Compartir a través de

Solución de problemas del error de replicación de AD 8461

En este artículo se describen los síntomas, la causa y los pasos de resolución para los casos en los que la replicación de AD se retrasa y genera el error 8461 de Win32:

Se adelantó la operación de replicación.

Número de KB original: 2981628

Síntomas

Los síntomas específicos son los siguientes:

  • Síntoma 1:

    DCDIAG informa de que se ha producido un error en la prueba de replicación de Active Directory con el estado de error (8461): se adelantó la operación de replicación.

    El texto de error de ejemplo de DCDIAG es similar al siguiente:

    Servidor de pruebas: <nombre del controlador de dominio del sitio><>
    Prueba inicial: Replicaciones
    * Comprobación de replicaciones

    ADVERTENCIA DE LATENCIA DE REPLICACIÓN
    [Comprobación de replicaciones,<>Nombre del controlador de dominio] Esta ruta de acceso de replicación se adelantó por trabajo de mayor prioridad.
    Desde el controlador de dominio> de <origen hasta el <controlador de dominio de destino>
    Contexto de nomenclatura: ruta de acceso DC=<DN>
    La replicación generó un error (8461):
    Se adelantó la operación de replicación.
    Se retrasará la replicación de nuevos cambios a lo largo de esta ruta de acceso.
    El progreso se produce normalmente en esta ruta de acceso.

  • Síntoma 2:

    REPADMIN.EXE informa de que el último intento de replicación se retrasó por un motivo normal, resultado 8461 (0x210d).

    REPADMIN Los comandos que suelen citar el estado 8461 incluyen, pero no se limitan a:

    • REPADMIN /REPLSUM
    • REPADMIN /SHOWREPL
    • REPADMIN /SHOWREPS
    • REPADMIN /SYNCALL

  • Síntoma 3:

    Repadmin /rehost produce un error y genera el código de estado 8461.

  • Síntoma 4:

    Repadmin /queue output revela una o varias tareas que tienen el estado "PREEMPTED".

    [12142] Puesta en cola 2011-11-26 06:05:55 en la prioridad 40
    SINCRONIZACIÓN DESDE EL ORIGEN
    NC dc=west,dc=contoso,dc=com
    GUID <DEL GUID del objeto DSA DSA de DSA de DSA de DSA>
    GUID> del agregador <de transporte DSA._msdcs.contoso.com
    ASYNCHRONOUS_OPERATION NEVER_COMPLETED NEVER_NOTIFY PREEMPTED

  • Síntoma 5:

    El comando "replicar ahora" en Sitios y servicios de Active Directory (DSSITE). MSC) produce un error y genera el siguiente mensaje de error:

    Se adelantó la operación de replicación.

    Título del cuadro de diálogo: Replicar ahora
    Texto del mensaje: se produjo el siguiente error durante el intento de sincronizar el nombre DNS de contexto <de nomenclatura de la partición> de directorio desde el controlador de dominio de origen del controlador <de dominio.>
    a controlador de <dominio de destino DC>:
    Se adelantó la operación de replicación.

  • Síntoma 6:

    Los eventos del registro de eventos de Servicios de directorio citan el estado de error 8461.

    Origen de eventos e id. de evento Mensaje
    Replicación NTDS 1839 El siguiente número de operaciones está esperando en la cola de replicación. La operación más antigua ha estado esperando desde la siguiente hora. Hora: <fecha><y hora> Número de operaciones en espera: <valor> Esta condición puede producirse si la carga de trabajo de replicación general en este controlador de dominio es demasiado grande o el intervalo de replicación es demasiado pequeño.
    Replicación NTDS 2094 Advertencia de rendimiento: la replicación se ha retrasado al aplicar cambios al objeto siguiente. Si este mensaje se produce con frecuencia, indica que la replicación se está produciendo lentamente y que el servidor puede tener dificultades para mantenerse al día con los cambios.

    Origen: Replicación NTDS
    Identificador de evento 1839
    Tipo: Advertencia
    Descripción:
    El siguiente número de operaciones está esperando
    en la cola de replicación. La operación más antigua tiene
    ha estado esperando desde el momento siguiente.
    Hora:
    Número de operaciones en espera:
    Esta condición puede producirse si el valor general
    carga de trabajo de replicación en este controlador de dominio
    demasiado grande o el intervalo de replicación es demasiado pequeño.

    Nota:

    El evento 1580 también se registra cuando se completan las tareas de replicación de ejecución prolongada si se ha establecido el registro detallado de diagnósticos de replicación en un valor de 0x1 o superior.

