Lo strumento di diagnostica di Active Directory (AD) è uno script PowerShell di utilità che ti aiuta a risolvere i problemi di configurazione di AD con il tuo dominio on-premise e le istanze Cloud SQL per SQL Server in Google Cloud.
Lo strumento esegue vari controlli per rilevare problemi, come porte chiuse, ricerche FQDN e problemi DNS. Viene eseguito su una VM Windows on-premise che è uno dei domain controller del tuo dominio on-premise.
Questa pagina descrive come utilizzare lo strumento di diagnostica di Active Directory per Cloud SQL e spiega i controlli eseguiti dallo strumento.
Prerequisiti
Prima di procedere con l'utilizzo dello strumento di diagnostica AD, assicurati di aver configurato i seguenti componenti:
- Un dominio on-premise abilitato per AD.
- Un dominio Active Directory gestito nella console Google Cloud .
- Un'istanza Cloud SQL per SQL Server aggiunta al dominio AD gestito.
Come utilizzare lo strumento di diagnostica degli annunci
Per utilizzare lo strumento di diagnostica AD, segui questi passaggi:
- Accedi a uno dei domain controller on-premise o a una VM unita al dominio on-premise.
- Scarica lo script
diagnose_ad.ps1sulla VM. - Avvia PowerShell come amministratore.
Esegui lo script
diagnose_ad.ps1nella finestra di PowerShell utilizzando il seguente comando:powershell -command "& { . C:\\<var>SCRIPT_PATH</var>\\diagnose_ad.ps1; Run-Tool }"Inserisci le seguenti informazioni quando richiesto:
- Nome di dominio on-premise, ad esempio
my-onprem-domain.com - Nome di dominio AD gestito, ad esempio
my-ad-domain.com - Elenco di FQDN e indirizzi IP privati di Active Directory di SQL Server. Questo elenco è disponibile nella console Google Cloud nella pagina Panoramica dell'istanza.
- Nome di dominio on-premise, ad esempio
Lo strumento esegue quindi una serie di controlli, come descritto in Controlli eseguiti dallo strumento di diagnostica degli annunci.
Controlli eseguiti dallo strumento Diagnosi degli annunci
| Controllo | Descrizione | Note e suggerimenti |
|---|---|---|
| Domain controller disponibili | Invia un ping all'indirizzo IP di ogni domain controller del dominio on-premise per assicurarsi che siano raggiungibili. | I controlli rimanenti vengono eseguiti sugli indirizzi IP raggiungibili. In caso di errore di questo controllo, assicurati che la connettività di rete ai domain controller on-premise rimanenti sia attiva. Per scoprire di più, consulta Creazione dell'infrastruttura di rete. |
| Porte | Verifica che tutte le porte TCP e UDP richieste per AD siano aperte su tutti i domain controller on-premise. | Questo controllo restituisce uno stato di avviso per l'intervallo di porte RPC (49152-65535) perché non ha un elenco coerente di porte aperte. Ti consigliamo di verificare che sia impostato un set di regole firewall per consentire questo intervallo. Per saperne di più, consulta Apertura delle porte del firewall |
| Server DNS | Controlla che la configurazione di AD sia integra e a tolleranza di errore. | Questo controllo restituisce un avviso se lo script non viene eseguito su un domain controller on-premise. Ti consigliamo di eseguire il deployment di una configurazione AD a tolleranza di errore impostando i server DNS principali e secondari. |
| FQDN (dominio AD gestito) | Esegue un nslookup per il nome di dominio di Active Directory gestito che fornisci. | Questo controllo convalida se il dominio Active Directory gestito è raggiungibile dal domain controller on-premise. In caso di errore, prova a stabilire la connessione di rete tra la tua rete on-premise e il tuo Google Cloud Virtual Private Cloud (VPC). Per saperne di più, consulta Stabilire la connettività di rete. |
| FQDN (SQL Server) | Esegue un nslookup per i nomi di dominio completi (FQDN) di SQL Server che fornisci. | Questo controllo convalida se l'istanza è raggiungibile dal domain controller on-premise. In caso di errore, prova a stabilire la connessione di rete tra la tua rete on-premise e il tuo Google Cloud Virtual Private Cloud (VPC). Per saperne di più, consulta Stabilire la connettività di rete. |
| Replica del data center | Cerca eventuali errori di replica di AD tra i domain controller on-premise. | Se lo script viene eseguito su una VM on-premise collegata a un dominio, lo stato sarà di errore se Powershell non viene eseguito come utente di un dominio Active Directory. In caso di errore di questo controllo, segui i passaggi descritti in Test dell'installazione. |
| Forwarding DNS | Cerca la configurazione del forwarding DNS condizionale sui domain controller on-premise, necessaria per instradare le richieste dai domain controller on-premise ai domain controller di Managed AD. | Questo controllo può non riuscire se lo script non viene eseguito su un domain controller on-premise. Ti consigliamo di configurare i forwarding DNS condizionali. |
| Configurazione dell'attendibilità | Verifica che il trust AD sia configurato tra il dominio on-premise e il dominio Managed AD. | Questo controllo verifica che il trust AD sia configurato tra il dominio AD on-premise e quello gestito. Ti consigliamo di creare un trust tra il tuo dominio on-premise e il tuo dominio Managed Microsoft AD. Per scoprire di più, consulta Configurazione del trust |
| Policy di sicurezza locale |
Verifica che la configurazione della policy di sicurezza locale Network access: Named pipes that can be accessed anonymously sia stata impostata.
