View a markdown version of this page

Fehlerbehebung AWS Verwaltetes Microsoft AD mit hoher CPU-Auslastung - AWS Directory Service
Finden der GrundursacheStrategien zur Problemlösung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung AWS Verwaltetes Microsoft AD mit hoher CPU-Auslastung

Folgendes kann Ihnen bei der Behebung von Problemen mit hoher CPU-Auslastung auf AWS verwalteten Microsoft AD-Domänencontrollern helfen.

Finden der Grundursache

Der erste Schritt bei der Behebung einer hohen CPU-Auslastung besteht darin, CloudWatch Kennzahlen zu analysieren, um Muster zu identifizieren, die den erhöhten Ressourcenverbrauch erklären könnten.

Schritt 1: Überprüfung Directory Service CloudWatch Metriken

Überwachen Sie die Leistung Ihres AWS verwalteten Microsoft AD mithilfe von CloudWatch Metriken, um Verkehrsmuster zu identifizieren, die mit einer hohen CPU-Auslastung korrelieren. Detaillierte Informationen zum Anzeigen und Interpretieren von Directory Service Metriken finden Sie unterWird verwendet CloudWatch , um die Leistung Ihrer AWS verwalteten Microsoft AD-Domänencontroller zu überwachen.

Achten Sie bei den folgenden wichtigen Metriken auf sich ändernde Muster, die den CPU-Anstieg erklären könnten:

  • DNS-Abfragen pro Sekunde — Plötzliche Spitzen können auf Probleme mit der DNS-Auflösung oder auf falsch konfigurierte Anwendungen hinweisen.

  • Kerberos/NTLM Authentifizierungen — Höhere Authentifizierungsraten bei Benutzeranmeldungen oder Dienstkonten.

  • LDAP-Abfragen pro Sekunde — Erhöhter LDAP-Verkehr von Anwendungen oder Diensten.

Vergleichen Sie aktuelle Messwerte mit historischen Basiswerten, um zu ermitteln, wann die hohe CPU-Auslastung begann, und korrelieren Sie sie mit bestimmten Datenverkehrszuwächsen. Wenn in den Metriken keine Korrelation gefunden wird, liegt die Hauptursache nicht in einem überwältigenden Anstieg des Datenverkehrs. Stattdessen ist die Hauptursache wahrscheinlich eine ineffiziente LDAP-Abfrage. Fahren Sie mit fort. Schritt 3: Erfassen Sie eine detaillierte Verkehrsanalyse mit Traffic Mirroring

Schritt 2: Identifizieren Sie Quellmaschinen mithilfe von VPC Flow Logs

VPC Flow Logs bieten eine effektive Methode zur Identifizierung der Quell-IP-Adressen von Maschinen, die Datenverkehr zu Ihren Domain-Controllern generieren. Weitere Informationen finden Sie unter Protokollieren von IP-Datenverkehr mit VPC-Flow-Protokollen. Verwenden Sie die Zielportnummern, um zwischen Diensten zu unterscheiden:

  • Port 53 — DNS-Abfragen

  • Port 88 — Kerberos-Authentifizierung

  • Port 123 — NTP-Uhrsynchronisierung

  • Port 135, 49152-65535 — RPC

  • Ports 389, 636, 3268, 3269 — LDAP-Abfragen (389 oder 3268 für Standard-LDAP, 636 oder 3269 für LDAPS)

  • Port 445 — SMB-Dateifreigabe (Gruppenrichtlinien)

  • Port 464 — Kerberos-Passwort ändern

  • Port 9389 — Active Directory-Webdienst

So aktivieren und analysieren Sie VPC-Flow-Logs:

  • Aktivieren Sie VPC Flow Logs für die Subnetze, die Ihre Domain-Controller-ENIs enthalten.

  • Filtern Sie Protokolle nach Zielports, um Verkehrsmuster zu identifizieren.

  • Organisieren Sie nach den and/or meisten Paketen die meisten Bytes innerhalb eines bestimmten Zeitraums.

  • Analysieren Sie Quell-IP-Adressen, um festzustellen, welche Computer den meisten Datenverkehr generieren.