    [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\NTDS\Diagnostics] "5 Eventos de replicación"=dword:00000001

    Origen de eventos e id. de evento Cadena de evento
    Replicación NTDS 1580 Una tarea de replicación entrante de Servicios de dominio de Active Directory de ejecución prolongada ha finalizado con los parámetros siguientes.

    Tiempo transcurrido (minutos):
    84

    Operación:
    Sincronizar réplica

    Opciones:
    0x21000051

    Parámetro 1:
    DC=Contoso,DC=com

    Parámetro 2:
    <guid del objeto de objeto ntds de configuración de los controladores de dominio de origen>

    Parámetro 3:

    Parámetro 4:

    Una tarea de replicación de larga duración también puede producirse cuando un sistema no está disponible o una partición de directorio no está disponible durante un período prolongado de tiempo. Una tarea de replicación de larga duración puede indicar un gran número de actualizaciones o una serie de actualizaciones complejas que se producen en el servicio de directorio de origen. La realización de estas actualizaciones durante tiempos no críticos puede evitar retrasos en la replicación.

    Una tarea de replicación de larga duración es normal en el caso de agregar una nueva partición de directorio a Servicios de dominio de Active Directory. Esto puede ocurrir debido a una nueva instalación, promoción de catálogo global o una conexión generada por el Comprobador de coherencia de conocimiento (KCC).

    Datos adicionales

    Valor de error:

    La operación se ha completado correctamente.

Causa

Este estado de replicación se devuelve cuando hay tareas de replicación de mayor prioridad en la cola de entrada de controladores de dominio de destino. No indica una condición de error; La tarea de replicación no se cancela, sino que la tarea se coloca en un patrón de retención hasta que se completa el trabajo de prioridad más alta. Es normal ver este mensaje devuelto periódicamente en entornos más grandes y es importante tener en cuenta que la condición es transitoria.

Aunque este problema es común y transitorio, otros problemas de replicación de AD pueden provocar un trabajo pendiente en la cola. Si esto ocurre, es posible que empiece a ver que las tareas de replicación se adelanten con frecuencia. El registro frecuente del evento 2094 "Advertencia de rendimiento" (el evento de ejemplo se muestra en las secciones "Síntomas" y "Resolución") es otra indicación de que la solución de problemas puede ser necesaria.

Investigar esos problemas
Explicación de la prioridad de repadmin /queue replicación y

Análisis de la salida de cola con el tiempo para determinar si se están procesando las tareas
Explicación de repadmin /showrepl /verbose

Se ha adelantado la replicación de Active Directory. El progreso de la replicación entrante se interrumpió mediante una solicitud de replicación de mayor prioridad, como una solicitud generada manualmente con el repadmin /sync comando . Espere a que se complete la replicación. Este mensaje informativo indica un funcionamiento normal.

Carga de replicación

  • Demasiados asociados
  • Demasiada frecuencia con las actualizaciones de objetos y atributos
  • Actualizaciones frecuentes combinadas con la notificación de cambios entre sitios que da como resultado una alta tasa de notificaciones de cambios redundantes
  • Ventana de programación de replicación pequeña

Problema basado en el rendimiento

  • Rendimiento de disco o memoria
  • Rendimiento de la red

Solución

Este estado no indica una condición de error. Se trata de un problema temporal en muchos casos y no se requieren pasos de resolución.

Si el estado 8461 nunca se borra, hay mucho trabajo que hacer para determinar la ruta de acceso correcta que se debe realizar. Este problema requiere conocimientos avanzados de varias herramientas de solución de problemas. Puede ser necesario buscar la ayuda de Soporte técnico de Microsoft para ayudar con el proceso de análisis de datos.

Tendrá que determinar la causa antes de implementar los pasos para resolver un problema subyacente. La causa del estado de replicación 8461 puede producirse en cualquiera de los escenarios siguientes:

  • Condición transitoria

  • Carga de replicación

    • Carga coherente
    • Carga temporal

  • Problema de rendimiento

    • Rendimiento de SO
    • Rendimiento de disco
    • Rendimiento de la red

Determine si se trata solo de una condición transitoria. Documente la hora en que se inicia la replicación manual y busque las tareas correspondientes en la repadmin /queue salida. En algún momento, ejecute repadmin /queuey determine si las tareas iniciadas manualmente siguen estando presentes.

Si se ponen en cola las tareas de replicación. Examine la tarea que se está ejecutando actualmente e investigue.

Use los datos del registro de eventos, la salida de repadmin y el monitor de rendimiento para ayudar a aislar la causa del problema. Determine la rapidez con la que se procesan las actualizaciones y la tasa de cambio.

