Kundenverwaltetes Active Directory-Diagnosetool für Cloud SQL

Das CMAD-Diagnosetool (Customer-Managed Active Directory) ist ein PowerShell-Skript, das Ihnen hilft, Probleme bei der Active Directory-Einrichtung mit Ihrer Domain vor oder während der Integration in Cloud SQL in Google Cloudzu beheben.

Das Tool führt verschiedene Prüfungen auf Probleme durch, z. B. geschlossene Ports, Erreichbarkeit des Domaincontrollers (DC), Kontostatus und Vorhandensein der Organisationseinheit (OU). Es wird auf einer Windows-VM ausgeführt, die einer der Domaincontroller oder ein mit der Domain verbundener Computer für Ihre Active Directory-Domain ist.

Auf dieser Seite wird beschrieben, wie Sie das CMAD-Diagnosetool für Cloud SQL verwenden, und die Prüfungen erläutert, die das Tool durchführt.

Vorbereitung

Achten Sie darauf, dass die folgenden Komponenten eingerichtet sind, bevor Sie das CMAD-Diagnosetool verwenden:

  • Eine Active Directory-Domain.
  • Ein Active Directory-Administratorkonto mit Berechtigungen zum Hinzufügen von Computern zur Ziel-OU.
  • Eine Organisationseinheit (OU) in Active Directory, in der Cloud SQL-Computerkonten erstellt werden.
  • Wenn Sie das Skript auf einer mit der Domain verbundenen VM (anstatt auf einem Domaincontroller) ausführen, muss das Active Directory-Modul für PowerShell (RSAT-AD-PowerShell) installiert sein.

CMAD-Diagnosetool verwenden

Führen Sie die folgenden Schritte aus, um das CMAD-Diagnosetool zu verwenden:

  1. Melden Sie sich auf einem der Domaincontroller oder einer VM an, die mit der Active Directory-Domain verbunden ist.
  2. Laden Sie das Skript diagnose_cmad.ps1 auf der VM herunter.
  3. Starten Sie PowerShell als Administrator.

  4. Führen Sie das Skript diagnose_cmad.ps1 im PowerShell-Fenster mit dem folgenden Befehl aus:

    C:\SCRIPT_PATH\diagnose_cmad.ps1

    Ersetzen Sie SCRIPT_PATH durch den Pfad zu dem Verzeichnis, in das Sie das Skript heruntergeladen haben.

  5. Geben Sie die folgenden Informationen ein, wenn Sie dazu aufgefordert werden:

    • Lokaler Domainname, z. B. my-domain.com
    • AD-Administratorkonto, z. B. myadmin
    • Ziel-OE, z. B. OU=cloud,DC=my-domain,DC=com

Das Tool führt dann eine Reihe von Prüfungen durch, wie unter Vom CMAD-Diagnosetool durchgeführte Prüfungen beschrieben.

Vom CMAD-Diagnosetool durchgeführte Prüfungen

HäkchenBeschreibung Hinweise und Empfehlungen
Verfügbare Domaincontroller Sendet einen Ping an die IP-Adresse jedes Domaincontrollers in der lokalen Domain, um sicherzustellen, dass sie erreichbar sind. Die übrigen Prüfungen werden für die erreichbaren IP-Adressen ausgeführt. Wenn diese Prüfung fehlschlägt, stellen Sie die Netzwerkverbindung zu den übrigen lokalen Domaincontrollern her. Weitere Informationen finden Sie unter Netzwerkinfrastruktur erstellen.
Ports Prüft, ob alle erforderlichen TCP- und UDP-Ports für AD auf allen den lokalen Domaincontrollern geöffnet sind. Diese Prüfung gibt für den RPC-Portbereich (49152–65535) einen Warnstatus zurück, da keine konsistente Liste offener Ports vorhanden ist. Wir empfehlen, zu prüfen, ob ein Firewall-Regelsatz für diesen Bereich festgelegt ist. Weitere Informationen finden Sie unter Firewallregeln für Customer-Managed Active Directory.
DC-Replikation Sucht nach Fehlern bei der AD-Replikation zwischen den lokalen Domaincontrollern. Wenn das Skript auf einer lokalen Domain ausgeführt wird, die einer VM beitritt, schlägt der Status „Fehlgeschlagen“ fehl, wenn Powershell nicht als Active Directory-Domainnutzer ausgeführt wird. Wenn diese Prüfung fehlschlägt, führen Sie die Schritte unter Installation testen aus.
Kerberos-Dienstdatensätze (SRV) Fragt das lokale DNS nach _kerberos._tcp\- und _kerberos._udp-SRV-Datensätzen ab und prüft, ob die Zielhosts korrekt mit dem angegebenen Domainnamen übereinstimmen.

Weitere Informationen finden Sie in der Microsoft-Dokumentation zu SRV-Datensätzen. 		Wenn diese Prüfung fehlschlägt, prüfen Sie, ob die DNS-SRV-Datensätze Ihrer Active Directory-Domain vorhanden und korrekt konfiguriert sind.
Status des AD-Administratorkontos Prüft, ob das für die CMAD-Integration angegebene Administratorkonto vorhanden, aktiviert und nicht gesperrt ist und nicht abgelaufen ist. Wenn diese Prüfung fehlschlägt, entsperren Sie das Nutzerkonto, aktivieren Sie es in „Active Directory-Benutzer und -Computer“ (ADUC) oder aktualisieren Sie die Anmeldedaten in Secret Manager, wenn das Passwort abgelaufen ist.
Organisationseinheit (OU) Prüft, ob der Distinguished Name (DN) der Ziel-Organisationseinheit (OU) in Active Directory vorhanden ist. Wenn diese Prüfung fehlschlägt, prüfen Sie, ob die Ziel-OU in Active Directory vorhanden ist und ob der angegebene DN (z. B. OU=cloud,DC=my-domain,DC=com) korrekt formatiert ist.

Weitere Informationen