Strumento di diagnostica Active Directory gestito dal cliente per Cloud SQL

Lo strumento di diagnostica di Active Directory gestito dal cliente (CMAD) è uno script di PowerShell di utilità che ti aiuta a risolvere i problemi di configurazione di Active Directory con il tuo dominio prima o durante l'integrazione con Cloud SQL in Google Cloud.

Lo strumento esegue vari controlli per verificare la presenza di problemi, ad esempio porte chiuse, raggiungibilità del domain controller (DC), stato dell'account ed esistenza dell'unità organizzativa (OU). Viene eseguito su una VM Windows che è uno dei domain controller o su una macchina aggiunta al dominio per il tuo dominio Active Directory.

Questa pagina descrive come utilizzare lo strumento di diagnostica CMAD per Cloud SQL e spiega i controlli eseguiti dallo strumento.

Prerequisiti

Prima di procedere con l'utilizzo dello strumento di diagnostica CMAD, assicurati di aver configurato i seguenti componenti:

  • Un dominio Active Directory.
  • Un account amministratore di Active Directory con le autorizzazioni per aggiungere computer all'UO di destinazione.
  • Un'unità organizzativa (OU) in Active Directory in cui verranno creati gli account computer di Cloud SQL.
  • Se esegui lo script su una VM aggiunta al dominio (anziché su un domain controller), deve essere installato il modulo Active Directory per PowerShell (RSAT-AD-PowerShell).

Come utilizzare lo strumento di diagnostica CMAD

Per utilizzare lo strumento di diagnostica CMAD, segui questi passaggi:

  1. Accedi a uno dei domain controller o a una VM aggiunta al dominio Active Directory.
  2. Scarica lo script diagnose_cmad.ps1 sulla VM.
  3. Avvia PowerShell come amministratore.

  4. Esegui lo script diagnose_cmad.ps1 nella finestra di PowerShell utilizzando il seguente comando:

    C:\SCRIPT_PATH\diagnose_cmad.ps1

    Sostituisci SCRIPT_PATH con il percorso della directory in cui hai scaricato lo script.

  5. Inserisci le seguenti informazioni quando richiesto:

    • Nome di dominio on-premise, ad esempio my-domain.com
    • Account amministratore AD, ad esempio myadmin
    • OU di destinazione, ad esempio OU=cloud,DC=my-domain,DC=com

Lo strumento esegue quindi una serie di controlli, come descritto in Controlli eseguiti dallo strumento di diagnostica CMAD.

Controlli eseguiti dallo strumento di diagnostica CMAD

ControlloDescrizione Note e consigli
Domain controller disponibili Esegue un ping all'indirizzo IP di ogni domain controller nel dominio on-premise domain per assicurarsi che siano raggiungibili. I controlli rimanenti vengono eseguiti sugli indirizzi IP raggiungibili. In caso di errore di questo controllo, assicurati che la connettività di rete ai domain controller on-premise rimanenti sia attiva. Per saperne di più, consulta Creazione dell'infrastruttura di rete.
Porte Verifica che tutte le porte TCP e UDP richieste per AD siano aperte su tutti i domain controller on-premise. Questo controllo restituisce uno stato di avviso per l'intervallo di porte RPC (49152-65535) perché non ha un elenco coerente di porte aperte. Ti consigliamo di verificare che sia impostato un set di regole firewall per consentire questo intervallo. Per saperne di più, consulta Regole firewall di Active Directory gestito dal cliente.
Replica DC Cerca eventuali errori di replica AD tra i domain controller on-premise. Se lo script viene eseguito su una VM aggiunta al dominio on-premise, è previsto uno stato di errore se PowerShell non viene eseguito come utente del dominio Active Directory. In caso di errore di questo controllo, segui i passaggi indicati in Test dell'installazione.
Record del servizio Kerberos (SRV) Esegue una query sul DNS locale per i record SRV _kerberos._tcp e _kerberos._udp e verifica che gli host di destinazione corrispondano correttamente al nome di dominio fornito.

Per saperne di più, consulta la documentazione di Microsoft sui record SRV. 		Se questo controllo non va a buon fine, verifica che i record SRV DNS del tuo dominio Active Directory esistano e siano configurati correttamente.
Stato dell'account amministratore AD Verifica che l'account amministratore specificato per l'integrazione CMAD esista, sia abilitato, non sia bloccato e non sia scaduto. Se questo controllo non va a buon fine, sblocca l'account utente, abilita l'account in Utenti e computer di Active Directory (ADUC) o aggiorna le credenziali in Secret Manager se la password è scaduta.
Unità organizzativa (OU) Verifica che il nome distinto (DN) dell'unità organizzativa (OU) di destinazione esista in Active Directory. Se questo controllo non va a buon fine, verifica che l'OU di destinazione esista in Active Directory e che il DN fornito (ad esempio, OU=cloud,DC=my-domain,DC=com) sia formattato correttamente.

Passaggi successivi