Ajuste Fino do Active Directory - Parte 5

No post de hoje veremos sobre o Catálogo Global (Global Catalog ou GC) e, de quebra, uma palhinha sobre sua relação com  o Infrastructure Master que, dependendo da estrutura da rede, não é das melhores.

O Catálogo Global armazena algumas informações (ditas as mais comuns) de todos os domínios de uma floresta. Em um ambiente com mais de 1 domínio, seu uso é fundamental, pois agiliza o tempo de resposta de uma query de um domínio para o outro.

Por exemplo: um usuário do Domínio A está procurando por objetos no Domínio B. Como o Domínio A não contém nenhuma informação do Domínio B, o Domínio A repassa a query (forward) para o Domínio B. O Domínio B faz a pesquisa em sua base de dados e retorna a resposta ao Domínio A.

Este processo de ida e volta consome tempo e tráfego. E é exatamente aí que entra o Catálogo Global: Como ele armazena certas informações, tanto do Domínio A, quanto do Domínio B, na maioria dos casos a query não precisaria ser repassada e a resposta seria muito mais rápida.

Na prática, toda e qualquer pesquisa por objetos (usuários, computadores, etc.) no Active Directory é feita, primeiro, no Catálogo Global. É importante garantir a redundância deste serviço, ou seja, ter, pelo menos, 2 Controladores de Domínio atuando como Catálogos Globais.

Uma forma rápida de saber quais são os Catálogos Globais de um domínio é através da console do DNS. Expanda a Forward Lookup Zone do domínio e selecione o nodo _tcp. Os registros de nome _gc são seus Catálogos Globais.

Se seu domínio possuir 2 ou mais Controladores de Domínio e apenas 1 for o Catálogo Global, a adição de um Controlador de Domínio como Catálogo Global é feita através do Active Directory Sites and Services. Expanda o nodo do Site onde o Controlador de Domínio se encontra. Em sequida, expanda o nodo com o nome do Controlador de Domínio que será "promovido", clique com o botão direito sobre o nodo NTDS Settings e abra as propriedades. Marque a caixa "Global Catalog", confirme a alteração e aguarde a próxima replicação do Active Directory.

Temos agora 2 Catálogos Globais servindo ao domínio e garantimos maior disponibilidade do serviço. Se preferir, todos os Controladores de Domínio da rede podem ser Catálogos Globais. Vai do gosto do cliente e da estrutura da rede.

Parênteses para uma dica/experiência: Encontrei um caso em que ao pesquisar o nodo _tcp na console do DNS, dei falta de alguns registros não só _gc, mas também _ldap, _kpasswd e _kerberos. Para ser mais exato, um Controlador de Domínio não havia publicado seus serviços no DNS (por isso a ausência de seus registros). Confirmei que o referido Controlador de Domínio estava funcionando normalmente. Agora a pergunta: Como fazer para publicar os registros novamente?... Reiniciando o servidor?... Eh, resolveria, mas seria mais prático apenas reiniciar o serviço Netlogon do Controlador de Domínio:
net stop netlogon
net start netlogon
Para os mais curiosos, isso aconteceu porque o "Aging/Scavenging" do DNS estava configurado com um período que era inferior ao período que o Controlador de Domínio leva para atualizar seus registros junto ao DNS (Registration Refresh Interval), que por padrão é de 24 horas.

No início do post eu disse que falaria um pouco da relação entre o Catálogo Global e o Infrastructure Master. Mas o post vai ficar meio grande e, por isso, vou deixar esse assunto para um próximo.

Até lá.