ActiveDirectoryサーバの同期確認方法

Linux

以下は、それぞれのコマンドの目的と、「何を確認すれば正常なのか」をまとめたものです。
ADサーバーの点検手順書にもそのまま利用できる内容です。
下のコマンドを実行した結果をテキストに保存しておいて、作業前と作業後で結果を保存して、差分比較をして作業前と同じ状態であるか確認ができます。

項目コマンド説明正常時の確認ポイント
時刻同期確認w32tm /stripchart /computer:IPアドレス /samples:500 /dataonly指定したNTPサーバーまたはDCとの時刻差を500回測定する。Kerberos認証は時刻差5分以内が必須。Offsetが数ms～数十ms程度で安定していること。大きなずれや増加傾向がないこと。
FSMO確認netdom query fsmoFSMO（5つの役割）の保持サーバーを表示する。想定しているDCが各FSMOロールを保持していること。
DC間同期状況確認repadmin /replsummaryActive Directory全体のレプリケーション状況を一覧表示する。failsが0、Largest Deltaが異常に長くないこと。
DC間複製状態確認repadmin /showrepl各パーティションごとのレプリケーション状態を表示する。Last attempt successful が表示され、エラー番号がないこと。
DC詳細診断dcdiag /vドメインコントローラーの詳細な健康診断を実施する。Failed testがなく、全テストがPassedとなること。
SYSVOLレプリケーション方式確認dfsrmig /getglobalstateSYSVOLがFRSかDFSRかを確認する。Current DFSR global state : Eliminated (State 3)ならDFSR運用。StartやPreparedなら移行途中。
DC健康診断（エラーのみ）dcdiag /qエラーのみ表示する簡易診断。何も表示されなければ正常。
DNS診断dcdiag /test:dnsDNS登録・名前解決・ゾーン構成などを診断する。PASSのみでFailやWarningがないこと。
共有フォルダ確認net shareDCが公開している共有フォルダを表示する。NETLOGON、SYSVOL が存在すること。
他ADとの複製確認repadmin /showrepl 他ad他ADとのレプリケーション状態のみ確認する。全パーティションが成功していること。
レプリケーションキュー確認repadmin /queueレプリケーション待ちキューを表示する。キューが0または短時間で消えること。大量に残っていないこと。
SYSVOL共有確認dcdiag /test:sysvolcheckSYSVOLが正常に共有されているか確認する。Passedとなること。
DC広告確認dcdiag /test:advertisingDCとして正常に広告（Advertise）されているか確認する。Passedとなること。
Kerberosチケット確認klist現在保持しているKerberosチケットを表示する。TGTやサービスチケットが取得されており、有効期限が正常であること。
DC総合診断dcdiag /e /cフォレスト内すべてのDCに対して全テストを実施する。非常に時間がかかる。全DCでFailed testがないこと。

特に重要な確認項目（優先順位）

Windows Update後やDC再起動後は、最低でも以下を確認することをおすすめします。

  1. netdom query fsmo
    • FSMOロールが消えていないこと
  2. repadmin /replsummary
    • レプリケーションエラーが0件
  3. repadmin /showrepl
    • すべて Successful
  4. dcdiag /q
    • エラーなし
  5. dcdiag /test:dns
    • DNS異常なし
  6. net share
    • SYSVOL と NETLOGON がある
  7. dfsrmig /getglobalstate
    • Eliminated (State 3)（DFSR環境の場合）
  8. w32tm /stripchart
    • 時刻差が数十ms程度以内

もし、repadmin /replsummary　で同期エラーが出た場合の対処

① エラーが少数（1～数台）の場合

個別同期がおすすめです。

repadmin /showrepl

でどのDCが失敗しているか確認し、

repadmin /replicate <宛先DC> <元DC> "DC=xxx,DC=local"

または

repadmin /syncall <対象DC> /AdeP

で対象DCだけ同期します。

メリット

  • ネットワーク負荷が少ない
  • 問題の切り分けがしやすい
  • 失敗しているDCだけ再同期できる

② 多数のDCでエラーが出ている場合

例えば

Fails : 50

のような場合は、

repadmin /syncall /AdeP

で全体同期を実施する方が効率的です。

オプションの意味

/A  全パーティション
/d  DN形式で表示
/e  サイトをまたいで同期
/P  Push同期

つまり、

フォレスト全体のレプリケーションを強制実行します。

同期が失敗していたときの流れ

repadmin /replsummary

↓

エラーが出たら

repadmin /syncall /AdeP

↓

再度

repadmin /replsummary

という流れで十分です。

Largest Delta

が大きくなったり、

RPC unavailable
1722
1726
1256

などが一時的に出ることがあります。

このようなケースは、DCが起動直後でサービスが完全に立ち上がっていないことが原因のことも多いため、

  1. 5～10分待つ
  2. repadmin /syncall /AdeP
  3. repadmin /replsummary

の順で確認するのがおすすめです。

スポンサーリンク

コメント

タイトルとURLをコピーしました