AWS Managed Microsoft AD, geringer verfügbarer Speicherplatz - AWS Directory Service
SYSVOL-Ordner speichert nicht nur wesentliche GruppenrichtlinienobjekteDie Active-Directory-Datenbank hat das Volume ausgefüllt

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS Managed Microsoft AD, geringer verfügbarer Speicherplatz

Wenn Ihr AWS verwaltetes Microsoft AD beeinträchtigt ist aufgrund von Active Directory Da wenig Speicherplatz verfügbar ist, sind sofortige Maßnahmen erforderlich, um das Verzeichnis wieder in den aktiven Zustand zu versetzen. Die beiden häufigsten Ursachen für diese Beeinträchtigung werden in den folgenden Abschnitten behandelt:

  1. SYSVOL-Ordner speichert nicht nur wesentliche Gruppenrichtlinienobjekte

  2. Die Active-Directory-Datenbank hat das Volume ausgefüllt

Preisinformationen zu AWS verwaltetem Microsoft AD-Speicher finden Sie unter AWS Directory Service Preise.

SYSVOL-Ordner speichert nicht nur wesentliche Gruppenrichtlinienobjekte

Eine häufige Ursache für diese Beeinträchtigung ist das Speichern nicht wesentlicher Dateien für die Verarbeitung von Gruppenrichtlinien im SYSVOL-Ordner. Bei diesen unwichtigen Dateien kann es sich um EXEs MSIs, oder jede andere Datei handeln, deren Verarbeitung durch Gruppenrichtlinien nicht unbedingt erforderlich ist. Die wesentlichen Objekte für die Verarbeitung von Gruppenrichtlinien sind Gruppenrichtlinienobjekte, An-/Abmeldeskripts und der zentrale Speicher für Gruppenrichtlinienobjekte. Alle nicht benötigten Dateien sollten auf einem oder mehreren Dateiservern als Ihren AWS verwalteten Microsoft AD-Domänencontrollern gespeichert werden.

Wenn Dateien für die Gruppenrichtlinien-Softwareinstallation benötigt werden, sollten Sie einen Dateiserver verwenden, um diese Installationsdateien zu speichern. Wenn Sie einen Dateiserver nicht selbst verwalten möchten, AWS bietet Amazon eine verwaltete Dateiserver-Option an FSx.

Um nicht erforderliche Dateien zu entfernen, können Sie über den UNC-Pfad (Universal Naming Convention) auf die SYSVOL-Freigabe zugreifen. Wenn der vollqualifizierte Domainname (FQDN) Ihrer Domain beispielsweise example.com ist, lautet der UNC-Pfad für SYSVOL „\\example.local\SYSVOL\example.local\“. Sobald Sie Objekte, die für die Verarbeitung des Verzeichnisses von Gruppenrichtlinien nicht erforderlich sind, gefunden und entfernt haben, sollte das Verzeichnis innerhalb von 30 Minuten zum Status „Aktiv“ zurückkehren. Wenn das Verzeichnis nach 30 Minuten nicht aktiv ist, wenden Sie sich bitte an den AWS Support.

Wenn Sie nur wesentliche Gruppenrichtliniendateien in Ihrer SYSVOL-Freigabe speichern, wird sichergestellt, dass Sie Ihr Verzeichnis durch Aufblähen des SYSVOL-Ordners nicht beeinträchtigen.

Die Active-Directory-Datenbank hat das Volume ausgefüllt

Eine häufige Ursache für diese Beeinträchtigung ist darauf zurückzuführen, dass die Active Directory-Datenbank das Volume füllt. Um festzustellen, ob dies der Fall ist, können Sie die Gesamtzahl der Objekte in Ihrem Verzeichnis überprüfen. Das Wort Gesamtzahl ist fett formatiert, um sicherzustellen, dass Sie verstehen, dass gelöschte Objekte zur Gesamtzahl der Objekte in einem Verzeichnis zählen.

Standardmäßig bewahrt AWS Managed Microsoft AD Elemente 180 Tage lang im AD-Papierkorb auf, bevor sie zu einem recycelten Objekt werden. Sobald ein Element zu einem Recycled-Objekt (veraltet) wird, wird es für weitere 180 Tage aufbewahrt. Anschließend wird es dauerhaft aus dem Verzeichnis gelöscht. Wenn also ein Objekt gelöscht wird, war es vor dem Löschen noch 360 Tage in der Verzeichnisdatenbank vorhanden. Aus diesem Grund muss die Gesamtzahl der Objekte berücksichtigt werden.

Weitere Informationen zur Anzahl von Objekten, die von AWS Managed Microsoft AD unterstützt werden, finden Sie unter AWS Directory Service Preise.

Um die Gesamtzahl der Objekte in einem Verzeichnis abzurufen, das die gelöschten Objekte enthält, können Sie den folgenden PowerShell Befehl von einer Windows-Instanz aus ausführen, die der Domäne angehört. Anweisungen zum Einrichten einer Verwaltungs-Instance finden Sie unter Benutzer- und Gruppenverwaltung in AWS Managed Microsoft AD. 

