Administration de Windows

Surveillance d’Active Directory avec MOM

John Hann

Vue d'ensemble:

• Packs d'administration pour Active Directory
• Conseils relatifs à la personnalisation pour MOM
• Réglage des alertes

Les packs d'administration constituent la force vitale de Microsoft Operations Manager (MOM) 2005, et ce qui différencie ce dernier des autres produits d'administration. MOM utilise des packs d'administration pour réunir des règles, des rapports, des tâches et des vues, et peut limiter sa portée à une application

ou à un service spécifique, par exemple, Active Directory. Les équipes de produits Microsoft créent les packs d'administration pour les applications qu’elles développent, garantissant ainsi que MOM reflète la connaissance approfondie des équipes. De plus, vous pouvez personnaliser les packs d'administration pour les adapter à votre environnement informatique. Vous disposez ainsi de règles qui contrôlent et gèrent le produit en fonction de votre serveur et votre de votre environnement d’application.

Outre un pack d'administration spécifique pour Active Directory®, il existe également une myriade de packs d'administration permettant de mesurer le fonctionnement des services d’annuaire, allant du système d’exploitation Windows Server® au protocole DHCP (Dynamic Host Configuration Protocol), au DNS et au service de réplication de fichiers (FRS). Etudions ces packs d'administration en détail pour mieux comprendre l'administration de bout en bout d’Active Directory que permet MOM.

Pack d'administration pour Microsoft Windows DHCP Service

Le pack d'administration pour Microsoft Windows DHCP Service surveille le service DHCP s’exécutant sur Windows NT®, Windows® 2000 et Windows Server 2003. La surveillance du protocole DHCP permet de détecter les éventuelles difficultés de connexion au réseau des clients. Vous serez également averti de la présence de serveurs DHCP non autorisés s’exécutant dans votre environnement. Le package de téléchargement de ce pack d'administration contient un manuel décrivant les règles et les rapports, et qui permet de surveiller les scénarios et le déploiement. Vous trouverez des manuels et des conseils supplémentaires sur le site Web Technet de MOM 2005 (microsoft.com/technet/prodtechnol/mom/mom2005).

Plus la version de Windows que vous exécutez pour le service DHCP est récente, plus le nombre d’outils et de fonctionnalités fournies par MOM 2005 pour l'administration est élevé. Vous obtiendrez ainsi plus d’informations sur un serveur DHCP Windows Server 2003 que sur un serveur DHCP Windows NT. Par exemple, vous pouvez surveiller les étendues globales d’un serveur DHCP s’exécutant sur Windows Server 2003, alors que le pack d'administration pour Microsoft Windows DHCP Service surveille uniquement les étendues standard sur un serveur DHCP Windows 2000. Vous pouvez exclure des étendues de la surveillance en les excluant des paramètres du script de surveillance.

Comme indiqué précédemment, le pack d'administration pour Microsoft Windows DHCP Service prend en charge les serveurs DHCP s’exécutant sous Windows NT, Windows 2000 Server et Windows Server 2003. Les groupes d’ordinateurs sont alimentés par des formules utilisant la version du système d’exploitation, et ils dépendent de l’hébergement du service DHCP par le serveur.

Le pack d'administration pour Microsoft Windows DHCP Service ne prend pas en charge les configurations à privilèges limités. Le compte d’action d'agent doit être un membre du groupe Administrateurs locaux. La surveillance sans agent est prise en charge, mais les tâches ne le sont pas dans une configuration sans agent. La figure 1 répertorie les rapports disponibles dans le pack d'administration Microsoft Windows DHCP Service.

Figure 1 Rapports du service DHCP

Vous pouvez télécharger le pack d'administration pour Microsoft Windows DHCP Service depuis le site Web suivant : go.microsoft.com/fwlink/?LinkId=79527.

