit auf sich? ist das schlecht für mich oder kann ich trotzdem noch gut schlafen?

wie kann sowas zu stande kommen?

 

bitte um ein paar infos, da ich dazu bei freund google usw. nix finde.

 

vielen dank!!

 

mfg

hannes

[woiza 10]

Hi,

 

keine Panik. Du meinst vermutlich unter NTDS Settings? Da die Connections vom jeweiligen Server zum jeweiligen Server drin. Normal generiert die AD automatisch, genauer gesagt KCC und ISTG.

 

Bei automatisch generierten, die dann auch so heißen, verwaltet AD alle Einstellungen, sprich Zeitplan, Transporttyp usw. Sobald ein Admin was von Hand umstellt, kommt ne kleine Warnung, dass diese Connection nicht mehr vom AD verwaltet wird. Zur Kennzeichnung erhält diese dann die GUID des Verbindungsobjektes.

AD würde die Connection dann beispielsweise auch nicht mehr löschen.

 

Das tut alles nicht weh, aber wenn du wieder alles auf automatisch haben willst, haust du die Verbindung einfach weg und gut. AD wird sie dann wieder erstellen und mit "automatisch generiert" benennen.

 

Gruß

 

woiza

[Daim 12]

Servus,

 

Das tut alles nicht weh, aber wenn du wieder alles auf automatisch haben willst, haust du die Verbindung einfach weg und gut. AD wird sie dann wieder erstellen und mit "automatisch generiert" benennen.

 

was im übrigen auch zu empfehlen wäre, denn bei etwaigen Veränderungen aus welchen Gründen auch immer, passt das AD die Replikation den Gegebenheiten an. Bei den "manuellen" Verbindungen verwaltet das AD nicht mehr die Verbindungen und dann kann es unter Umständen länger dauern bis man diese Veränderung bemerkt und entsprechend handelt.

 

Der KCC erstellt automatisch einen Ringentwurf um eine effiziente Replikationstopologie innerhalb eines Standortes (Intra-Site) und eine für die standortübergreifende Replikation (zwischen den Standorten – Inter-Site) zu erstellen.

Diese Ringtopologie versucht zwecks Fehlertoleranz mindestens zwei Verbindungen zu jedem Domänencontroller zu erstellen mit maximal 3 Hops zwischen den beliebigen DCs (dies wegen Reduzierung der Replikationswartezeit).

 

Active Directory-Replikation - faq-o-matic.net

[guybrush 19]

vielen dank ihr beiden...

es hat sich mittlerweile auch herausgestellt, was passiert ist:

 

mein kollege hat den replikationszeitraum geändert - womit eure aussagen bewiesen wäre!

 

super, ich hab da immer großen respekt, wenn anstatt ner bezeichnung ne sid o.ä. daherkommt - hat bis jetzt eigentlich nie was gutes geheissen ;-)

[Daim 12]

super, ich hab da immer großen respekt, wenn anstatt ner bezeichnung ne sid o.ä. daherkommt - hat bis jetzt eigentlich nie was gutes geheissen ;-)

 

Das brauchst Du nicht wirklich, man muss "nur" wissen wie es funktioniert und was es bedeutet :p

[woiza 10]

Ja,

 

nur ist es in dem Fall ne GUID. MS steuert über den Namen eben, ob das Ding automatisch ist oder nicht. Man könnte die GUID auch als Wink mit dem Zaunpfahl verstehen, wenn man schon die Automatik ausschaltet, sich dann wenigstens nen gescheiten Namen einfallen zu lassen.

 

Wenn ihr den Zeitraum ändern wollt, könnt ihr das. Nur müsst ihr dann halt immer ein Auge drauf haben, weil die Automatismen dann nicht mehr greifen.

 

Wir hatten einige Zeit auch alle Connections auf manuell. Die hießen dann grob Intersite_ZielDC oder IntraSiteZielDC. Bei 80 DCs geht das irgendwann auf die Nerven, da sind es dann einige hundert Connections, nur war bei W2k der Algorythmus nicht so toll. Bei 2003 ist der Topology Generator deutlich verbessert, so dass wir jetzt auch alles auf automatisch lassen.

 

Gruß

 

woiza

[woiza 10]

Vielleicht noch zum Unterschied von SID und GUID:

 

GUID ist die Eindeutige Nummer jedes AD-Objekts, also Benutzer, Kontakt, Connection Object usw.

 

Die SID gibts nur bei Objekten, denen Rechte erteilt werden können, also z.B. User, Sicherheitsgruppen, aber z.B. nicht bei Verteilergruppen oder Kontakten.

 

Die ConnectionObjects kannst du dir mit ADSIEdit ansehen. Die sind in der Configuration unter CN=Sites. Die Baumstruktur ab da ist genau wie in der Konsole, also CN="SiteName"/CN=Servers/CN="Servername"/CN=NTDS Settings. Dort siehst du dann die einzelnen Verbindungen.

 

In den Eigenschaften wirst du sehen, dass es keine ObjectSID gibt, sondern nur ne Object-Guid. Dort wirst du auch sehen, dass die Dinger eigentlich alle mit der GUID gespeichert sind. AD zeigt nur die automatisch generierten anders an.

 

Gruß

 

woiza

[guybrush 19]

vielen dank für die ausführungen - bin grad um ein stückchen gescheiter geworden ;-)

 

wünsche euch allen, die mir mein leben und meinen job immer etwas leichter gemacht haben, noch einen guten start in die woche

 

mfg

hannes