Share via

Diretrizes do teste de clonagem do controlador de domínio virtualizado para fornecedores de aplicativos

  • Artigo

Aplica-se a: Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2 e Windows Server 2012

Este tópico explica o que os fornecedores de aplicativos devem considerar para ajudar a garantir que o aplicativo deles continue funcionando conforme o esperado após a conclusão do processo de clonagem do DC (controlador de domínio) virtualizado. Ele aborda esses aspectos do processo de clonagem que interessam aos fornecedores de aplicativos e os cenários que podem justificar testes adicionais. Os fornecedores de aplicativos que validaram que o aplicativo deles funciona em controladores de domínio virtualizados que foram clonados são incentivados a listar o nome do aplicativo no Conteúdo da Comunidade na parte inferior deste tópico, juntamente com um link para o site da organização onde os usuários podem saber mais sobre a validação.

Visão geral da clonagem de DC virtualizada

O processo de clonagem do controlador de domínio virtualizado é descrito em detalhes em Introdução à virtualização do AD DS (Active Directory Domain Services) (nível 100) e Referência técnica do controlador de domínio virtualizado (nível 300). Da perspectiva de um fornecedor de aplicativos, essas são algumas considerações a serem levadas em conta ao avaliar o impacto da clonagem em seu aplicativo:

  • O computador original não é destruído. Ele permanece na rede, interagindo com clientes. Ao contrário de uma renomeação em que os registros DNS do computador original são removidos, os registros originais do controlador de domínio de origem permanecem.

  • Durante o processo de clonagem, o novo computador é inicialmente executado por um breve período de tempo sob a identidade do computador antigo até que o processo de clonagem seja iniciado e faça as alterações necessárias. Os aplicativos que criam registros sobre o host devem garantir que o computador clonado não substitua os registros sobre o host original durante o processo de clonagem.

  • A clonagem é uma funcionalidade de implantação específica apenas para controladores de domínio virtualizados, não uma extensão de uso geral para clonar outras funções de servidor. Algumas funções de servidor não têm suporte específico para clonagem:

    • Protocolo DHCP

    • AD CS (Serviços de Certificados do Active Directory)

    • AD LDS (Active Directory Lightweight Directory Services)

  • Como parte do processo de clonagem, a VM inteira que representa o DC original é copiada e, portanto, qualquer estado do aplicativo nessa VM também é copiado. Valide se o aplicativo se adapta a essa alteração no estado do host local no DC clonado ou se alguma intervenção é necessária, como uma reinicialização do serviço.

  • Como parte da clonagem, o novo controlador de domínio obtém uma nova identidade de computador e provisiona-se como um DC de réplica na topologia. Valide se o aplicativo depende da identidade do computador, como nome, conta, SID e assim por diante. Ele se adapta automaticamente à alteração da identidade do computador no clone? Se esse aplicativo armazenar dados em cache, verifique se ele não depende de dados de identidade do computador que podem ser armazenados em cache.

O que é interessante para fornecedores de aplicativos?

CustomDCCloneAllowList.xml

Um controlador de domínio que executa o aplicativo ou serviço não pode ser clonado até que o aplicativo ou o serviço seja:

  • Adicionado ao arquivo CustomDCCloneAllowList.xml usando o cmdlet do Windows PowerShell Get-ADDCCloningExcludedApplicationList

-Ou-

  • Removido do controlador de domínio

Na primeira vez que o usuário executa o cmdlet Get-ADDCCloningExcludedApplicationList, ele retorna uma lista de serviços e aplicativos que estão em execução no controlador de domínio, mas não estão na lista padrão de serviços e aplicativos com suporte para clonagem. Por padrão, o serviço ou o aplicativo não será listado. Para adicionar o serviço ou aplicativo à lista de aplicativos e serviços que podem ser clonados com segurança, o usuário executa novamente o cmdlet Get-ADDCCloningExcludedApplicationList com a opção -GenerateXML para adicioná-lo ao arquivo CustomDCCloneAllowList.xml. Para saber mais, confira Etapa 2: executar o cmdlet Get-ADDCCloningExcludedApplicationList.

Interações do sistema distribuído

Normalmente, os serviços isolados para o computador local são aprovados ou falham na participação da clonagem. Os serviços distribuídos precisam se preocupar em ter duas instâncias do computador host na rede simultaneamente por um breve período de tempo. Isso pode se manifestar como uma instância de serviço tentando extrair informações de um sistema de parceiros onde o clone se registrou como o novo fornecedor da identidade. Ou ambas as instâncias do serviço podem enviar por push informações para o banco de dados do AD DS ao mesmo tempo com resultados diferentes. Por exemplo, não é determinístico com qual computador será comunicado quando dois computadores que tenham o serviço WTT (Windows Testing Technologies) estiverem na rede com o controlador de domínio.

Para o serviço do Servidor DNS distribuído, o processo de clonagem cuidadosamente evita substituir os registros DNS do controlador de domínio de origem quando o controlador de domínio de clone inicia com um novo endereço IP.

Você não deve depender do computador para remover toda a identidade antiga até o final da clonagem. Depois que o novo controlador de domínio for promovido dentro do novo contexto, os provedores Sysprep selecionados serão executados para limpar o estado adicional do computador. Por exemplo, é neste ponto que os certificados antigos do computador são removidos e os segredos de criptografia que o computador pode acessar são alterados.

O maior fator que varia o tempo da clonagem é quantos objetos há para replicar do PDC. A mídia mais antiga aumenta o tempo necessário para concluir a clonagem.

Como o serviço ou o aplicativo é desconhecido, ele é deixado em execução. O processo de clonagem não altera o estado dos serviços não Windows.

Além disso, o novo computador tem um endereço IP diferente do computador original. Esses comportamentos podem causar efeitos colaterais ao serviço ou aplicativo, dependendo de como o serviço ou o aplicativo se comporta nesse ambiente.

Cenários adicionais sugeridos para teste

Falha da clonagem

Os fornecedores de serviços devem testar esse cenário porque, quando a clonagem falha, o computador é inicializado no DSRM (Modo de Reparo de Serviços de Diretório), uma forma do Modo de Segurança. Nesse ponto, o computador não concluiu a clonagem. Alguns estados podem ter sido alterados e algum estado pode permanecer do controlador de domínio original. Teste esse cenário para entender o impacto que ele pode ter em seu aplicativo.

Para induzir uma falha de clonagem, tente clonar um controlador de domínio sem conceder a ele permissão para ser clonado. Nesse caso, o computador só terá alterado os endereços IP e ainda terá a maior parte de seu estado do controlador de domínio original. Para obter mais informações sobre como conceder uma permissão do controlador de domínio a ser clonado, consulte Etapa 1: conceder ao controlador de domínio virtualizado de origem a permissão para ser clonado.

Clonagem do emulador PDC

Os fornecedores de serviços e aplicativos devem testar esse cenário porque há uma reinicialização adicional quando o emulador PDC é clonado. Além disso, a maior parte da clonagem é executada sob uma identidade temporária para permitir que o novo clone interaja com o emulador PDC durante o processo de clonagem.

Controladores de domínio somente leitura versus graváveis

Os fornecedores de serviços e aplicativos devem testar a clonagem usando o mesmo tipo de controlador de domínio (ou seja, em um controlador de domínio gravável ou somente leitura) em que o serviço está planejado para ser executado.