Carga de replicación

Continuo

El controlador de dominio tiene demasiados asociados de replicación o una carga de replicación demasiado grande. Los síntomas de un controlador de dominio sobrecargado serían:

  • Una cola de replicación que nunca se borra aunque las tareas de replicación se procesen de forma oportuna

    Nota:

    Puede usar repadmin /queue con el tiempo y correlacionar esto con los datos de rendimiento para identificar este escenario.

  • Repetición frecuente del estado de replicación 8461

  • Solución: reduzca las conexiones entrantes (equilibre las conexiones entre los controladores de dominio de sitio central (ADLB.exe es útil aquí), agregue nuevos controladores de dominio y reequilibrar las conexiones, implemente RODC en sitios de radio y reduzca la replicación excesiva de los cambios.

Replicación excesiva

Atributos que se actualizan con frecuencia. Identifique las actualizaciones de atributos mediante eventos detallados del registro de eventos de replicación (o mediante repadmin /showchanges) y, a continuación, correlacione con repadmin /showobjmeta para varios objetos en el controlador de dominio de destino. Examine el atributo identificado en el evento y busque un número de versión alto o obtenga varios registros para el mismo objeto a lo largo del día y compruebe si el número de versión aumenta con frecuencia.

Temporales

  • Cambios masivos con poca frecuencia
  • Después de hospedar una partición por primera vez o durante un rehospedaje

Problema basado en el rendimiento

Entre los síntomas comunes de la compilación de colas inducidas por el rendimiento se incluyen

Identificador de evento 2094

Tipo de evento: advertencia
Origen de eventos: Replicación NTDS
Categoría de evento: Replicación
Identificador de evento: 2094
Descripción:
Advertencia de rendimiento: se ha retrasado la replicación
al aplicar los cambios al objeto siguiente. Si es así
el mensaje se produce con frecuencia, indica que
la replicación se está produciendo lentamente y que el servidor puede
tienen dificultades para mantenerse al día con los cambios.
DN de objeto: CN=JUSTINTU,OU=Workstations,DC=contoso,DC=com
GUID de objeto: <GUID>
DN de partición: DC=contoso,DC=com
Servidor: <GUID>._msdcs.contoso.com
Tiempo transcurrido (ss): 13
Acción del usuario
Una razón común para ver este retraso es que este objeto es especialmente grande, ya sea en el tamaño de sus valores o en el número de valores. En primer lugar, debe considerar si la aplicación se puede cambiar para reducir la cantidad de datos almacenados en el objeto o el número de valores. Si se trata de un grupo grande o una lista de distribución, puede considerar la posibilidad de elevar la versión del bosque a Windows Server 2003, ya que esto permitirá que la replicación funcione de forma más eficaz. Debe evaluar si la plataforma del servidor proporciona un rendimiento suficiente en términos de memoria y potencia de procesamiento. Por último, puede considerar la posibilidad de optimizar la base de datos de Active Directory moviendo la base de datos y los registros a particiones de disco independientes.

Si desea cambiar el límite de advertencia, la clave del Registro se incluye a continuación. Un valor de cero deshabilitará la comprobación.

Límite adicional de advertencia de datos (ss): 10 Limitar clave del Registro: System\CurrentControlSet\Services\NTDS\Parameters\Replicator maximum wait for update object (secs)

Determine si los cambios que se aplican a la base de datos se producen lentamente mediante la supervisión y repadmin /queue salida del rendimiento. Correlacionar contadores de replicación de AD con contadores de rendimiento del sistema operativo base (disco, memoria, red y CPU).

DC

Disco

Red

La cola contiene 55 elementos.
La tarea actual comenzó a ejecutarse en DateTime>.<
La tarea se ha estado ejecutando durante 508 minutos, 53 segundos.
[6485] Puesta en cola 2011-11-26 01:55:33 en la prioridad 590
SYNC FROM SOURCE NC DC=corp,DC=contoso,DC=com
DC Houston\5thWardDC
GUID <de objeto de controlador de dominio>
GUID> del agregador <de transporte de controlador de dominio._msdcs.contoso.com
FORCE
[12142] Fecha y hora> puesta en <cola en la prioridad 40
SYNC FROM SOURCE NC dc=west,dc=contoso,dc=com
DC Boulder\BoulderDC
GUID <de objeto de controlador de dominio>
GUID> del agregador <de transporte de controlador de dominio._msdcs.contoso.com
ASYNCHRONOUS_OPERATION NEVER_COMPLETED NEVER_NOTIFY PREEMPTED

Más información

Solución de problemas de replicación lenta de AD

Este problema requiere conocimientos avanzados de varias herramientas de solución de problemas. Puede ser necesario buscar la ayuda de Soporte técnico de Microsoft para ayudar con el proceso de análisis de datos.

