Amministrazione di Windows

Monitoraggio di Active Directory con MOM

John Hann

Panoramica:

• Management pack per Active Directory
• Suggerimenti di personalizzazione per MOM
• Ottimizzazione degli avvisi

I management pack sono la linfa vitale di Microsoft Operations Manager (MOM) 2005 e sono ciò che lo differenzia dagli altri prodotti di gestione. MOM utilizza dei management pack per riunire regole, report, attività e viste. Il suo ambito può essere limitato a un'applicazione

o un servizio specifico, quale Active Directory. I team del prodotto Microsoft creano i management pack per le applicazioni che sviluppano, assicurando che MOM rifletta la loro conoscenza approfondita del prodotto. Inoltre, i management pack possono essere personalizzati per adattarli al proprio ambiente IT. Si ottengono così regole che monitorano e gestiscono il prodotto in base al particolare ambiente di server e applicazioni.

Non solo esiste un management pack specifico per Active Directory®, ma sono disponibili miriadi di management pack che consentono di misurare l'integrità dei servizi directory: dal sistema operativo base di Windows Server® a DHCP (Dynamic Host Configuration Protocol), DNS, e FRS (Servizio Replica file). Esaminiamo in dettaglio questi management pack per avere una maggiore comprensione della gestione end-to-end di Active Directory possibile attraverso MOM.

Management Pack per DHCP

Il management pack per il servizio DHCP monitora il servizio DHCP in esecuzione su Windows NT®, Windows® 2000 e Windows Server 2003. È opportuno monitorare il DHCP per sapere se i client hanno problemi di collegamento alla rete. Vengono inoltre segnalati i server DHCP non autorizzati in esecuzione nell'ambiente. Il pacchetto disponibile per il download di questo management pack contiene una guida che documenta le regole e i report, come pure gli scenari di controllo e distribuzione. Una fonte preziosa di documentazione e guida aggiuntiva è disponibile nel sito Web di MOM 2005 Technet (microsoft.com/technet/prodtechnol/mom/mom2005).

Più recente è la versione di Windows su cui si esegue il servizio DHCP, maggiori sono le funzionalità e gli strumenti forniti da MOM 2005 per la sua gestione. Pertanto, si ottengono più informazioni su un server DHCP di Windows Server 2003 rispetto a un server DHCP di Windows NT. Per esempio, è possibile monitorare l'ambito esteso di un server DHCP in esecuzione su Windows Server 2003, mentre il management pack per DHCP monitora soltanto gli ambiti normali su un server DHCP di Windows 2000. È possibile evitare il monitoraggio di determinati ambiti specificando che tali ambiti non vengano inclusi come parametri per lo script di monitoraggio.

Come menzionato in precedenza, il management pack per DHCP supporta server DHCP in esecuzione su Windows NT, Windows 2000 Server e Windows Server 2003. I gruppi di computer vengono popolati attraverso formule che utilizzano la versione del sistema operativo e la presenza o meno del servizio Server DHCP sul server.

Il management pack per DHCP non supporta le configurazioni con privilegi limitati. L'account azione dell'agente deve essere membro del gruppo Administrators locale. Il controllo senza agenti è supportato, ma le attività non sono supportate in una configurazione senza agenti. La Figura 1 elenca i report disponibili nel management pack per DHCP.

Figure 1 Report servizi DHCP

È possibile scaricare il management pack per DHCP da go.microsoft.com/fwlink/?LinkId=79527.

Management Pack per DNS

Il management pack per DNS (Domain Name Service) esegue il monitoraggio del servizio DNS in esecuzione su Windows 2000 Server e Windows Server 2003. Poiché fa parte dell'integrità complessiva di un'implementazione di Active Directory, è fondamentale eseguire il monitoraggio del DNS con MOM 2005. Il management pack per DNS monitora i problemi di risoluzione dei nomi, i problemi di database, i problemi del registro di sistema, gli eventi e gli errori di runtime, come pure i contatori legati alle prestazioni.

Per Windows 2000 Server, è necessario installare un provider DNS Strumentazione gestione Windows (WMI). Nello specifico, questo consente al management pack per DNS di eseguire ricerche nello spazio dei nomi DNS WMI per ottenere informazioni ed eseguire verifiche.

