在Windows中估量AD域控制器大小

作者：Gary Olsen 2011-06-10 10:23:04

自從Windows 2000推出以來，管理者和設計者一直想弄明白如何估量域控制器。估量服務器通常涉及到處理器的個數(shù)、物理內存大小、磁盤空間大小以及服務器上可以運行的應用程序。

估量域控制器（DC）的難處在于負載太多變了。域控制器通過Lsass.exe進程來處理身份驗證，這個進程具有許多功能。另外，處理器資源被Ntds.dit數(shù)據(jù)庫以非線性方式的數(shù)據(jù)庫操作占用。因此，域控制器的負載可以是易變的，理由如下：

經(jīng)驗證的客戶機的數(shù)量不可預測，因為多個域控制器共享用于客戶機進入和退出站點的負載。
執(zhí)行驗證的應用程序和輕量級目錄訪問協(xié)議（LDAP）查詢給域控制器增加了額外的負擔。
身份驗證和通過非Windows客戶端訪問Windows資源因輕量級目錄訪問協(xié)議查詢而增加了域控制器的負載。
無效的輕量級目錄訪問協(xié)議查詢可以造成域控制器的不可預測負載。
活躍的目錄分析和監(jiān)測工具造成了域控制器的額外負載。

盡管這些因素使得估量域控制器更加具有挑戰(zhàn)性，但是它仍是有可行性的。關鍵是要衡量實際的性能并確定負載和所需的資源。

我和許多管理員一起工作過，他們的域控制器都不能勝任處理他們業(yè)務的任務。然而，通過使用一些相當簡單的Perfmon性能監(jiān)視分析，我可以減輕域控制器上影響登陸性能的壓力。這樣一來，我反而能夠確定其大小。

Lsass.exe應用程序

Lsass.exe是在Windows 2008和2008 R2中解決域控制器性能問題的關鍵因素，且它負責域控制器上所有的身份驗證活動。為了解決性能問題，Lsass.exe占用CPU和內存資源，并留下詳細的內存足跡。這里的最終目的是獲得足夠的隨機存儲器來把Ntds.dit文件放到內存中，并仍然為輕量級目錄訪問協(xié)議查詢服務。

首先，為了確定需要多少內存，確保所有域控制器都安裝在x64服務器上很重要。如果小于這個數(shù)，Lsass.exe將無法得到它所需的內存。

確定內存大小首先是計算Ntds.dit文件的大小并加20%，然后是Perfmon性能監(jiān)視分析。要做到這點，只需看看%systemroot%\windows\ntds目錄下的Ntds.dit文件大小，并查看任務管理器來查看Lsass.exe的內存占用量。注意，Ntds.dit文件在每個域控制器上的大小是相同的，但是每個站點的輕量級目錄訪問協(xié)議負載可能不同。

處理器估量

活動目錄處理器對計算域控制器內存大小也很重要，它被鏈接到AD Jet數(shù)據(jù)庫會話操作。Windows Server 2008 R2實際上有一個注冊表項來控制這些會話，但是它們需要慎重管理。混合的處理器越多，可用的Jet數(shù)據(jù)庫會話就越多。但是用盡Jet會話會引起許多指示AD資源不足的問題。為了避免這種情況，開始時至少要有4個處理器。

磁盤空間

磁盤空間管理起來相當簡單，它遵循普通的磁盤性能規(guī)則。記著使用高性能的磁盤，并將日志和SYSVOL文件夾放在一個與Ntds.dit文件隔開的磁盤（主軸）。Ntds.dit文件和SYSVOL文件夾的大小將對磁盤空間起到舉足輕重的作用，除非有其它應用程序正在域控制器上運行。

性能分析

通過運行性能監(jiān)視分析，管理員可以確定內存，處理器和磁盤空間上的負載大小，還可確定現(xiàn)有域控制器的性能，在x64平臺上更佳。僅僅使用標準計數(shù)器（內存、處理器、磁盤、網(wǎng)絡等），但是添加NTDS計數(shù)器和Lsass.exe進程計數(shù)器可以最小化對域控制器性能的影響。運行它至少48小時來捕捉兩天的峰值活動和非峰值活動。

一旦分析完成，然后估量Lsass.exe進程計數(shù)器并尋找持續(xù)的、持久的CPU和內存利用率。將此利用率與可用內存比較來確定內存使用率是否與Lsass.exe相符。圖1顯示了在早上幾小時可用內存的增加，同時在輕量級目錄訪問協(xié)議綁定時間上有一個尖峰。

Windows,Active Directory,活動目錄,域控制器