Terminología: lenta frente a latente

En la replicación lenta de AD, los cambios se confirman en la base de datos de Active Directory lentamente o las tareas de replicación tardan mucho tiempo en procesarse.

Las causas más comunes son:

  • Problemas de rendimiento de DC/OS

    • Agotamiento de recursos
    • Cuello de botella de disco

  • Problemas de base de datos de AD

    • Daños lógicos o físicos
    • Problemas de objeto o atributo

  • Problemas de carga del controlador de dominio

    • Control de demasiados clientes

    • Storm de replicación

      • Alta tasa de cambios en objetos y atributos
      • Sincronizaciones de particiones completas

En la replicación de AD latente, el controlador de dominio no recibe una notificación sobre los cambios durante mucho tiempo:

Las causas más comunes son:

  • Configuración de topología de AD (programación, vínculos de sitio, programación de replicación, topología desconectada)

Esta estrategia de recopilación de datos y documentos está diseñada para usarse para solucionar problemas de replicación lenta de AD.

Síntomas de replicación lenta de AD

Recolección de datos

Repadmin Data

Use Repadmin /queue para documentar las tareas de replicación en cola. Supervise la cola para ver si hay un retraso en el procesamiento de las tareas de replicación. Registre toda la repadmin /queue salida en el mismo archivo de texto para que tenga buenos datos históricos.

Repadmin /queue DCName >DCNameReplQueue.txt  
Choice /d y /t 300  
Repadmin /queue DCName >>DCNameReplQueue.txt  
Choice /d y /t 300  
Repadmin /queue DCName >>DCNameReplQueue.txt  
Choice /d y /t 900  
Repadmin /queue DCName >>DCNameReplQueue.txt  
Choice /d y /t 900  
Repadmin /queue DCName >>DCNameReplQueue.txt  
Choice /d y /t 1800  
Repadmin /queue DCName >>DCNameReplQueue.txt

Revise la salida para ver si las tareas de replicación se procesan de forma oportuna. La parte superior del archivo contiene la tarea que se está ejecutando actualmente y el período de tiempo que se ha estado ejecutando. Si la misma tarea siempre está en la parte superior de la salida, puede usar la salida detallada de repadmin /showrepl para supervisar el progreso.

Cambios de Repadmin

Repadmin /showrepl

Use Repadmin /showrepl y la /verbose opción para supervisar el último estado de replicación y el número de cambios que permanecen para replicarse.

Repadmin /showrepl /verbose DCNameDomainDN  

Repadmin /showrepl /verbose 5thwardCorpDC dc=corp,dc=contoso,dc=com

Para limitar la salida para que solo se muestre el controlador de dominio de origen deseado, use lo siguiente:

Repadmin /showrepl /verbose DCNameDomainDN SourceDcDSAObjectGUID

Repadmin /showrepl /verbose 5thwardCorpDC <GUID> dc=corp,dc=contoso,dc=com

Repadmin /showutdvec

Use Repadmin /showutdvec en el controlador de dominio de origen y destino para determinar la diferencia de replicación.

repadmin /showutdvec DCName DomainDN

repadmin /showutdvec LiverpoolDC1 dc=north,dc=fabrikam,dc=com

Obtenga Repadmin /showutdvec /latency del controlador de dominio de origen y destino de la partición en cuestión.

En la salida, documente lo siguiente:

  1. En los controladores de dominio de origen showutdvec: USN # junto a Source DCName
  2. Desde los controladores de dominio de destino showutdvec USN# junto a SOURCE DCNanme

Controlador de dominio de origen

Dallas\2008DC1 @ USN 451265 @ Time <DateTime>
Dallas\SourceDC @ USN 1126541 @ Time <DateTime>
Houston\2012DC3 @ USN 469842 @ Time <DateTime>
66a1b264-80b8-44f8-8356-9ebcd7a34f15 @ USN 32811 @ Time <DateTime>
Dallas\2012DC2 @ USN 460219 @ Time <DateTime>
Dallas\DestinationDC @ USN 1353465 @ Time <DateTime>
Dallas\2003DC1 @ USN 15556 @ Time <DateTime>

Controlador de dominio de destino

Dallas\2008DC1 @ USN 451265 @ Time <DateTime>
Dallas\SourceDC @ USN 801224 @ Time <DateTime>
Houston\2012DC3 @ USN 469842 @ Time <DateTime>
66a1b264-80b8-44f8-8356-9ebcd7a34f15 @ USN 32811 @ Time <DateTime>
Dallas\2012DC2 @ USN 460219 @ Time <DateTime>
Dallas\DestinationDC @ USN 1359087 @ Time <DateTime>
Dallas\2003DC1 @ USN 15556 @ Time <DateTime>

Controlador de dominio de origen

SourceDC @ USN 1126541

Controlador de dominio de destino

SourceDC @ USN 801224

1126541-801224 = 325317

El DC de destino es de 325 317 USN.