I gruppi di computer vengono popolati tutti attraverso formule che utilizzano la versione del sistema operativo e il fatto che il server ospiti o meno il servizio Server DNS per determinare l'appartenenza al gruppo. Il management pack per DNS supporta i privilegi limitati solo in Windows Server 2003. In Windows 2000, l'account azione dell'agente deve essere membro del gruppo Administrators locale. In Windows Server 2003, l'account azione deve essere membro dei gruppi locali Users e Performance Monitor Users. Inoltre, è necessario che l'account azione disponga delle autorizzazioni Gestione file registro di controllo e di protezione (SeSecurityPrivilege) e Consenti accesso locale (SeInteractiveLogonRight). La Figura 2 elenca i report disponibili nel management pack DNS.

Figure 2 Report per il servizio DNS

Marcus Oh, MVP per Microsoft® Systems Management Server (SMS), ha sviluppato uno script che verifica un server DNS richiamando nslookup per verificare la capacità del server DNS di risolvere i nomi. Consultare l'articolo sul suo blog all'indirizzo marcusoh.blogspot.com/2006/05/mom-monitoring-dns-synthetically.html; questo script può essere integrato nel proprio management pack per DNS.

È possibile scaricare il management pack per DNS da go.microsoft.com/fwlink/?LinkId=79528.

Management Pack per FRS

Il management pack per il Servizio Replica file di Windows monitora il servizio FRS in esecuzione su Windows 2000 e Windows Server 2003. FRS è utilizzato dai controller di dominio per replicare gli script di accesso e le informazioni su Criteri di gruppo. Il management pack per FRS fornisce dettagli sull'integrità del servizio FRS per ogni controller di dominio.

Inoltre, utilizza lo strumento Ultrasound, disponibile all'indirizzo go.microsoft.com/fwlink/?LinkId=79529. Ultrasound crea uno spazio dei nomi WMI per FRS su ogni controller di dominio. Notare che Ultrasound richiede un database e memorizza le informazioni dallo spazio dei nomi WMI su ogni controller di dominio per il monitoraggio dello stato del sistema. Utilizzando le informazioni di Ultrasound, il management pack per FRS fornisce il monitoraggio per set di repliche, membri, connessioni, il servizio FRS stesso e il servizio controller di Ultrasound.

Infatti, si consiglia di installare Ultrasound su un server diverso dal server di gestione. Le regole di Ultrasound generano eventi e avvisi per conto di altri computer. Per consentire alle regole di Ultrasound di elaborare i dati correttamente, è necessario attivare il proxy degli agenti nella console amministrazione di MOM su ogni server che esegue Ultrasound. La Figura 3 elenca i quattro report di servizio disponibili nel management pack per FRS.

Figure 3 Report servizi FRS

I gruppi di computer associati a questo management pack contiene server Microsoft Ultrasound 1.0 e server FRS in esecuzione su Windows 2000 Server e Windows Server 2003. I gruppi di computer vengono popolati attraverso formule che utilizzano la versione di sistema operativo e il fatto che il server ospiti o meno il servizio FRS per determinare l'appartenenza al gruppo. Il gruppo Ultrasound Servers viene popolato quando su un server è installato Ultrasound.

Quando si configura il management pack per FRS per privilegi limitati, le attività non funzionano, ma il resto delle funzionalità del management pack è supportato. L'account azione deve avere accesso in lettura al database Ultrasound e autorizzazione per l'esecuzione della stored procedure GetControllerStatusForMOM001. Il management pack per FRS contiene il supporto per il monitoraggio di computer con e senza agente.

È possibile scaricare il management pack per FRS da go.microsoft.com/fwlink/?LinkId=79530.

Management Pack per Windows Server

Il management pack per il sistema operativo base di Windows monitora Windows NT 4.0 Server, Windows 2000 Server e Windows Server 2003. Il management pack del sistema operativo base fornisce report sull'integrità del sistema operativo per i controller di dominio, monitorando inoltre i servizi principali sul sistema. Il management pack fornisce lo stato di servizi di base di Windows, le prestazioni di memoria e processore, lo spazio libero su disco e la latenza del disco. C'è un certo grado di sovrapposizione tra le regole di monitoraggio di questo management pack e gli altri illustrati in questo articolo, ma questo fornisce un'ottima visuale dell'integrità del controller di dominio.