Pack d'administration pour Microsoft Windows Domain Name System (DNS)

Le pack d'administration pour Microsoft Windows Domain Name System (DNS)) surveille le service DNS s’exécutant sous Windows 2000 Server et Windows Server 2003. La surveillance de DNS avec MOM 2005 est essentielle, car elle fait partie intégrante de l'état général de l’implémentation d’Active Directory. Le pack d'administration pour Microsoft Windows Domain Name System (DNS) surveille les problèmes de résolution de noms, les problèmes de base de données et de registre, les événements et erreurs d’exécution, ainsi que les compteurs de performances associés.

Pour Windows 2000 Server, vous devez installer un fournisseur de DNS Windows Management Instrumentation (WMI). En particulier, cela permet au pack d'administration pour Microsoft Windows Domain Name System (DNS) d’interroger l’espace de noms DNS WMI pour obtenir des informations et pour les tests.

Les groupes d’ordinateurs sont alimentés grâce à des formules utilisant le système d’exploitation, et ils permettent de définir si le serveur héberge le service DNS Server pour déterminer l’appartenance à un groupe. Le pack d'administration pour Microsoft Windows Domain Name System (DNS) prend en charge les privilèges limités sous Windows Server 2003 uniquement. Sous Windows 2000, le compte d’action doit être membre du groupe Administrateurs locaux. Sous Windows Server 2003, le compte d’action doit être membre des groupes Utilisateurs et Utilisateurs de l’Analyseur de performances locaux. De plus, le compte d’action doit disposer des autorisations Gérer le journal d’audit et de sécurité (SeSecurityPrivilege) et Permettre l'ouverture d'une session locale (SeInteractiveLogonRight). La figure 2 répertorie les rapports disponibles dans le pack d'administration pour Microsoft Windows Domain Name System (DNS).

Figure 2 Rapports du service DNS

Marcus Oh, MVP pour Microsoft® Systems Management Server (SMS), a développé un script qui teste le serveur DNS en appelant nslookup pour vérifier la capacité de résolution des noms du serveur DNS. Prenez le temps de consulter le contenu de son blog sur la page marcusoh.blogspot.com/2006/05/mom-monitoring-dns-synthetically.html. Vous souhaiterez sans doute intégrer ce script à votre pack d'administration pour Microsoft Windows Domain Name System (DNS).

Vous pouvez télécharger le pack d'administration pour Microsoft Windows Domain Name Service (DNS) depuis la page Web go.microsoft.com/fwlink/?LinkId=79528.

Pack d'administration pour Microsoft Windows File Replication Service (FRS)

Le pack d'administration pour Microsoft Windows File Replication Service (FRS) surveille le service FRS s’exécutant sous Windows 2000 et Windows Server 2003. Les contrôleurs de domaine utilisent FRS pour répliquer les scripts d’ouverture de session et les informations de stratégie de groupe. Le pack d'administration pour Microsoft Windows File Replication Service (FRS) décrit en détail l'état du service FRS pour chaque contrôleur de domaine.

Le pack d'administration pour Microsoft Windows File Replication Service (FRS) utilise l’outil Ultrasound disponible depuis la page Web go.microsoft.com/fwlink/?LinkId=79529. Cet outil permet de créer un espace de noms WMI pour FRS sur chaque contrôleur de domaine. Notez qu’Ultrasound requiert une base de données et enregistre les informations de l’espace de noms WMI sur chaque contrôleur de domaine pour la surveillance du fonctionnement. À l’aide des informations fournies par Ultrasound, le pack d'administration pour Microsoft Windows File Replication Service (FRS) assure la surveillance des ensembles de répliques, des membres, des connexions, du service FRS lui-même, ainsi que du service du contrôleur d’Ultrasound.

En fait, vous devez installer Ultrasound sur un serveur distinct du serveur d'administration. Les règles Ultrasound produisent des événements et des alertes pour le compte d’autres ordinateurs. Afin que les règles Ultrasound puissent traiter les données correctement, vous devez activer le proxy d’agent dans la console d’administration MOM sur chaque serveur exécutant Ultrasound. La figure 3 répertorie les rapports disponibles dans le pack d'administration pour Microsoft Windows File Replication Service (FRS).