Nota:

También puede obtener los controladores de dominio de origen más altoscommitedUSN desde el controlador de dominio de origen mediante este comando:

repadmin /showattr SourceDC . /atts:highestcommittedusn DN: 1> highestCommittedUSN: 1126541

Datos de rendimiento

Cree un nuevo conjunto de recopiladores de datos definidos por el usuario en Monitor de rendimiento que use la plantilla diagnóstico de AD.

Los pasos aquí detallan cómo configurar un buen conjunto de contadores de rendimiento del controlador de dominio de línea base. Deberá modificar algunas de las opciones de configuración, como la duración y el intervalo de ejemplo para ajustarse a su escenario específico.

Cómo crear un conjunto de recopilación de datos definido por el usuario

  1. Abra Administrador del servidor en una versión completa de Windows Server 2008 o una versión posterior.
  2. Expanda Conjuntos de recopiladores de datos de rendimiento > de > diagnósticos.
  3. Haga clic con el botón derecho en Definido por el usuario y seleccione Nuevo > conjunto de recopiladores de datos.
  4. Escriba un nombre como Diagnóstico de AD DS y deje seleccionada la selección predeterminada crear desde una plantilla (recomendado). Después, seleccione Siguiente.
  5. Seleccione Diagnósticos de Active Directory en la lista de plantillas y, a continuación, seleccione Siguiente y siga las indicaciones del asistente (realizar los cambios que considere necesarios).
  6. Haga clic con el botón derecho en el nuevo conjunto de recopiladores de datos definidos por el usuario y vea las propiedades.
  7. Para cambiar el tiempo de ejecución, modifique la configuración Duración general en la pestaña Detener condición y, a continuación, haga clic en Aceptar para aplicar los cambios.

Opciones que se deben tener en cuenta:

  • Duración general: puede hacer que el recopilador de datos se detenga después de recopilar durante un período de tiempo establecido.

  • Límites: puede hacer que los datos recopilen se detengan después de alcanzar un umbral de tiempo o tamaño (con la opción de que se reinicie automáticamente).

    Establecer límites es ventajoso cuando desea limitar el tamaño del registro.

    • Reinicio del conjunto de recopiladores de datos en límites

    • Duration

    • Tamaño máximo

      Captura de pantalla del ventana Propiedades diagnóstico de AD DS con el tamaño máximo establecido en 100 MB.

Ver las propiedades del contador de rendimiento para el conjunto de recopiladores de datos definidos por el usuario

  1. Seleccione el nuevo conjunto de recopiladores de datos definidos por el usuario.
  2. Haga clic con el botón derecho en Contador de rendimiento y, a continuación, seleccione Propiedades.

Aquí tiene las opciones de cambiar el intervalo de ejemplo y agregar o quitar contadores adicionales.

En este escenario, el intervalo de muestreo predeterminado de 3 segundos debe ser suficiente. Sin embargo, durante tiempos de muestreo mucho más largos, 3 segundos es demasiado frecuente un intervalo.

Captura de pantalla del contador de rendimiento ventana Propiedades con 3 segundos establecidos para el intervalo.

Todos los contadores recomendados se incluyen en el conjunto predeterminado del recopilador de diagnóstico de AD con tres excepciones:

  • Database ==>Instances(lsass/NTDSA)\ *

  • LogicalDisk(*)\*

    Para LogicalDisk: no se requieren todas las instancias: la unidad del sistema y las unidades donde se almacenan la base de datos y los registros deben incluirse como mínimoSeguridad Estadísticas de todo el sistema\*

  • Estadísticas de todo el sistema de seguridad\*

Para agregar los contadores de base de datos de AD DS al conjunto de recopilación de datos definido por el usuario

  1. En Propiedades del contador de rendimiento, seleccione Agregar.

  2. Expanda Base de datos ==>Instancias (se deben resaltar todos los contadores).

  3. En Instancias del objeto seleccionado, seleccione lsass/NTDSA.

  4. Seleccione Agregar y, a continuación, haga clic en Aceptar.

    Captura de pantalla de lsass/NTDSA seleccionada en Instancias del objeto seleccionado.

  5. Agregue también los objetos LogicalDisk y Security System-Wide Statistics.

    Captura de pantalla del contador de rendimiento ventana Propiedades con los objetos LogicalDisk y Security System-Wide Statistics seleccionados.