Questo controllo è necessario per creare un trust AD.
|
Questo controllo dovrebbe non riuscire se lo script non viene eseguito su un domain controller on-premise. Questo controllo richiede l'esecuzione di PowerShell come amministratore per controllare le impostazioni delle policy di sicurezza locali. In caso di errore, ti consigliamo di verificare la policy di sicurezza locale per il tuo dominio on-premise. |
| Routing del suffisso del nome | Controlla se il routing del suffisso del nome al dominio AD gestito è abilitato sul domain controller on-premise. Questo controllo è necessario per instradare le richieste da una foresta on-premise alla foresta di Active Directory gestito. | Questo controllo richiede l'esecuzione di PowerShell come amministratore per controllare le impostazioni di routing del suffisso del nome. In caso di errore, ti consigliamo di aggiornare il routing del suffisso del nome per il trust on-premise. |
| Ticket Kerberos per il dominio on-premise | Verifica che l'autenticazione Kerberos sia abilitata nel dominio on-premise. Cerca un ticket Kerberos esistente per il dominio on-premise. Se non viene trovato, tenta di generare un nuovo ticket. | Questo controllo tenta di trovare un ticket Kerberos esistente per il DC on-premise. Se l'operazione non riesce, tenta di generare un nuovo ticket come forma di convalida. Gli errori in altri controlli possono causare un errore in questo controllo. Se risolvi gli errori per gli altri controlli, dovresti risolvere anche l'errore per questo controllo. |
| Ticket Kerberos per SQL Server |
Verifica che l'autenticazione Kerberos sia abilitata nel dominio on-premise. Cerca un ticket Kerberos esistente per ogni nome entità servizio (SPN) SQL Server fornito. L'SPN per SQL Server è MSSQLSvc/{SQL Server FQDN}:1433. Se non è possibile ottenere un ticket per l'SPN, Cloud SQL verifica se è impostato il valore del registro di Windows per consentire l'IP nei nomi host. Se è impostato, prova a ottenere un ticket con SPN
MSSQLSvc/{SQL Server IP}:1433.Per saperne di più, consulta la documentazione di Microsoft. |
Questo controllo tenta di trovare un ticket Kerberos esistente per SQL Server. Se l'operazione non riesce, tenta di generare un nuovo ticket come forma di convalida. Gli errori in altri controlli possono causare un errore in questo controllo. La risoluzione degli errori per gli altri controlli dovrebbe risolvere un errore per questo controllo. |
| Connettività Cloud SQL |
Testa la connessione di rete dal dominio on-premise agli indirizzi IP dell'istanza Cloud SQL forniti tramite la porta TCP 1433.
|
Questo controllo convalida che il percorso di rete al database sia aperto. Se l'operazione non va a buon fine, verifica che i firewall on-premise e le regole firewall VPC Google Cloud consentano rispettivamente il traffico in uscita e in entrata sulla porta TCP 1433.
|
| Record SRV (Service) Kerberos |
Esegue query sul DNS locale per i record SRV _kerberos._tcp e _kerberos._udp e verifica che gli host di destinazione corrispondano correttamente al nome di dominio fornito.
Per saperne di più, consulta la documentazione di Microsoft per i record SRV. |
Se questo controllo non va a buon fine, verifica che i record SRV DNS del tuo dominio Active Directory esistano e siano configurati correttamente. |
Passaggi successivi
- Per condividere il tuo feedback, puoi utilizzare GitHub Issues.