Repadmin ：检查Active Directory复制/健康状态

在网络管理这个充满活力的领域中，确保Active Directory（AD）的无缝运行对于组织的IT基础设施的稳定性和可靠性至关重要。作为用户身份验证和数据管理的核心，AD依赖于域控制器之间强大的复制机制。本文深入探讨了监控AD复制健康状况的关键任务，探讨了Repadmin工具的重要性。

Repadmin是安装在运行Windows Server 2008及更新版本的所有域控制器上的Active Directory复制诊断工具。我们也可以使用远程服务器管理工具（RSAT）在其他计算机上安装Repadmin。在本文的后续部分，我们将介绍如何使用Repadmin以及在诊断结果中要注意的内容，但在此之前，让我们简要了解一下Repadmin是什么。

Repadmin工具简介

我们主要使用Repadmin工具来在域控制器之间强制复制或诊断网络中的复制问题。我们还可以使用该工具手动配置域的复制拓扑。但需要注意的是，由于手动更改Active Directory中的复制拓扑涉及复杂性和潜在的错误，可能导致复制失败和停机，因此不建议这样做。推荐使图形化界面和符合最佳实践的自动化工具，如Active Directory站点和服务控制台或PowerShell cmdlet，以确保更可靠和高效的复制拓扑。

目前，我们将专注于最常用的命令：

repadmin /replsummary：提供有关域控制器之间复制状态的汇总信息
repadmin /showrepl：显示域控制器之间的详细复制信息
repadmin /queue：用于查看在域控制器上的复制队列
repadmin /syncall：同步指定域控制器上的所有目录分区
repadmin /syncall /AdeP：将更改从运行该命令的域控制器推送到所有其他域控制器
repadmin /replicate：显示入站复制队列

复制摘要

Repadmin的主要功能之一是监控域控制器之间的复制状态。有两个选择：使用命令repadmin /replsummary查看所有域控制器之间复制状态的汇总信息或使用repadmin /showrepl查看域控制器之间的详细复制信息，包括复制连接的状态、命名上下文等。

repadmin /replsummary

我们看到两个包含统计信息的表；第一个是源DSA，这是出站复制的统计信息。后一个是目标DSA，这是入站复制的统计信息。

largest delta是需要我们关注的，它告诉我们两个域控制器之间最长未使用连接的时间。现在，这个时间长达60分钟，这是正常的。

我们的域通常会在几秒内复制更改，比如密码重置。但其他更改，比如架构更改，有时只发生一次，每小时只检查一次。域控制器每小时至少检查一次更改，这就是为什么时间可能达到60分钟的原因。

total字段显示域控制器的复制链接数。fails告诉我们有多少个具有失败状态的链接（当然应该是零），而%%是失败链接占总数的百分比。如果有错误我们会在error字段中看到错误代码

复制的详细信息

在出现错误的情况下，我们必须放大对复制的观察，以查看出了什么问题。为此，请使用命令repadmin /showrepl。它显示所有入站连接及其状态，并显示域控制器之间的复制状态。

repadmin /showrepl

Source and Destination Domain Controllers（源和目标域控制器）： 列出参与复制的域控制器，指示复制的源和目标。
Naming Contexts（命名上下文）： 显示正在复制的命名上下文，如默认目录分区和应用程序目录分区。
Last Successful Replication Time（最后一次成功复制时间）： 指示上一次成功复制发生的时间。
Failure Timestamps（失败时间戳）： 如果有复制失败，显示上一次失败复制尝试的时间戳。
Status of Replication（复制状态）： 显示复制是成功的、正在进行中还是遇到错误。
Consecutive Failures（连续失败）： 指示连续复制失败的次数。
Propagation Synchronization Objects（传播同步对象）： 显示特定对象的复制状态。

通过添加参数/all来进一步放大，该参数还添加了出站连接和KCC连接对象。如果我们有很多连接，这在有很多域控制器时可能会发生，那么建议添加/errorsonly参数。顾名思义，这只显示处于错误状态的连接，从而使故障排除变得更加容易。