Después de configurar los valores a su gusto, puede ejecutar el nuevo conjunto de recopiladores de datos directamente desde Administrador del servidor o exportarlo e implementarlo en servidores específicos.

Cuando esté listo para empezar a recopilar datos de rendimiento, inicie el conjunto de recopilación recién definido:

Para iniciar el conjunto de recopilación de datos recién definido desde MMC:

  1. En el Monitor de rendimiento mmc, vaya a Rendimiento/Conjuntos de recopiladores de datos/Definido por el usuario.
  2. Haga clic con el botón derecho en el nuevo conjunto de recopilación AD DS Diagnostics (Diagnósticos de AD DS) y seleccione Iniciar.
  3. Para comprobar que se ha iniciado, seleccione Diagnósticos de AD DS definidos por el usuario debe tener el estado En ejecución.

Una vez completada la prueba, detenga el conjunto de recopilación de diagnósticos de AD DS:

  1. En el Monitor de rendimiento mmc, vaya a Performance/Data Collector Sets/User Defined(Conjuntos de recopiladores de datos/Definido por el usuario).
  2. Haga clic con el botón derecho en el nuevo conjunto de recopilación Diagnósticos de AD DS y seleccione Detener. Para comprobar que se ha detenido, seleccione Definido por el usuario.

Diagnósticos de AD DS debe pasar de un estado de En ejecución a compilación y, por último, Detenido Tenga en cuenta que MMC no es excelente para actualizar su vista. Por lo tanto, si parece estar bloqueado en Ejecución o compilación después de hacer clic enStop, intente actualizar la pantalla.

El informe compilado se puede ver en Rendimiento / Informes / Definido por el usuario / Diagnósticos de AD DS

La ruta de acceso predeterminada en el Explorador de Windows está aquí: %systemdrive%\PerfLogs\Admin\AD DS Diagnostics

Instrucciones de la línea de comandos: Recopilación de diagnósticos de AD desde la línea de comandos:

Para iniciar una recopilación de datos desde la línea de comandos, emita este comando desde un símbolo del sistema con privilegios elevados: logman start "user defined\AD DS Diagnostics" -ets
Para DETENER la recopilación de datos antes de los 5 minutos predeterminados, emita este comando: (obtenga al menos un ejemplo completo de cinco minutos para este problema). logman stop "user defined\AD DS Diagnostics" -ets

Los datos de diagnóstico se registran aquí: C:\PerfLogs\Admin\AD DS Diagnostics\DateStamp

Script de recopilación de datos de ejemplo

logman start "system\Active Directory Diagnostics" -ets time /t >slow.txt  
repadmin /showrepl /verbose LiverpoolDC1 dc=north,dc=fabrikam,dc=com >slowrepl.txt  
repadmin /queue LiverpoolDC1 >>slow.txt  
repadmin /showutdvec LiverpoolDC1 dc=north,dc=fabrikam,dc=com >>slow.txt  
:start  
ping 127.0.0.1 -n 60 >NUL  
time /t >>slow.txt time /t >>slowrepl.txt  
repadmin /showrepl /verbose LiverpoolDC1 dc=north,dc=fabrikam,dc=com >>slowrepl.txt
repadmin /queue LiverpoolDC1 >>slow.txt  
repadmin /showutdvec LiverpoolDC1 dc=north,dc=fabrikam,dc=com >>slow.txt  
goto start

Datos del registro de eventos

El registro predeterminado habilitado en el registro de eventos de servicios de directorio es útil para supervisar eventos que indican la aplicación lenta de cambios. (EVENTO X) Se puede habilitar el registro de diagnóstico detallado para ver qué cambios se están aplicando actualmente. La habilitación del registro de diagnóstico en el nivel mencionado en este artículo hará que el registro se llene bastante rápido, por lo que solo se habilita mientras soluciona esta condición activamente. Para dar una idea de la tasa de eventos registrados con este nivel de detalle:

Un registro de eventos de Servicios de directorio configurado en 100 MB ajustado en menos de dos minutos (1 minuto 27 segundos). El registro contenía 195.728 eventos. De todos los eventos, 189.340 eran el identificador de evento 1412 (adición de atributos).

  • Aumento del tamaño del registro de eventos de Servicios de directorio

  • Ajuste el tamaño del registro de eventos para que el registro mejorado no haga que el registro se ajuste demasiado corto de un período.

  • Habilite el registro de diagnóstico de replicación de AD para 0x5:

    HKLM\System\CurrentControlSet\Services\NTDS\Diagnostics 5 Replication Events = 5

Exporte el registro de eventos de Servicios de directorio poco después de recibir el estado 8461 y reduzca el registro de diagnóstico a un nivel adecuado.

