SQL Server の情報をメインに Microsoft 製品の勉強内容を日々投稿
Microsoft の方がスピーカーを担当されるテクニカルセッションのアジェンダが公開されたようです。
SQ!L Server 2008 R2 のセッションがあるので行きたいです…。
去年と比べると SQL Server のセッション数はだいぶ減りましtね。
今年も去年と同様 Post Conference DVD が一般販売されないのでしょうかね。
去年は事務局に問い合わせたところ、一般販売も予定しているといわれていたのですが、
最終的には販売されなかったので…。
tech days のように後日、全セッションの動画 / スライド一般公開されると、とてもうれしいのですが。
Windows のファイルサーバーではないのですが DNS の Ailias (CNAME) で CIFS 共有にアクセスすると
認証が発生してしまうという社内の問い合わせがあったので少し調べてみました。
とりあえず Windows のファイルサーバーだとどうなるんだろうと思い調べてみたところ、事例がありました。
Windows 2000 ベースのサーバー上の SMB 共有へのエイリアス名による接続が機能しない
Windows2000/Server2003の共有フォルダをDNSのCNAMEレコードを使用して開けない
Windows Server 2003 Service Pack 1 のインストール後に FQDN または CNAME エイリアスを使用してサーバーにローカル アクセスしようとするとエラー メッセージ "アクセスが拒否されました" または "指定されたネットワーク パスはどのネットワーク プロバイダによっても受け付けられませんでした" が表示される
ログオン ウィンドウの表示 Windows Server 2003 Service Pack 1 NLB 仮想 NLB クラスタ名を参照するとき
以下のレジストリを設定すれば CNAME でアクセスできるようになります。
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesLanmanServerParameters
値の名前 : DisableStrictNameChecking
データの種類 : REG_DWORD
基数 : 10進
値 : 1
エラーの時は以下のようなメッセージが表示されます。
| ネットワークに重複した名前があるため接続されませんでした。 コントロール パネルのシステムでコンピュータ名を変更して再実行してください。 |
CNAME だけでなく、A レコードで本来のコンピュータ名の IP を登録しても同様のエラーとなりました。
NLB で Kerberos 認証をする場合もいろいろと考慮点があるみたいですね。
# NLB の仮想ホスト名も CNAME みたいなものだと思いますので。
Windows Server 2003 NLB構成で Kerberos認証を有効にする
負荷分散アーキテクチャで Kerberos 経由の認証の委任は動作しません
Kerberos authentication for load balanced web sites
Enabling Kerberos Delegation on a NLB scenario
こちらはアプリケーションプールをドメインユーザーで起動して、 NLB で負荷分散に使用するホスト名と
アプリケーションプールの起動ユーザーで SPN を登録するのがポイントみたいです。
SQL Server の Kerberos 認証もそのうち試そうと思ってなかなか手が出せていないですね～。
まだまだ勉強することが沢山です。
NT ドメインを Windows 2000 Active Directory にアップグレードした場合の、メンバーとして参加している
コンピュータのプライマリ DNS サフィックスの表示内容についてです。
[NT ドメインの時の表示内容]
以下の画像が、NT ドメインならびに、AD アップグレード直後のドメインとフルコンピュータ名の表示です。
アップグレードをしてもそのままの状態ではフルコンピュータ名とドメイン名は変更されません。
[Windows XP]
[Windows NT]
?
一度ログオン / ログオンまたは、再起動するすと以下の内容に変更となります。
[ログオン / ログオフまたは再起動後]
[Windows XP]
?
XP だと再度コンピュータにログオンし、マイコンピュータのプロパティを確認すると
[変更はコンピュータの再起動後に有効になります。]
と表示されています。
コンピュータのプロパティの再起動に関しては以下のレジストリ値の比較で表示が制御されているようです。
-[HKLMSYSTEMCurrentControlSetServicesTcpipParameters]
[Domain]
[NV Domain]
NT ドメインからのアップグレード後は [Domain] が空白、[NV Domain] が参加ドメインの値となっているようです。
この設定値が異なることによって再起動のメッセージが表示されてしまうようです。
[Windows NT]
?