La Figura 4 elenca i report disponibili nel management pack per il sistema operativo base. Come tutti gli altri management pack, i gruppi di computer vengono popolati mediante formule che utilizzano la versione del sistema operativo.

Figure 4 Report per il sistema operativo base

Quando si configura il management pack per il sistema operativo base per il funzionamento con privilegi limitati, in Windows 2000 è necessario che l'account azione sia membro del gruppo Administrators locale. In windows Server 2003 è necessario che l'account azione sia membro dei gruppi locali Users e Performance Monitor Users e abbia le autorizzazioni Gestione file registro di controllo e di protezione (SeSecurityPrivilege) e Consenti accesso locale (il Seinteractivelog onright). La maggior parte delle funzionalità del management pack per il sistema operativo base, eccetto le attività, sono supportate su computer monitorati senza agente.

È possibile scaricare il management pack per il sistema operativo base da go.microsoft.com/fwlink/?LinkId=79531.

Management Pack per Active Directory

Il management pack per Active Directory è molto grande e le sue regole coprono sia Windows 2000 Server che Windows Server 2003. Il management pack per Active Directory comprende cinque aree di regole: monitoraggio lato client, monitoraggio delle relazioni di trust, monitoraggio replica e rilevamento topologia, oltre a regole che riguardano specificamente i sistemi operativi Windows 2000 Server e Windows Server 2003. Come indicato in precedenza, le versioni più recenti di Windows offrono più strumentazione e quindi un monitoraggio aggiuntivo. Per esempio, il management pack supporta il monitoraggio delle relazioni di trust su Windows Server 2003, ma non su Windows 2000.

Il management pack per Active Directory crea numerosi gruppi utilizzati per applicare le regole a computer specifici. Le regole di monitoraggio lato client utilizzano un gruppo denominato Active Directory Client Side Monitoring. Per monitorare e gestire queste regole, i computer su cui è installato l'agente MOM devono essere inseriti in questo gruppo. Ho messo alcuni computer desktop forniti in licenza con l'agente in questo gruppo come pure alcuni dei server Exchange. Il server Exchange fa ampio uso di Active Directory ed è un indicatore principale di un problema di sviluppo. I computer desktop nel gruppo possono aiutare a valutare l'esperienza dell'utente finale. Le regole di monitoraggio lato client utilizzano degli script per verificare la connettività ai controller di dominio, interrogandoli tramite LDAP e fornendo report degli errori. È importante notare che le regole di monitoraggio lato client possono essere applicate soltanto ai computer gestiti tramite agente con proxy abilitato e non ai controller di dominio.

Le regole di monitoraggio delle relazioni di trust utilizzano un gruppo denominato Active Directory Trust Monitoring. Per verificare le relazioni di trust, inserire i computer windows Server 2003 in questo gruppo. Windows Server 2003 dispone di uno spazio dei nomi WMI per il controllo delle relazioni di trust. Queste regole utilizzano uno script per eseguire query sullo spazio dei nomi WMI. Quando vengono rilevati errori nelle relazioni di trust con altri domini, queste regole forniscono avvisi.

Sono disponibili molte regole del management pack per Active Directory che si applicano sia a Windows 2000 Server che a Windows Server 2003. Queste regole delineano le differenze nel modo in cui è stato implementato Active Directory tra i due sistemi operativi. Tuttavia, la maggior parte del management pack per Active Directory rientra nelle regole combinate per entrambi i sistemi operativi. Alcune di queste regole contengono degli script per testare la connettività tra i controller di dominio, verificando i ruoli FSMO (Flexible Single Master Operation) e la dimensione del database DIT (Directory Information Tree), convalidando l'elaborazione di Criteri di gruppo, il controllo di coerenza informazioni (KCC, Knowledge Consistency Checker) e la verifica del servizio Messaggistica tra siti.

Il controllo di replica è il cuore del management pack per Active Directory. Vengono creati due gruppi, Active Directory Replication Latency Data Collection Sources e Active Directory Replication Latency Data Collection Targets, per consentire di configurare i controller di dominio utilizzati soltanto per fornire report sul monitoraggio della replica. La latenza di replica è calcolata per ogni membro dei gruppi di raccolta dati. I contatori delle prestazioni vengono popolati con il tempo necessario agli aggiornamenti per la replica su ciascun membro del gruppo. La latenza di replica a livello di organizzazione è calcolata e segnalata in un report (e vengono generati avvisi) se supera le soglie definite. Notare che su Windows 2000 Server è necessario installare uno spazio dei nomi WMI per il monitoraggio della replica.