Revise el registro de eventos para obtener lo siguiente:

¿Con qué rapidez se escriben los valores de atributo en la base de datos? ->Directory Services event log Event ID 1412 o incluso mejor, use el contador de rendimiento: DirectoryServices/DRA Inbound Properties Applied/sec

En el nivel de diagnóstico 5 para eventos de replicación, para la creación de objetos de usuario, alrededor de 25 o más eventos 1412 (dependiendo de lo que se escribió en el momento de la creación del usuario) se escriben (uno por valor de atributo). Cuando se han agregado todos los atributos, se registra el evento de creación de objetos (id. de evento 1365).

La sección de descripción del evento contiene los datos siguientes:

Evento interno:
Los siguientes cambios de objeto se aplicaron a la base de datos Servicios de dominio de Active Directory local.
Propiedad: 900dd (sAMAccountName)
Objeto: CN=xtestingusers14167,CN=Users,DC=north,DC=fabrikam,DC=com Object
GUID: <GUID>
Versión remota: 1
Marca de tiempo remota: <DateTime>
USN de origen remoto: 540828

La sección Property contiene el attributeID y el lDAPDisplayName del atributo.

Se escribe un evento por valor en este nivel de registro de depuración. Filtre por los eventos y determine cuántas entradas se producen en un período determinado. Revise los detalles del evento para determinar si estamos escribiendo valores para varios atributos con el fin de crear instancias de un objeto o si estamos escribiendo en el mismo atributo en varios objetos. Aunque este nivel de análisis puede parecer complicado, puede ser útil para determinar la causa principal. Por ejemplo, si ve que solo estamos escribiendo algunos eventos por segundo, esto podría indicar que las transacciones se escriben lentamente en la base de datos o quizás tenemos demasiados asociados que envían cambios redundantes (id. de evento 1239).

Observe que es perfectamente normal ver el identificador de evento 1239 cuando el diagnóstico de replicación está establecido en 0x5. Si filtra el evento 1239 y no ve nada más y tiene un historial de registros de eventos bastante largo, esto puede indicar un problema. Un cliente observó este problema con un entorno de Active Directory grande que tenía habilitada la notificación de cambio entre sitios. Si determina que hay un gran número de eventos por segundo, es probable que la replicación no se vea afectada por un problema de rendimiento.

Metadatos de objetos

Si se registra un evento que indica que un cambio tarda mucho tiempo en procesar el identificador de evento, registre el objectGUID y, a continuación, obtenga la salida siguiente:

Metadatos de replicación:

Repadmin /showobjmeta "<GUID=ObjectGUID>" >objectmeta.txt

Revise la salida de los atributos modificados recientemente. Preste especial atención a los atributos con números de versión modificados con frecuencia. Un atributo que tiene un recuento de versiones alta podría indicar que se están realizando cambios frecuentes en el atributo . Si sospecha esto, puede ver el valor del atributo para obtener algún contexto en cuanto a por qué se cambió el atributo, o puede dejar que pase algún tiempo y, a continuación, obtener una salida adicional repadmin /showobjmeta para comprobar si la versión del mismo atributo en el mismo objeto ha aumentado aún más.

Datos de objeto y atributo:

Use una utilidad para generar los valores de objeto y atributo. A continuación, revise los datos de atributo de los atributos que han modificado recientemente los datos. En los ejemplos siguientes se presentan dos métodos para hacerlo.

Valores de atributo de objeto de repadmin:

Repadmin /showattr DCName "<GUID=ObjectGUID>" /allvalues /long >objectByGuid.txt

Valores de atributo de objeto de LDP

Conexión y enlace al servidor en LDP y copia toda la salida del objeto en un archivo de texto

ldpoutput.txt

Datos relacionados con la red

Tasklist /svc >nets.txt Netstat -anob >>nets.txt

Contadores de rendimiento específicos de replicación de Data AnalysisKey AD

  • Objetos de sincronización completa de entrada DRA restantes
  • Objetos de entrada DRA aplicados por segundo
  • Objetos de entrada DRA/segundo (replicación de entrada)
  • Objetos entrantes DRA filtrados por segundo (sugiere todos los atributos nuevos)
  • Total de bytes salientes de DRA desde la cola de replicación de arranque:
DirectoryServices\DRA Pending Replication Synchronizations Indica el número de sincronizaciones de directorios que se ponen en cola para este servidor. Este contador ayuda a identificar los trabajos pendientes de replicación, cuanto mayor sea el número, mayor será el trabajo pendiente. Este contador debe ser lo más bajo posible. Si no es así, el hardware del servidor probablemente ralentiza la replicación.