显示复制队列

在大型复杂的AD环境中，存在一些小的复制队列是可以接受的，但对于较小的网络，复制队列应始终保持为0。如果我们遇到复制问题，监视队列是检查域是否健康的绝佳方式。

repadmin /queue

Active Directory中的repadmin /queue命令用于查看域控制器上的复制队列。管理在域控制器之间等待处理的复制请求的关键组件。运行repadmin /queue可以对挂起的复制操作提供有价值的见解。

repadmin /queue命令的结果包括以下信息：

Naming Contexts（命名上下文）： 列出复制请求等待在域控制器之间进行处理的命名上下文。
Source and Destination Domain Controllers（源和目标域控制器）： 显示参与复制的域控制器，指示待处理的复制请求的来源和目标。
Pending Operations（待处理的操作）： 详细列出等待处理的复制操作的类型和数量。

通过检查repadmin /queue的结果，管理员可以识别潜在的瓶颈，排除复制延迟并采取纠正措施，以确保域控制器之间的及时和高效同步。监视复制队列对于维护Active Directory复制过程的健康和性能至关重要。

强制域同步

有的时候我们需要强制域控制器之间的同步，例如，在一个域控制器上创建新用户并要求在Microsoft 365中使用该用户。然后，我们希望将新用户尽快同步到Azure AD以便于域控制器使用。

在单域环境中强制同步的最常见方式是运行下面的命令。这个命令将从我们运行命令的域控制器向所有其他域控制器推送所有更改。

repadmin /syncall /AdeP

Adep字母顺序可以任意排队，每个字母的功能解释如下：

A：此开关代表“All partitions”（所有分区）。使用时，它指示Repadmin同步在指定的域控制器上托管的所有目录分区，确保发生在该域控制器上的每个分区的复制。
d： “d”开关表示“Domain”（域）。它指定同步应在域级别进行，包括域目录分区。
e： “e”开关表示“Enterprise Configuration”（企业配置）。它包括配置目录分区，确保同步企业配置中的任何更改。
P：此开关代表“Schema”（架构）。包括此开关确保同步模式目录分区，从而允许传播在Active Directory森林中进行的任何架构更改。

除了将更改向外推送到其他域控制器之外，我们还可以将更改拉到我们运行命令的域控制器。为此，我们只需要移除标志P。

repadmin /syncall /Ade

其他同步选项

还有其他方法可以强制在域控制器之间进行复制。例如，我们可以使用repadmin /syncall命令加域控制器名称，强制只复制指定的域控制器:

repadmin /syncall dc01

强制复制

Repadmin提供了一组不同的命令，其中/ replication命令是管理员寻求对Active Directory复制进行精确控制的关键工具。执行/ replication命令后，管理员可以立即触发指定域控制器之间的复制。这种有针对性的方法在以下情况下证明是非常宝贵的:

强制紧急复制：在需要及时传播信息的情况下，/replicate命令允许管理员强制紧急复制，确保更新始终在网络中传播。
解决残留对象问题：该命令在解决残留对象问题时特别有用，在大型和复杂的AD环境中，这是一个常见问题。通过精确启动复制，管理员通过初始化复制来解决差异并保持数据一致性。
隔离和测试复制路径：管理员使用/replicate命令有选择地测试复制路径，为故障排除提供了细颗粒度的方法。这种有针对性的测试确保管理员准确地识别和解决复制问题。

repadmin /replicate dc01 srvlab03 CN=Configuration,DC=contoso,DC=co

repadmin / replication命令为管理员提供了一种细粒度的控制机制，可以精确地编排和验证复制过程。这种级别的控制有助于维护健康和高效的Active Directory环境。

Repadmin命令和监控AD复制的健康状况

确保Active Directory（AD）的无缝运行对于我们网络基础设施的整体健康和功能至关重要。Repadmin命令是一个为管理员提供检查和管理AD复制的强大工具。

定期执行Repadmin命令可以实时了解域控制器的复制状态，使管理员能够及时识别和纠正问题。例如:

检测复制失败： Repadmin的实时监控使管理员能够迅速发现复制失败，防止潜在的数据不一致，确保数据完整性。
排除故障： 管理员可以通过使用Repadmin监控AD复制的健康状况，迅速排除问题。这种主动的方法减少了停机时间，增强了网络的整体可靠性。
高效利用资源： 使用Repadmin监视AD复制有助于通过准确定位和解决低效问题来优化资源利用。这个过程反过来确保网络操作保持平稳和响应灵敏。