[再起動後]
[Windows XP]
再起動後は [Domain] に値が設定されています。
アップグレード後は再起動しないと DNS サフィックスが設定されないので再起動のメッセージが表示されていると
コンピュータ名の名前解決で思ったような結果が得られないかと。
[Windows NT]
NT のメンバサーバーの場合は変化はないようですね。
2000 / 2003 のメンバーサーバーでは試せていないのですが XP と同じ動きになりそうな気が。
SID の解決は再起動しなくてもできていそうですが、名前解決が想定した動きにならない場合は、
コンピュータのプロパティを開き、再起動の表示がないことを確認したほうが良さそうです。
各、ドメインコントローラーで別々の DNS を使用している場合に現象が発生しました。
子ドメインを既存ドメイン (親ドメイン) に追加すると、親ドメインの [Active Directory サイトとサービス] に
作成したドメインのドメインコントローラが追加されます。
以下が、子ドメイン追加後のサイトとサービスの内容になります。
[2000-AD-01] を [us.domain.local] として追加したのですが追加直後はドメインがブランクになっていました。
[2000-AD-01] で [Active Directory サイトとサービス] を確認するとこちらでは正常に表示されています。
親ドメインと子ドメインで同一の DNS を使用している場合はこのような現象は発生しなかったのですが、
各ドメインで独自の DNS を使用して、委任 / フォワーダで名前解決をさせている環境を作ったところ、
このような状態になりました。
他のドメインコントローラには自動生成の接続オブジェクト (2000-AD-01 のプルレプリケーション) は
作成されていますので、[今すぐレプリケート] を実行してみると以下のメッセージが表示されます。
[名前付きコンテキストが削除中華、または指定されたサーバーからレプリケートされていません。]? となってしまいます。
別々の DNS を使用しているので FQDN でないと名前解決ができないことが原因でしょうか…。
現在はドメインが空白になっているために解決できないのかも。
[2000-AD-01] で [レプリケーショントポロジの確認] をして KCC による接続の自動生成をしようとすると
以下のメッセージになります。
[ディレクトリのプロパティがキャッシュに見つかりません。] とのことですが、今回の場合は、プロパティは
ドメイン名の部分のことでしょうか。
正しい状態には以下のどちらかの方法で設定できました。
?
[ADSIEDIT.msc]
[しばらく待つ]
?どちらかの対応 (一方はただ待つだけですが…) をすると親ドメインでも正常にドメイン名が
表示されるようになります。
新規ドメインを追加した場合は各ドメインコントローラの [repadmin /showrepl] を確認して、
接続オブジェクトの作成状況のチェックは必要ですね。
かなり前の機種のサーバーに Windows Server 2008 を P2P で移行していたところ、
crcdisk.sys の読み込みで停止してしまうという現象が発生してしまいました。
# セーフモードで起動し、ファイルのロード状況を眺めていたところ crcdisk.sys で
停止していました。
マザーボードの電池が消耗していたため、BIOS の日付がクリアされていたことが
原因のようでした…。
電源を外すと BIOS の日付が 00/00/00 になってしまったので、作業をしていた日の
日付に修正したところ正常に起動しました。
試しに再度、電源ケーブルを抜き日付をクリアしたところ現象が再現できました。
今まで事象に当たっていなかったため知らなかったのですが [crcdisk.sys] で
停止する現象は結構有名みたいですね。
日付以外にも様々なことが起因して起動しなくなることがあるようですね。
とても勉強になりました。
2009/9/28 追記
Hyper-V のゲスト OS で [crcdisk.sys] の読み込みで止まってしまう現象が発生し、どうしようかと悩んでいたところ、
とりあえず VHD をマウントして、起動する Windows Server 2008?の [crcdisk.sys] を [C:windowssystem32drivers] に
コピーしたらなんとか起動しました。
BIOS で AHCI から IDE にディスク接続を変更し起動後戻したり、AHCI のディスクだけにして起動するという方法で、
解決することもあるようですが、ゲスト OS で現象が発生すると困りますね…。
新しいバージョンの AD を追加 / 一部のアプリケーション (Exchange 等) をインストールする場合には
AD のスキーマ拡張が必要となります。
スキーマのバージョン確認基本的な作業は以下の KB に記載されているとおりです。
以下の手順で確認可能です。
[確認手順]
以下が [objectVersion] と OS の対応表になります。
| objectVersion | OS |
| 13 | Windows 2000 Server |
| 30 | Windows Server 2003 |
| 31 | Windows Server 2003 R2 |
| 44 | Windows Server 2008 |
今のところ Windows Server 2008 R2 のスキーマバージョンは [47] となっているようですね。
Sch47.ldf
スキーマ拡張をした際に、各ドメインコントローラでスキーマ拡張が反映されているかを確認する場合は
この値を確認するのが良さそうです。
今月は SQL Server の投稿を増そう月間にするつもりだったのですが業務都合上そうもいかず、
当初の予定とは異なり AD のメモを増やさなくてはいけなさそうです…。
AD ではサイト間、サイト内にオブジェクトを伝搬するためにレプリケーションが行われていますが、
OCS や Exchange の導入時にスキーマ拡張やドメインのオブジェクト準備をするときに特定の
