Windows Server 2025 / Vérifier la réplication AD et les rôles FSMO
La réplication Active Directory (AD) diffuse les modifications de l'annuaire entre les contrôleurs de domaine. Les rôles de maître d'opérations, ou Flexible Single Master Operations (FSMO), confient certaines opérations à un contrôleur désigné. Vérifiez séparément la réplication et les détenteurs des rôles : l'ajout ou l'arrêt d'un contrôleur ne transfère pas automatiquement ses rôles FSMO.
Identifiez ce qui se réplique et les échecs persistants
DC1 et DC2 répliquent les partitions d'annuaire applicables : domaine, configuration, schéma et partitions d'application DNS. Les partenaires et la fréquence peuvent varier selon la partition. Les fichiers d'un serveur membre et les baux DHCP ne sont pas répliqués simplement parce que deux machines sont des contrôleurs de domaine.
Si deux requêtes montrent des objets différents, identifiez d'abord le contrôleur interrogé et l'heure du changement. Pour distinguer le délai normal de propagation d'un échec persistant, consultez les diagnostics de réplication de Microsoft.
Commencez par examiner la réplication en lecture seule
Utilisez une session administrative autorisée sur un contrôleur ou un poste de gestion doté des outils nécessaires. Commencez par les commandes de lecture suivantes avant d'envisager une synchronisation forcée ou un changement de topologie :
repadmin /replsummary
repadmin /showrepl DC1
repadmin /showrepl DC2
Get-ADReplicationFailure -Target 'ad.example.test' -Scope DomainExaminez le nombre d'échecs et le plus long délai depuis la dernière réussite, puis les partenaires, les partitions et les codes d'erreur. Un DC2 arrêté volontairement n'a pas la même signification qu'une panne inexpliquée ; revérifiez la convergence après son redémarrage. Pour les erreurs persistantes, rapprochez les résultats DNS, RPC et réseau, la synchronisation horaire, l'authentification, les services et les journaux d'événements. Ne reconnectez pas un contrôleur longtemps isolé sans plan de récupération.
Comprenez les cinq rôles FSMO
Deux rôles s'appliquent à la forêt et trois à chaque domaine, comme le détaille la présentation des rôles FSMO de Microsoft. Un contrôleur peut détenir plusieurs rôles :
| Rôle | Portée et objectif |
|---|---|
| Maître de schéma | Forêt : modifications du schéma, qui définit classes et attributs des objets |
| Maître d'attribution des noms de domaine | Forêt : ajout et retrait de domaines et de certaines partitions d'application |
| Maître RID | Domaine : distribution de plages d'identifiants relatifs (RID) pour les identifiants de sécurité |
| Émulateur PDC | Domaine : changements de mot de passe, verrouillages et référence horaire de la forêt lorsque ce rôle est dans son domaine racine |
| Maître d'infrastructure | Domaine : suivi des références aux objets d'autres domaines |
La perte d'un détenteur de rôle n'interrompt pas nécessairement toutes les fonctions immédiatement. L'effet dépend de l'opération requise et du temps écoulé ; le fait que les utilisateurs puissent encore se connecter ne justifie pas d'ignorer la panne.
Identifiez les détenteurs actuels des rôles
netdom query fsmo
Get-ADForest | Select-Object SchemaMaster,DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator,RIDMaster,InfrastructureMasterDans le laboratoire initial, DC1 peut détenir les cinq rôles. Consignez le résultat observé au lieu de supposer que DC2 en reçoit automatiquement. Si la réplication présente des erreurs, comparez les réponses de plusieurs contrôleurs avec leur état récent de réplication. Le seul résultat d'une requête ne justifie pas une prise de contrôle forcée.
Distinguez transfert normal et prise de contrôle forcée
Pour une maintenance planifiée, transférez le rôle tant que son détenteur est disponible. La prise de contrôle forcée (seizure) est une mesure de récupération distincte lorsque l'ancien détenteur ne peut pas revenir correctement. Consultez les procédures Microsoft de transfert et de prise de contrôle des rôles FSMO.
- Avant le transfert, vérifiez les deux contrôleurs, la réplication, les autorisations, les sauvegardes et la destination.
- Après le transfert, vérifiez la propriété, la convergence et les fonctions dépendantes.
- Si le rôle d'émulateur PDC du domaine racine de la forêt change de serveur, vérifiez la configuration de la source de temps de référence.
- Après une prise de contrôle forcée, examinez les conséquences propres au rôle et la récupération de l'ancien détenteur avant toute remise en service.
Cet exercice se limite à l'inspection et aux critères de décision. Ne provoquez pas une panne ni une prise de contrôle forcée pour obtenir une capture d'écran. Planifiez tout transfert réel selon l'objectif de maintenance et les besoins de récupération.
