2台以上のActiveDirectoryが冗長化されているか検証する方法

複数のドメインコントローラー（DC）を用意しても、複製やDNSに問題があれば片側停止時に認証できないことがあります。本記事では、検証用クライアントで片側DC停止時のドメインログオンを確認する方法を解説します。これは認証の一部の試験であり、AD全体の可用性を一度に証明するものではありません。

AD2台以上の構築方法

DCの追加構築は以下を参考にし、構築後は複製・DNS・SYSVOLの正常性を別途確認します。

Active Directory (AD) 複製サーバーの構築方法｜ADは２台以上構成での冗長化が必須

停止試験の前に確認すること

本番DCの停止は利用者や連携システムに影響します。バックアップと復旧手順、保守承認、DNS・グローバルカタログ・FSMOなどの役割と依存先を確認し、まず検証環境で試してください。管理者は両DCのイベントログと複製状態を事前に読み取って確認します。例えばrepadmin /replsummaryやrepadmin /showreplで失敗・最終成功時刻を確認します。診断で異常があるまま停止試験を始めず、/fixや強制複製を確認コマンドに混ぜないでください。

検証用クライアントの準備

冗長化の検証方法としては、実際にADを停止させて1台のみでADを動作せてログオンが正常にできるのか確認します。ただ、１度ドメインユーザーでログオンをするとログオン情報がクライアントにキャッシュされADと疎通ができなくなってもログオンが可能な仕様になっています。これではテストになりません

そこで、以下の方法で検証用クライアントではログオン情報をキャッシュしない設定にしておきます。

GPOでログオン情報のキャッシュを無効にする方法｜ADと疎通不可の場合はログオン不可にする

冗長化検証手順

AD2台構成の環境で検証手順を説明していきます。

１．キャッシュ設定の元値と適用範囲を記録し、検証用クライアントだけでドメインログオンのキャッシュを無効化します。全社端末へ展開しないでください。ネットワーク切断後も端末を復旧できるローカル管理者と手順を先に確保します。

GPOでログオン情報のキャッシュを無効にする方法｜ADと疎通不可の場合はログオン不可にする

２．作業を保存してサインアウトし、検証用クライアントからLANケーブルを抜きます。Wi-FiやVPNなど別経路が残っているとDCへ到達できるため、管理者が検証対象の接続状況を確認します。

３．DCと疎通不可能な状態で、検証対象のドメインユーザーとパスワードで新しくログオンできないことを確認します。ローカルユーザーのログオンや、既存セッションのロック解除を成功・失敗の判定に混ぜないでください。

４．事前承認した保守時間に、停止対象のDCを正常シャットダウンします。残るDCが稼働していることを確認し、2台同時に停止しないでください。

５．検証用クライアントをLANケーブルに接続して、ADと疎通可能な状態にしてログオンをします。

６．ログオンが可能なら、今回のクライアント・ユーザー・接続経路における片側停止時の認証を確認できたと記録します。時刻、停止したDC、稼働中のDC、クライアント、エラーの有無を残します。これだけで複製、SYSVOL/GPO、DNS、業務アプリ、FSMO依存処理まで正常とは判定しません。

７．停止したDCを復帰させ、サービス・複製・DNSの正常性を確認してから、もう一台を対象に同様の試験を行います。異常があれば次の停止試験へ進まず、先に復旧します。両側の試験後はキャッシュ設定と接続を元へ戻し、通常ログオンを確認します。

DNSの冗長化検証

ADサーバーに一般的に同居しているDNSサーバーの検証は別途実施する必要があります。以下の記事をご参照ください。

2台以上の内部DNSが冗長化されているか検証する二つの方法

公式資料

Microsoft DCDiag、AD複製の問題の調査、Microsoft AskDSのキャッシュログオン解説。