ドメインコントローラーから出力方向 (変更を他のドメインコントローラーに伝搬) のrレプリケーションを
一時的に無効化したいこともあるかと思います。
# DNS を AD 統合にして自サーバー内に持っているのであればネットワークケーブルを抜いて
代わりにループバックコネクタをつけておけばよいのかもしれませんが…。
repadmin コマンドでオプションを設定すると一時的にレプリケーションを無効にすることができます。
Windows Server 2003 まではこのコマンドはサポートツールに含まれていますので、設定する場合は
OS のメディアまたはサービスパックのメディアからインストールする必要があります。
Windows Server 2008 には AD の役割を追加すると自動でインストールされます。
＃ 2008 には replmon / netdiag は含まれていないようですが。
出力方向のレプリケーションを停止
| repadmin /options <DC 名> +DISABLE_OUTBOUND_REPL |
出力力方向ですので対象のドメインコントローラで変更した内容のレプリケーションを
ブロックする設定になります。
# 変更内容尾を伝搬させない。
入力方向のレプリケーションを停止
| repadmin /options <DC 名> +DISABLE_INBOUND_REPL |
入力方向ですので他のドメインコントローラの変更を取り込まない設定になります。
出力方向のレプリケーションを開始
| repadmin /options <DC 名> -DISABLE_OUTBOUND_REPL |
?
入力方向のレプリケーションを開始
| repadmin /options <DC 名> -DISABLE_INBOUND_REPL |
?
2003-AD-01 というドメインコントローラーで入力 / 出力のレプリケーションを停止する場合は
以下のようなコマンドとなります。
| repadmin /options 2003-ad-01 +DISABLE_OUTBOUND_REPL repadmin /options 2003-ad-01 +DISABLE_INBOUND_REPL |
?
この状態で [repadmin /showreps] コマンでレプリケーションの状態を確認すると以下のような表示となります。
# 2003-AD-01 のレプリケーションパートナーである 2003-AD-02 のレプリケーショントポロジーを表示しています。
|
>repadmin /showreps 2003-ad-02 ==== INBOUND NEIGHBORS ====================================== DC=domain,DC=local CN=Configuration,DC=domain,DC=local CN=Schema,CN=Configuration,DC=domain,DC=local DC=jp,DC=domain,DC=local |
?
2003-AD-01 でレプリケーションが拒否されていることが確認できます。
# 停止してからレプリケーションのパートナー側で停止されていると認識されるまで少し時間がかかりました。
実運用で停止する場合は小出しに showreps を実行して停止しているかを確認したほうがよいかも。
上記、実行結果のように全パーティションでレプリケーション要求を拒否することはできます。
入力と出力の関係によっては以下のメッセージが表示されることも。
| 宛先サーバーは現在、レプリケーション要求を拒否しています。 |
レプリケーションが停止しているドメインコントローラーはサポートツールの [replmon.exe] では
以下の画像のように表示されます。
[Active Directory サイトとサービス] で複製をしようとすると以下の警告となります。
ドメインコントローラーで今、どのようなオプションが設定されているかは以下のコマンドで確認可能です。
| repadmin /showreps <DC 名> |
実行すると以下のような結果
が表示されます。
| >repadmin /options 2003-ad-01 Current DC Options: IS_GC DISABLE_INBOUND_REPL DISABLE_OUTBOUND_REPL |
レプリケーションの停止の仕方をよく忘れてしまうのでメモとして残しておきたいと思います。
AD を専門にされている方は周知のことかと思いますが、私はよく忘れてしまうのでメモ。
AD のバックアップには Tombstone 期間が設定されており、この期間を過ぎると適切な
バックアップとしてみなされなくなります。
# 実際に期間を過ぎて戻したことはないので戻そうとするとどうなるかは後で調べなくては…。
以前、情報を見た記憶があるのですがすっかり忘れています。
Windows Server 2003 SP1 以前ではこの期間は [60 日] として設定されています。
Windows Server 2003 SP1 以降では [180 日] として設定されています。
ただし、この設定は Windows Server 2003 SP1 以降をインストールした際に自動的に
変更されるのではなく、1 台めのドメインコントローラを 2003 SP1 以降で構築した場合に
180 日で設定されています。
また、この設定はエンタープライズの構成情報 (AD の構成パーティション) に含まれているため、
フォレスト内で共通の設定となっています。
新規にフォレストを構築した場合は、初期導入したドメインコントローラのバージョンに依存しますので
設定値はわかりやすいと思いますが、企業で使用しているドメインコントローラは
と、段階的にアップグレードしていることが多そうですので運用担当者が固定化されていないと
実際の設定値がわからないこともあるかと。
# ADMT でマイグレーションする場合と、アップグレードする場合はどちらが多いんでしょね？？
以下の KB にどこを確認すればよいか掲載されています。
Active Directory のシステム状態のバックアップの有効期間について..