Figure 3 Rapports du service FRS

Les groupes d’ordinateurs associés à ce pack d'administration incluent les serveurs Microsoft Ultrasound 1.0, ainsi que les serveurs FRS s’exécutant sous Windows 2000 Server et Windows Server 2003. Les groupes d’ordinateurs sont tous alimentés à l’aide de formules utilisant la version du système d’exploitation et indiquent si le serveur héberge le service FRS pour déterminer l’appartenance au groupe. Le groupe Serveurs Ultrasound est alimenté lorsque vous installez Ultrasound sur un serveur.

Lorsque vous configurez le pack d'administration pour Microsoft Windows File Replication Service (FRS) pour accepter les privilèges réduits, les tâches ne fonctionnent pas, mais les autres fonctionnalités du pack d'administration sont prises en charge. Le compte d’action doit disposer de l’accès en lecture à la base de données Ultrasound et l’autorisation d’exécution pour la procédure stockée GetControllerStatusForMOM001. Le pack d'administration pour Microsoft Windows File Replication Service (FRS) prend en charge la surveillance des ordinateurs sans agent et avec agent.

Vous pouvez télécharger le pack d'administration pour Microsoft Windows File Replication Service (FRS) depuis la page Web: go.microsoft.com/fwlink/?LinkId=79530.

Pack d'administration Windows Server

Le pack d'administration pour le système d'exploitation Microsoft Windows surveille Windows NT 4.0 Server, Windows 2000 Server et Windows Server 2003. Le pack d'administration de système d’exploitation de base crée des rapports de fonctionnement du système d’exploitation pour vos contrôleurs de domaine et surveille les services racines du système. Le pack d’administration fournit des données d'état sur les services Windows principaux, la performance de mémoire et du processeur, ainsi que sur l’espace libre de disque et la latence de disque. Il arrive que les règles de surveillance de ce pack d'administration se chevauchent avec d’autres dans règles abordées dans cet article, mais elles offrent une bonne vue d’ensemble de l'état du contrôleur de domaine.

La figure 4 illustre les rapports disponibles dans le pack d'administration pour le système d'exploitation Microsoft Windows. Comme c'est le cas pour les autres packs d'administration, les groupes d’ordinateurs sont alimentés par des formules qui utilisent la version du système d’exploitation.

Figure 4 Rapports du système d'exploitation de base

Lorsque vous configurez le pack d'administration pour le système d'exploitation Microsoft Windows pour qu’il accepte les privilèges réduits, Windows 2000 exige que le compte d’action soit membre du groupe Administrateurs locaux. Windows Server 2003 exige que le compte d’action soit membre des groupes Utilisateurs et Utilisateurs de l'analyseur de performances locaux, et qu’il dispose des autorisations Gérer les journaux d’audit et de sécurité (SeSecurityPrivilege) et Permettre l’ouverture d’une session locale (SeInteractiveLogonRight). La plupart des fonctions du pack d'administration pour le système d'exploitation Microsoft Windows, à l’exception des tâches, sont prises en charge sur des ordinateurs surveillés sans agent.

Vous pouvez télécharger le pack d'administration pour le système d'exploitation Microsoft Windows depuis la page Web go.microsoft.com/fwlink/?LinkId=79531.

Pack d'administration pour Microsoft Windows Active Directory

Le pack d'administration pour Microsoft Windows Active Directory est très extensif et ses règles couvrent Windows 2000 Server et Windows Server 2003. Le pack d'administration pour Microsoft Windows Active Directory inclut cinq zones de règles : surveillance côté client, surveillance de la fiabilité, surveillance de la réplication et découverte de la topologie, plus des règles couvrant les systèmes d’exploitation Windows 2000 Server et Windows Server 2003. Comme indiqué précédemment, les nouvelles versions de Windows permettent l'utilisation d'un plus grand nombre d'outils et par la même occasion, une surveillance accrue. Par exemple, le pack d'administration prend en charge la surveillance de la fiabilité sur Windows Server 2003, mais non sur Windows 2000.