Rilevamento topologia nel management pack per Active Directory viene utilizzato per creare diagrammi dell'implementazione. Questi diagrammi utili possono essere esportati in Microsoft Office Visio®. I diagrammi vengono creati in tempo reale da MOM in modo da consentire la creazione di una versione aggiornata in pochi secondi.

In Viste diagrammi nella console operatore di MOM 2005 sono presenti tre diagrammi del management pack per Active Directory. Il diagramma Broken Connection Objects (Oggetti connessione interrotta) (vedere la Figura 5) mostra eventuali connessioni che sono in uno stato di errore. Questo diagramma può essere vuoto se non sono presenti errori di connessione.

Figura 5** Le connessioni interrotte sono evidenziate in Viste diagrammi **

Il diagramma Connection Objects (Oggetti connessione) evidenzia le connessioni tra controller di dominio. Il diagramma Site Links (Collegamenti sito) mostra ogni sito di Active Directory, incapsulando i controller di dominio appropriati in quel sito e i collegamenti del sito.

Poiché i diagrammi creati da MOM per queste viste sono dinamici, è possibile esportarli in Visio per modificarli e personalizzarli con facilità. Per esempio, la Figura 6 mostra il diagramma Site Links (Collegamenti sito) modificato in Visio.

Figura 6** Modifica di un diagramma Site Links (Collegamenti sito) in Visio **(Fare clic sull'immagine per ingrandirla)

La Figura 7 elenca i report disponibili nel management pack per Active Directory. I gruppi di computer associati a questo management pack sono indicati nella Figura 8. Come si può vedere, i gruppi di computer di Active Directory vengono popolati in base all'appartenenza esplicita; i gruppi di computer di Windows vengono popolati in base alla versione del sistema operativo e se il computer è un controller di dominio.

Figure 8 Computer Groups (Gruppi di computer)

Figure 7 Report per Active Directory

Il management pack per Active Directory può essere configurato per privilegi limitati sui controller di dominio Windows Server 2003. Il management pack non supporta il monitoraggio senza agente. Su Windows 2000 Server, l'account azione dell'agente deve essere membro del gruppo Domain Admins o del gruppo Administrators locale. L'account azione dell'agente sui controller di dominio Windows Server 2003 deve disporre di autorizzazioni aggiuntive configurate per i privilegi limitati, compresa l'appartenenza ai gruppi Users e Performance Monitor Users, dell'accesso ai Registri eventi e dei privilegi SeSecurityPrivilege, SeAuditPrivilege e SeInteractiveLogonRight. Inoltre, è richiesto l'accesso seguente: accesso completo al contenitore CN=MomLatencyMonitors in Active Directory per il monitoraggio della replica, accesso in lettura alle directory contenenti il database NTDS.dit e i file registro, infine accesso in lettura alla seguente chiave del registro di sistema:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\NTDS\Parameters

Se si esegue il monitoraggio delle relazioni di trust in Windows Server 2003, notare che lo script AD Monitor Trusts richiede che l'account azione dell'agente sia membro del gruppo Domain Admin o Administrators.

È possibile scaricare il management pack per Active Directory da go.microsoft.com/fwlink/?LinkId=79540.

Personalizzazione di MOM per Active Directory

Occorre configurare il management pack per Active Directory, altrimenti gli avvisi riempiranno la console. Il momento di maggiore impegno del management pack per Active Directory si verifica al riavvio di un controller di dominio. Sembra vengano attivati tutti i possibili avvisi. Il problema è che non è semplice evitarlo. La soluzione migliore consiste nell'utilizzare la modalità manutenzione in MOM per controllare gli avvisi durante la manutenzione programmata di Windows. Lo scopo della modalità manutenzione è risolvere automaticamente gli avvisi per i controller di dominio in modo da non riempire la console.