[ldp.exe] または [adsiedit.msc] で以下のコンテナを開くと確認できます。
# Windows Server 2008 では標準でインストールされていますが、それ以前のバージョンでは
サポートツールをインストールする必要があります。
LDP.EXE
ADSIEDIT.MSC
ldp で検索する場合は以下のような検索条件で。
Filter と Options の Attributes を設定しています。
?
上記の画像は Windows Server 2003 のサポートツールを使用しているため UI が英語表記ですが、
Windows Server 2008 になると UI が日本語化されています。
直近の案件は AD がらみになりそうなのでいろいろとメモを残していきたいと思います。
検証環境を構築する場合、AD と DSN を同居させるのが一番手間がかからずに楽です。
しかし、実運用環境になると同居させずに AD と DNS を別にすることが多いかと。
Windowsで DNS サーバーを用意して、AD の参照先 DNS として指定しただけでは
[dcpromo] 実行時に
[このコンピュータが使用する DNS サーバーでタイムアウト期間内に応答したものがありませんでした。]
となり、DNS に必要なレコードを登録することができません。
DNS サーバーで以下の手順で事前にリソースレコードを登録しておく必要があります。
(以下の手順は domain.local という ドメインを作成する際の DNS の登録内容です)
これでドメイン用のゾーンが作成されます。
この状態で dcpromot の [DNS の登録の診断] を実行してもまだ DNS 登録のエラーが発生します。
最低でも以下の作業を実施する必要があります。
?
[A レコードの追加]
[SOA レコードの修正]
以上で DNS の設定は完了です。
再度 [DNS の登録の診断] を実行すると正常に診断が完了します。
これで dcpromo が終了後、AD が再起動すると DNS に AD に必要なレコードが登録されます。
# netlogon サービスが実行されることにより、DNS に動的更新がされます。
忘れなようにメモ書きとして残しておきたいと思います。
2009/06/27 追記
NS レコードも FQDN の形式に修正してあげないとだめですね。
NS レコードが FQDN になっていないと親ドメインでスタブゾーンとして子ドメインの DNS ゾーンを
設定しても名前解決ができないです。
親ドメインの DNS に委任で子ドメインのドメインを設定する場合は問題ないのですが。
目下、Windows Server 2008 + SQL Server 2008 のクラスタ環境構築の検証中です。
SQL Server 2005 までは Microsoft 分散トランザクション コーディネータ (MSDTC) のクラスタリソースを
登録していない状態で、ワークステーションコンポーネントをインストールしようとすると、インストーラーを
実行しているのとは違うノードでワークステーションコンポーネントがインストールされるタイミングでエラーが
発生していた気がします。
SQL Server 2008 のクラスタ環境を構築する時に、MSDTC のクラスタリソースを登録していない状態で
ノード追加をするとどのような動きになるか気になったので試してみました。
結果は、MSDTC がインストールされていなくても正常にインストールすることができました。
以前のバージョンでは、一度のインストールで複数ノードを含めてインストールすることができたので、
その中で MSDTC が使われていたのでしょうか？？
SQL Server 2008 ではインストール時は 1 ノードでインストールして、最初のノードのインストール終了後に
2 ノード目以降を追加する形になっていたので、ここら辺の方法の違いが影響しているのでしょうか。
MSDTC のリソース配置方法も含めていろいろと確認したい内容がありそうです。