Le pack d'administration pour Microsoft Windows Active Directory crée plusieurs groupes utilisés pour appliquer des règles aux ordinateurs spécifiques. Les règles de surveillance côté client utilisent le groupe Surveillance côté client Active Directory. C’est dans ce groupe que vous placez les ordinateurs disposant de l’agent MOM installé pour surveiller et gérer ces règles. J’ai placé quelques ordinateurs de bureau disposant de la licence de l’agent dans ce groupe, ainsi que quelques serveurs Exchange. Exchange Server utilise énormément Active Directory et sera le premier indicateur d'un problème en latent. Les ordinateurs de bureau du groupe peuvent vous aider à évaluer l’expérience utilisateur final. Les règles de surveillance côté client utilisent des scripts pour tester la connectivité aux contrôleurs de domaine. Ceux-ci les interrogent via le protocole LDAP, et signalent les échecs. Il est important de noter que vous ne pouvez appliquer les règles de surveillance côté client qu’aux ordinateurs gérés par un agent dont la fonction de proxy est activée, mais qui ne sont pas des contrôleurs de domaine.

Les règles de surveillance de la fiabilité utilisent le groupe Surveillance de la fiabilité Active Directory. C'est dans ce groupe que vous placez les ordinateurs Windows Servers 2003 pour tester la fiabilité. Windows Servers 2003 inclut un espace de noms WMI pour la surveillance de la fiabilité. Un script est utilisé par ces règles pour interroger l’espace de noms WMI. Lorsque des erreurs de fiabilité avec d’autres domaines sont détectées, ces règles vous alertent.

De nombreuses règles du pack d'administration pour Microsoft Windows Active Directory s’appliquent à Windows 2000 Server ou Windows Server 2003. Ces règles définissent les différences d’implémentation d’Active Directory entre les deux systèmes d’exploitation. Cependant, vous trouverez la plupart des fonctions du pack d'administration pour Microsoft Windows Active Directory dans les règles combinées des deux systèmes d’exploitation. Certaines de ces règles incluent des scripts permettent de tester la connectivité entre les contrôleurs de domaine en vérifiant les détendeurs de rôle FSMO (Flexible Single-Master Operation) et la taille de la base de données de l’arborescence d’information d’annuaire (DIT) et en validant le traitement de la stratégie de groupe, l’inspection du vérificateur de cohérence de la connaissance (KCC ) et le test du service de messagerie intersites.

La surveillance de la réplication est la pièce maîtresse du pack d'administration pour Microsoft Windows Active Directory. Deux groupes, Collecte des données de latence de la réplication Active Directory - Sources et Collecte des données de latence de la réplication Active Directory - Cibles sont en place pour vous permettre de configurer les contrôleurs de domaine utilisés uniquement pour signaler les événements de la de la réplication. La latence de la réplication est calculée pour chaque membre des groupes de collecte de données. Les compteurs de performances sont alimentés avec la durée de la réplication des mises à jour sur chaque membre du groupe. La latence de la réplication à l'échelle de l'entreprise est calculée et signalée (et des alertes sont générées) si les seuils définis sont dépassés. Notez que vous devez installer un espace de noms WMI pour la surveillance de la réplication sur Windows 2000 Server.

La découverte de topologie dans le pack d'administration pour Microsoft Windows Active Directory est utilisée pour créer des diagrammes de votre implémentation. Ces diagrammes utiles peuvent être exportés vers Microsoft Office Visio®. Les diagrammes sont créés en temps réel par MOM de sorte que vous pouvez obtenir une version à jour en quelques secondes.

Dans les vues de diagrammes de la Console de l’opérateur MOM 2005, trois diagrammes du pack d'administration pour Microsoft Windows Active Directory sont disponibles. Le diagramme Objets de connexions cassées (figure 5) affiche les connexions présentant un état d’erreur. Ce diagramme peut être vierge s’il n’existe pas d’erreur de connexion.