Use este contador para determinar la cola de replicación. Repadmin /queue DCName también notifica esta información.

Medición del rendimiento actual:

Objetos de entrada DRA aplicados por segundo Muestra el número de objetos recibidos de los vecinos a través de la replicación entrante y aplicada.
Propiedades de entrada dra aplicadas/s Muestra el número total de propiedades de objeto (atributos) aplicadas desde asociados de replicación entrantes.

Puede usar los dos contadores para supervisar la rapidez con la que se aplican los cambios a la base de datos.

Base de datos:

Rendimiento del servidor:

DirectoryServices\DRA Actualizaciones de objetos entrantes restantes en el paquete Indica el número de actualizaciones de objetos recibidas en el paquete de actualización de replicación de directorios más reciente que aún no se han aplicado al servidor local. Este contador indica que el servidor supervisado recibe cambios, pero tarda mucho tiempo en aplicarlos a la base de datos. Este contador debe ser lo más bajo posible. Si no es así, normalmente indica que el hardware del servidor ralentiza la replicación.

Red:

Object\counter Description Directrices
DirectoryServices\DRA Inbound Bytes Total/sec Indica el número total de bytes recibidos por segundo a través de la replicación entrante. Este número es la suma de los bytes de datos sin comprimir y comprimidos recibidos durante la entrada.

Prueba

Escenario Dos controladores de dominio se aislaron (sin cliente u otra actividad de servidor) 15 000 usuarios se crearon a partir del script con los atributos mínimos rellenados en un controlador de dominio Habilitado la conexión entre los dos controladores de dominio.

Para dar una idea de la tasa de eventos registrados con este nivel de detalle:

Un registro de eventos de Servicios de directorio configurado en un tamaño de 100 MB ajustado en menos de dos minutos (1 minuto 27 segundos). El registro contenía 195.728 eventos. De todos los eventos, 189.340 eran el identificador de evento 1412 (adición de atributos). Número de eventos 1412s por segundo:

01: 2400
02: 3570
03: 3540
04: 2160
05: 1170
06: 1890
07: 2225
08: 1435
09: 4233
10: 2817

El identificador de evento 1365 (creación de objetos) se registró 6312 veces en 1 minuto 27 segundos. En un minuto, se crearon 4630 objetos de usuario, que constan de 138 900 atributos) o aproximadamente 77 objetos por segundo.

Es necesario comprender los contadores de rendimiento de NTDS para solucionar este problema de forma eficaz.

Las creaciones de objetos por segundo se obtienen a través de los siguientes contadores de rendimiento:

  • Objetos entrantes NTDS/DRA aplicados por segundo

  • Agrega bases de datos por segundo

  • NTDS/DRA Valores de entrada (solo DNs)/s Este número incluye objetos que hacen referencia a otros objetos. Los valores de nombres distintivos, como las pertenencias a listas de grupos o de distribución, son más costosos de aplicar que otros tipos de valores, ya que un objeto de lista de grupo o distribución puede incluir cientos o miles de miembros. En cambio, un objeto simple podría tener solo uno o dos atributos. Un número elevado de este contador puede explicar por qué los cambios entrantes son lentos para aplicarse a la base de datos. Las creaciones de atributos por segundo son:

  • Propiedades de entrada NTDS/DRA aplicadas/s

Condición especial encontrada con frecuencia

Repadmin /rehost da como resultado el estado 8461:

Este problema se produce cuando el GC que se está rehospedando está ocupado aceptando actualizaciones para otras particiones. El aprovisionamiento de particiones de dominio grabables, como el esquema, la configuración y la partición de dominio, son por naturaleza elementos de trabajo de mayor prioridad que el rehospedaje de una partición de dominio de solo lectura.

Repadmin /queue output debe mostrar que la solicitud para agregar la partición se ha puesto en cola y finalmente se procesará. Sin embargo, a veces es necesario usar un método alternativo de rehospedaje de partición:

  1. Repadmin /unhost
  2. Esperar el identificador de evento 1660
  3. Deshabilitar la traducción de conexiones KCC
  4. Repadmin /addIf el proceso se adelanta antes de que se complete /add, puede deshabilitar la replicación entrante y usar repadmin /replicate y las /readonly opciones y /force para volver a hospedar la partición antes de volver a habilitar la replicación de entrada.

Recolección de datos

Si necesita ayuda del soporte técnico de Microsoft, se recomienda recopilar la información siguiendo los pasos mencionados en Recopilación de información mediante TSS para problemas de replicación de Active Directory.