Get-ADObject -Filter * -IncludeDeletedObjects | Measure-Object -Property 'Count' | Select-Object -Property 'Count'

Nachfolgend ist eine Beispielausgabe für den obigen Befehl aufgeführt:

Count
10000

Wenn die Gesamtzahl über der unterstützten Objektanzahl für die in der obigen Anmerkung aufgeführten Verzeichnisgröße liegt, haben Sie die Kapazität Ihres Verzeichnisses überschritten.

Im Folgenden sind die Optionen aufgeführt, um diese Beeinträchtigung zu beheben:

  1. AD bereinigen

    1. Löschen Sie alle unerwünschten AD-Objekte.

    2. Entfernen Sie alle Objekte, die nicht erforderlich sind, aus dem AD-Papierkorb. Beachten Sie, dass dieser Vorgang destruktiv ist. Die einzige Möglichkeit, diese gelöschten Objekte wiederherzustellen, besteht in der Wiederherstellung des Verzeichnisses.

    3. Mit dem folgenden Befehl werden alle gelöschten Objekte aus dem AD-Papierkorb entfernt.

      Wichtig

      Verwenden Sie diesen Befehl mit äußerster Vorsicht, da dies ein destruktiver Befehl ist, und die einzige Möglichkeit, diese gelöschten Objekte wiederherzustellen, besteht in der Wiederherstellung des Verzeichnisses. 

      $DomainInfo = Get-ADDomain
$BaseDn = $DomainInfo.DistinguishedName
$NetBios = $DomainInfo.NetBIOSName
$ObjectsToRemove = Get-ADObject -Filter { isDeleted -eq $true } -IncludeDeletedObjects -SearchBase "CN=Deleted Objects,$BaseDn" -Properties 'LastKnownParent','DistinguishedName','msDS-LastKnownRDN' | Where-Object { ($_.LastKnownParent -Like "*OU=$NetBios,$BaseDn") -or ($_.LastKnownParent -Like '*\0ADEL:*') }
ForEach ($ObjectToRemove in $ObjectsToRemove) { Remove-ADObject -Identity $ObjectToRemove.DistinguishedName -IncludeDeletedObjects }

    4. Eröffnen Sie einen Fall beim AWS Support, um die AWS Directory Service Rückforderung des freien Speicherplatzes zu beantragen.

  2. Wenn Ihr Verzeichnistyp Standard Edition ist, wenden Sie sich an den AWS Support und fordern Sie ein Upgrade Ihres Verzeichnisses auf Enterprise Edition an. Dadurch erhöhen sich auch die Kosten für Ihr Verzeichnis. Preisinformationen finden Sie unter AWS Directory Service  – Preise.

In AWS Managed Microsoft AD haben Mitglieder der Administratorgruppe AWS Delegated Deleted Object Lifetime die Möglichkeit, das msDS-DeletedObjectLifetime Attribut zu ändern, das festlegt, wie lange (in Tagen) gelöschte Objekte im AD-Papierkorb aufbewahrt werden, bevor sie zu recycelten Objekten werden.

Anmerkung

Dies ist ein Thema für Fortgeschrittene. Bei unsachgemäßer Konfiguration können Datenverluste die Folge sein. Es wird dringend empfohlen, zuerst The AD Recycle Bin: Understanding, Implementing, Best Practices, and Troubleshooting zu lesen, um diese Prozesse besser zu verstehen.

Die Möglichkeit, den Wert des Attributs msDS-DeletedObjectLifetime in eine niedrigere Zahl zu ändern, kann dazu beitragen, dass die Anzahl der Objekte die unterstützten Grenzwerte nicht überschreitet. Der niedrigste gültige Wert, auf den dieses Attribut eingestellt werden kann, ist 2 Tage. Sobald dieser Wert überschritten wird, können Sie das gelöschte Objekt mit dem AD-Papierkorb nicht mehr wiederherstellen. Zum Wiederherstellen gelöschter Objekte müssen Sie Ihr Verzeichnis mithilfe eines Snapshots wiederherstellen. Weitere Informationen finden Sie unter Wiederherstellung Ihres AWS verwalteten Microsoft AD mit Snapshots. Wiederherstellungen aus Snapshots können zu Datenverlust führen, da sie zeitpunktbezogen sind.

Führen Sie den folgenden Befehl aus, um die Lebensdauer der gelöschten Objekte Ihres Verzeichnisses zu ändern:

Anmerkung

Wenn Sie den Befehl so ausführen, wie er ist, wird der Attributwert für die Lebensdauer der gelöschten Objekte auf 30 Tage festgelegt. Wenn Sie die Lebensdauer verlängern oder verkürzen möchten, ersetzen Sie „30“ durch die gewünschte Zahl. Wir empfehlen jedoch, keinen höheren Wert als die Standardanzahl 180 zu verwenden.

$DeletedObjectLifetime = 30
$DomainInfo = Get-ADDomain
$BaseDn = $DomainInfo.DistinguishedName
Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,$BaseDn" -Partition "CN=Configuration,$BaseDn" -Replace:@{"msDS-DeletedObjectLifetime" = $DeletedObjectLifetime}