Figure 5** Les connexions cassées apparaissent en surbrillance dans la vue de diagramme. **

Le diagramme Objets de connexion met en surbrillance les connexions entre les DC. Le diagramme Liaisons entre sites affiche chaque site Active Directory, encapsulant les contrôleurs de domaine appropriés dans ce site et liaisons entre les sites connectés.

Les diagrammes créés par MOM pour ces vues étant dynamiques, vous pouvez les exporter vers Visio pour les modifier et les personnaliser facilement. Par exemple, la figure 6 illustre le diagramme Liaisons entre sites en cours de modification dans Visio.

Figure 6** Modification d’un diagramme Liaisons entre sites dans Visio **(Cliquer sur l'image pour l'agrandir)

La figure 7 répertorie les rapports disponibles dans le pack d'administration pour Microsoft Windows Active Directory. Les groupes d’ordinateurs associés à ce pack d'administration apparaissent à la figure 8. Comme vous pouvez le constater, les groupes d’ordinateurs Active Directory sont alimentés par l’appartenance explicite. Les groupes d’ordinateurs Windows sont alimentés selon la version du système d’exploitation et que la machine est un contrôleur de domaine.

Figure 8 Groupes d’ordinateurs

Figure 7 Rapports Active Directory

Le pack d'administration pour Microsoft Windows Active Directory peut être configuré pour les privilèges limités sur les contrôleurs de domaine de Windows Server 2003. Le pack d'administration ne prend pas en charge la surveillance sans agent. Sous Windows 2000 Server, le compte d’action d’agent doit se trouver dans le groupe Administrateurs du domaine ou Administrateurs locaux. Le compte d’action d’agent sur les contrôleurs de domaine Windows Server 2003 doivent disposer d’autorisations supplémentaires pour être configuré pour des privilèges limités, et doivent notamment être membres des groupes Utilisateurs et Utilisateurs de l’analyseur de performances, avoir accès aux journaux d’événements et bénéficier des privilèges SeSecurityPrivilege, SeAuditPrivilege et SeInteractiveLogonRight. En outre, les accès suivants sont requis : accès complet au conteneur CN=MomLatencyMonitors dans Active Directory pour la surveillance de la réplication, accès en lecture aux annuaires contenant la base de données et les fichiers journaux NTDS.dit et accès en lecture aux clés de registre suivantes :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\NTDS\Parameters

Si vous surveillez la fiabilité dans Windows Server 2003, notez que le script AD Monitor Trusts requiert que le compte d’action d’agent dispose de l’appartenance aux groupes Administrateurs de domaine ou Administrateurs.

Vous pouvez télécharger le pack d'administration pour Microsoft Windows Active Directory sur la page go.microsoft.com/fwlink/?LinkId=79540.

Personnalisation de MOM pour Active Directory

Le pack d'administration pour Microsoft Windows Active Directory doit être configuré sans quoi les alertes satureront votre console. Le moment le plus bruyant pour le pack d'administration pour Microsoft Windows Active Directory survient au redémarrage d’un contrôleur de domaine, car toutes les alertes se déclenchent. Malheureusement, il est difficile d’arrêter cette procédure. La meilleure solution consiste à utiliser le mode maintenance de MOM pour contrôler les alertes pendant les périodes de maintenance prévues. Le but du mode maintenance est de résoudre automatiquement les alertes pour les contrôleurs de domaine afin d’éviter la saturation de la console.

Veillez à configurer le groupe Surveillance côté client Active Directory en plaçant des ordinateurs clients et des serveurs appropriés dans le groupe. Les règles associées à ce groupe vous aident à déterminer l'état de vos FSMO et leur connectivité.

Certaines règles de performances utilisent des seuils pour relier les FSMO, et les protocoles et requêtes LDAP, PING et DNS pour vérifier la connectivité. Ces règles se trouvent dans les règles de performances disponibles d’Active Directory. Vous devez personnaliser les seuils utilisés par ces règles en définissant la gravité d’alerte. Par exemple, les liaisons FSMO utilisent des valeurs d’attribut en secondes. Les règles de performances de chaque rôle FSMO utilisent cette méthodologie de création d’alerte.