Schritt 3: Erfassen Sie eine detaillierte Verkehrsanalyse mit Traffic Mirroring

VPC-Flow-Logs bieten begrenzte Informationen über den tatsächlichen Inhalt von Anfragen. Für eine detailliertere Analyse sollten Sie Traffic Mirroring in Betracht ziehen, um vollständige Paketdaten zu erfassen. Weitere Informationen finden Sie unter Erste Schritte mit Traffic Mirroring zur Überwachung des Netzwerkverkehrs. Dies ist besonders nützlich, wenn Sie Folgendes analysieren müssen:

  • Komplexität und Effizienz des LDAP-Filters

  • Spezifische DNS-Abfragemuster

  • Details zur Authentifizierungsanfrage

Mit Traffic Mirroring können Sie komplette Netzwerkpakete erfassen, die an Ihre Domain-Controller-Instances gesendet werden, und ermöglichen so eine gründliche Analyse des Datenverkehrs, der eine hohe CPU-Auslastung verursacht.

Schritt 4: Untersuchen Sie die Quellanwendungen und optimieren Sie den Datenverkehr

Nachdem Sie die Quellcomputer und Datenverkehrsmuster identifiziert haben, untersuchen Sie die Anwendungen, die den Datenverkehr generieren:

  • Überprüfen Sie die Anwendungskonfigurationen — Prüfen Sie, ob Anwendungen ineffiziente Abfragen oder übermäßige Anfragen stellen. Vermeiden Sie es, die Anwendung fest auf einen einzelnen Domänencontroller zu codieren.

  • LDAP-Abfragen analysieren — Ineffiziente LDAP-Abfragen sind die häufigste Ursache für eine hohe CPU-Auslastung des Domänencontrollers. Halten Sie Ausschau nach komplexen Filtern, die von der Attributindizierung profitieren könnten.

  • Untersuchen Sie das DNS-Caching — Stellen Sie sicher, dass das DNS-Client-Caching aktiviert ist, um sich wiederholende Abfragen zu reduzieren.

  • Überprüfen Sie die Authentifizierungsmuster — Stellen Sie fest, ob Dienstkonten zu häufig authentifiziert werden.

Strategien zur Problemlösung

Implementieren Sie auf der Grundlage Ihrer Untersuchung geeignete Optimierungsstrategien:

Optimieren Sie Anwendungen

  • Optimieren Sie LDAP-Abfragen — Schreiben Sie komplexe LDAP-Abfragen neu. Vermeiden Sie es, die Suchbasis auf das Stammverzeichnis der Domäne festzulegen, und konfigurieren Sie sie stattdessen so, dass Sie eine Organisationseinheit verwenden, in der sich die Objekte befinden, nach denen Sie suchen. Vermeiden Sie die Verwendung eines Suchbereichs, der Teilbaumsuchen durchführt. Verwenden Sie stattdessen einen Basisbereich oder einen Bereich mit einer Ebene. Nehmen Sie die Objektklasse in Ihren Filter auf. Zum Beispiel (objectClass=user) oder (objectClass=computer). Vermeiden Sie die Verwendung von Platzhaltern im Filter, es sei denn, das Attribut ist indexiert. Fügen Sie einen Index hinzu, wenn ein Platzhalter-Scan erforderlich ist. Weitere Informationen finden Sie unter Erweitern Sie Ihr AWS verwaltetes Microsoft AD-Schema. Indizieren Sie nicht alles, da der Indizierungsprozess auch die CPU-Auslastung erhöht.

    # Sample LDIF code to index the email attribute
dn: CN=mail,CN=Schema,CN=Configuration,DC=yourdomain,DC=com
changetype: modify
replace: searchFlags
searchFlags: 1

  • DNS-Client-Caching aktivieren — Konfigurieren Sie Clients so, dass DNS-Antworten lokal zwischengespeichert werden, um die Serverlast zu reduzieren.

  • Verbindungspooling implementieren — Konfigurieren Sie Anwendungen so, dass sie LDAP-Verbindungen wiederverwenden, anstatt für jede Abfrage neue zu erstellen.

Skalieren Sie Ihre Verzeichnisinfrastruktur

Wenn die Optimierung des Datenverkehrs die hohe CPU-Auslastung nicht behebt:

Preisinformationen zu den AWS verwalteten Microsoft AD-Editionen finden Sie unter Directory Service Preise.