Domain Controller mit Zabbix überwachen: Welche Prüfungen wichtig sind

Den Prüfplan aus der AD-Umgebung ableiten

Erfassen Sie Domänen, Standorte, Replikationsverbindungen und die Rollen der Domain Controller. Legen Sie fest, welche Abweichungen im konkreten Betrieb relevant sind. Eine vorübergehend getrennte Testumgebung benötigt andere Erwartungen als die produktive Anmeldung eines Standorts.

Replikation und DNS gemeinsam betrachten

Replikationsfehler können Änderungen an Benutzern oder Gruppen auf einzelnen Domain Controllern verzögern. Neben dem letzten erfolgreichen Austausch sind Fehlercodes und betroffene Partner wichtig. DNS-Auflösung, Netzwerkverbindungen, Authentifizierung und Zeitabgleich gehören zu den Abhängigkeiten der AD-Replikation.

Prüfungen sollten deshalb mehr leisten als einen Ping. Eine DNS-Anfrage muss den erwarteten Inhalt liefern; der Status eines laufenden Dienstes allein genügt dafür nicht. Legen Sie fest, von welchem Netz aus geprüft wird und welche Funktion damit tatsächlich nachgewiesen ist.

Kapazität, Ereignisse und Zeitdienst einbeziehen

Beobachten Sie Speicherplatz, relevante Dienste und ausgewählte Ereignisquellen. Ein einzelner Anmeldefehler hat eine andere Bedeutung als eine auffällige Häufung. Der Zeitdienst ist für die Domänenauthentifizierung wichtig; betrachten Sie Quelle, erfolgreichen Abgleich und Abweichung. Ein lediglich laufender Zeitdienst beweist noch keine korrekte Synchronisierung.

Eigene Skripte kontrolliert anbinden

Wir ergänzen Standardprüfungen durch passende Skripte und Templates. Dabei können Diagnosewerkzeuge wie repadmin oder dcdiag unterstützen. Definieren Sie je Prüfung benötigte Rechte, Laufzeit, Rückgabeformat und Fehlerverhalten. Gewähren Sie dem Monitoring nicht pauschal weitreichende Rechte, nur weil ein einzelnes Diagnoseverfahren diese verlangt.

Eine fehlgeschlagene Abfrage muss als solcher Fehler sichtbar bleiben. Sie darf nicht versehentlich als gesunder Zustand ausgewertet werden. Prüfen Sie die Skripte auch mit fehlenden Berechtigungen, nicht erreichbaren Partnern und unterschiedlichen Systemversionen.

Aus Diagnosedaten werden belastbare Messwerte

Für die Replikation ist beispielsweise repadmin /showrepl ein Ausgangspunkt. Wichtig sind der jeweilige Quellpartner, die Verzeichnispartition, der letzte erfolgreiche Austausch und das Ergebnis des letzten Versuchs. Ein erfolgreicher Aufruf des Programms allein reicht nicht. Das Monitoring muss auch erkennen, wenn Partner fehlen oder ein Abruf gar keine verwertbaren Daten liefert.

Für eine gezielte DNS-Basisdiagnose dokumentiert Microsoft dcdiag /test:DNS /DnsBasic. Der gewählte Test und sein Umfang sind bewusst festzulegen: Andere DNS-Testoptionen können zusätzlich dynamische Registrierungen prüfen. Die Ausgabe enthält Einzelbefunde, die zur Umgebung passen müssen. Für die wiederkehrende Überwachung ist eine definierte DNS-Abfrage mit erwartetem Ergebnis häufig gezielter als ein vollständiger Diagnoselauf.

Messfehler und Domänenfehler getrennt melden

Ein Skript kann als Nutzdaten beispielsweise Prüfstatus, betroffene Partner, Zeitpunkt der letzten erfolgreichen Replikation und Abfragefehler getrennt zurückgeben. Daraus lassen sich einzelne Zabbix-Items ableiten. Ein Zeitlimit, fehlende Rechte oder ein unerwartetes Ausgabeformat müssen einen erkennbaren Fehler ergeben. Bei textbasierten User-Parametern ist eine Fehlermeldung in der Ausgabe nicht automatisch ein nicht unterstütztes Item; die Auswertung muss diesen Fall ausdrücklich behandeln.

Zur Abnahme gehören normale Werte, ein fehlgeschlagener Abruf und ausbleibende Daten. Nutzen Sie dafür freigegebene Testdaten oder eine geeignete Testumgebung; produktive Replikationsverbindungen müssen dafür nicht unterbrochen werden. Prüfen Sie anschließend die gesamte Kette bis zur Meldung im Ticketsystem und den angezeigten Diagnoseinformationen.

Von der Meldung zur Bearbeitung

Passen Sie Schwellenwerte an Replikationstopologie und Betrieb an. Berücksichtigen Sie Wartungsfenster und zusammenhängende Störungen, damit Folgefehler nicht die wichtigste Meldung verdecken. Zu jedem relevanten Alarm gehören Ansprechpartner, Bearbeitungszeiten und eine erste Diagnosehilfe.

Monitoring ergänzt weitere Schutzmaßnahmen

Die Überwachung ersetzt weder Härtung, Backup und Wiederherstellungskonzept noch eine gezielte Sicherheitsanalyse des Active Directory. Sie liefert Beobachtungen, die in den Betrieb und in die Ursachenanalyse einfließen. anyWARE unterstützt von der Bestandsaufnahme über die Einführung bis zur abgestimmten Pflege.