Il est important de comprendre comment les paramètres Détermination de la gravité d'alerte pour une règle d'état fonctionnent. La boîte de dialogue utilise les conditions If-Else pour la valeur d’attribut et définit la gravité d’alerte en conséquence (voir la figure 9). Lorsque la règle relève le compteur de performances Dernière liaison créé par le script Op Master Response, elle effectue une comparaison avec les seuils conditionnels définis par ces règles. Vous devez configurer ces niveaux d’alerte pour votre environnement.

Figure 9** Définition des règles de gravité d’alerte **(Cliquer sur l'image pour l'agrandir)

Rappelez-vous de la planification de la réplication pour chaque contrôleur de domaine. Si un contrôleur de domaine donné a une planification différente des autres, il modifiera les résultats de latence de la réplication et vous forcera à définir des seuils plus élevés. Vous devez définir les paramètres des scripts de réplication en fonction des besoins de votre environnement. Il est important de noter que lorsqu’un contrôleur de domaine est arrêté ou que des problèmes de réplication se produisent, tous les autres contrôleurs de domaine de ces groupes peuvent signaler un échec de la réplication pour ce contrôleur de domaine, même s’il ne s’agit pas d’un partenaire de réplication direct. Ainsi, même si vous placez le contrôleur de domaine fautif en mode maintenance, les autres contrôleurs de domaine peuvent signaler les échecs de réplication.

Vous devez concentrer tous vos efforts sur la surveillance de la réplication pour optimiser le pack d'administration pour Microsoft Windows Active Directory. Il est recommandé d'exécuter le pack d'administration dans votre environnement pendant deux semaines pour vérifier sa procédure d’alerte. Lorsque vous voyez une tendance se développer, utilisez les rapports pour définir les latences et régler les seuils en conséquence.

Pour terminer, vous trouverez de nombreux conseils utiles auprès du service Alert Tuning Solution Accelerator.

Perspectives

MOM 2005 et le pack d'administration pour Microsoft Windows Active Directory vous permettent de surveiller de manière efficace l’implémentation d’Active Directory dans votre organisation. Avec les packs d'administration pour Microsoft Windows Active Directory, Microsoft Windows DHCP Service, Microsoft Windows Domain Name System (DNS), Microsoft Windows File Replication Service (FRS) et le système d’exploitation Microsoft Windows, vous pouvez mieux surveiller la plupart des aspects de votre infrastructure, en protégeant le fonctionnement de l’infrastructure d’Active Directory, ainsi que de vos utilisateurs. L’utilisation des nombreuses données recueillies dans votre data warehouse de rapport vous permet d'analyser vos performances et données d’événement afin de planifier la capacité et de déterminer des tendances en matière de performances.

Pour obtenir les packs d'administration que j’ai abordés dans cet article, ainsi que bien d’autres, reportez-vous au Catalogue des packs d'administration.

La prochaine mise à jour du pack d'administration pour Microsoft Windows Active Directory contiendra tous les correctifs habituels et des améliorations de certains seuils. Les nouvelles fonctionnalités planifiées pour la prochaine version du produit, appelée System Center Operations Manager 2007, sont des plus intéressantes, notamment la possibilité de surveiller plusieurs forêts depuis un seul groupe de configuration, de définir des groupes de contrôleurs de domaine (chacun avec sa propre latence de réplication prévue parmi d’autres groupes) et de surveiller les contrôleurs de domaine s’exécutant sur la prochaine version de Windows Server. Pour plus d'informations, consultez le site Web de MOM à l’adresse microsoft.com/mom.

John Hann travaille sur MOM depuis MOM 2000 et est MVP MOM depuis 2004. Il contribue à MyITForum.com, MOMCommunity.com et LearnMOM.com. Vous pouvez le contacter par l’intermédiaire de son blog.

© 2008 Microsoft Corporation et CMP Media, LLC. Tous droits réservés. Toute reproduction, totale ou partielle, est interdite sans autorisation préalable.