Accertarsi di configurare il gruppo Active Directory Client Side Monitoring inserendo al suo interno i computer client e i server adeguati. Le regole associate a questo gruppo aiutano a determinare l'integrità di FSMO e la connettività verso di loro.

Ci sono regole prestazioni che utilizzano delle soglie per limitare FSMO mediante LDAP, PING e DNS per verificare la connettività. Queste regole sono localizzate nelle regole prestazioni di Active Directory Availability. Personalizzare le soglie utilizzate da queste regole impostando la gravità degli avvisi. Per esempio, le associazioni FSMO utilizzano valori di attributo espressi in secondi. Le regole prestazioni di ogni ruolo FSMO utilizzano questa metodologia di creazione degli avvisi.

È importante capire come funziona Calcolo gravità avvisi per le impostazioni di Regola di stato. La finestra di dialogo utilizza condizioni If-Else per il valore attributo e di conseguenza imposta la gravità dell'avviso (vedere la Figura 9). Quando la regola raccoglie il contatore di prestazioni Last Bind (Ultimo bind) creato dallo script AD Op Master Response, lo confronta con i valori di soglia condizionali impostate da queste regole. È necessario configurare questi livelli diversi di avviso per il proprio ambiente.

Figura 9** Impostazione delle regole sulla gravità degli avvisi **(Fare clic sull'immagine per ingrandirla)

Ricordare la pianificazione repliche per ciascun controller di dominio. Se un dato controller di dominio presenta una pianificazione diversa dagli altri, devierà i risultati di latenza di replica comportando la necessità di impostare soglie più alte. È necessario impostare i parametri per gli script di replica per soddisfare le esigenze dello specifico ambiente. È importante notare che quando un controller di dominio qualsiasi è inattivo o presenta problemi di replica, tutti gli altri controller di dominio in questi gruppi possono segnalare un errore di replica per tale controller di dominio anche se non è un partner di replica diretto. Tuttavia, anche se il controller di dominio che causa problemi viene posto in modalità di manutenzione, gli altri controller di dominio possono segnalare errori di replica.

Il monitoraggio della replica è l'elemento che richiede i maggiori sforzi per l'ottimizzazione del management pack per Active Directory. Per verificare il comportamento degli avvisi, è necessario eseguire il management pack nel proprio ambiente per un paio di settimane. Una volta osservato lo sviluppo delle tendenze, utilizzare i report per delineare le latenze e ottimizzare di conseguenza le soglie.

Infine, è consigliabile sfruttare la guida fornita in Alert Tuning Solution Accelerator (in inglese).

In futuro

MOM 2005 e il management pack per Active Directory consentono di monitorare in modo efficace ed efficiente l'implementazione di Active Directory della propria organizzazione. Con i management pack per Active Directory, DHCP, DNS, FRS e sistema operativo base di Windows Server, è possibile monitorare meglio la maggior parte degli aspetti della propria infrastruttura, proteggendo l'integrità dell'infrastruttura Active Directory e gli utenti. L'utilizzo dei dati estesi raccolti nel data warehouse dei report consente di analizzare dati su prestazioni ed eventi per migliorare la pianificazione delle capacità e le tendenze nelle prestazioni.

Per trovare i management pack che ho trattato in questo articolo, insieme a tanti altri, vedere Management Pack Catalog (in inglese).

Il prossimo aggiornamento al management pack per Active Directory conterrà la consueta raccolta di correzioni e modifiche per alcune soglie. Più interessanti sono le nuove funzionalità progettate per la prossima versione del prodotto, denominata System Center Operations Manager 2007, tra cui la capacità di monitorare più insiemi di strutture da un singolo gruppo di configurazione, definire gruppi di controller di dominio (ciascuno con la propria latenza di replica prevista tra gli altri gruppi) e monitorare i controller di dominio in esecuzione sulla versione successiva di Windows Server. Per i dettagli, visitare il sito Web di MOM all'indirizzo microsoft.com/mom

John Hann ha lavorato con MOM fin da MOM 2000 ed è stato un MVP di MOM dal 2004; contribuisce inoltre a MyITforum.com, MOMCommunity.com e LearnMOM.com. È possibile contattarlo consultando il suo blog.

© 2008 Microsoft Corporation e CMP Media, LLC. Tutti i diritti riservati. È vietata la riproduzione completa o parziale senza autorizzazione.