Como configurar uma implantação do AD FS com grupos de disponibilidade Always On

Uma topologia distribuída geograficamente altamente disponível fornece:

• Eliminação de um ponto único de falha: com recursos de failover, você pode obter uma infraestrutura altamente disponível do AD FS mesmo se um dos datacenters em alguma parte do mundo ficar inativo.
• Desempenho aprimorado: você pode usar a implantação sugerida para fornecer uma infraestrutura do AD FS de alto desempenho

O AD FS pode ser configurado para um cenário altamente disponível distribuído geograficamente. O guia a seguir apresentará uma visão geral do AD FS com grupos de disponibilidade Always On do SQL e fornecerá considerações e diretrizes de implantação.

Visão geral de grupos de disponibilidade Always On

Para obter mais informações sobre os grupos de disponibilidade AlwaysOn, consulte Visão geral de grupos de disponibilidade Always On (SQL Server)

Da perspectiva dos nós de um farm de SQL Server do AD FS, o grupo disponibilidade AlwaysOn substitui a única instância do SQL Server como o banco de dados de política/artefato.  O ouvinte do grupo de disponibilidade é o que o cliente (o serviço de token de segurança do AD FS) usa para se conectar ao SQL. O diagrama a seguir mostra um Farm de SQL Server do AD FS com o grupo disponibilidade AlwaysOn.

Um AG (Grupo de Disponibilidade) Always On é um ou mais bancos de dados de usuário que fazem failover juntos. Um grupo de disponibilidade consiste em uma réplica de disponibilidade primária e em uma a quatro réplicas secundárias que são mantidas pelo movimento de dados baseado em log do SQL Server para proteção de dados, dispensando o armazenamento compartilhado. Cada réplica é hospedada por uma instância do SQL Server em um nó diferente do WSFC. O grupo de disponibilidade e um nome de rede virtual correspondente são registrados como recursos no cluster do WSFC.

Um ouvinte de grupo de disponibilidade no nó de réplica primária responde às solicitações de cliente de entrada para conectar-se ao nome de rede virtual e, com base nos atributos da cadeia de conexão, redireciona cada solicitação à instância apropriada do SQL Server . No caso de um failover, em vez de transferir a propriedade de recursos físicos compartilhados para outro nó, o WSFC é utilizado para reconfigurar uma réplica secundária em outra instância do SQL Server para se tornar a réplica primária do grupo de disponibilidade. O recurso de nome de rede virtual do grupo de disponibilidade é transferido para aquela instância. A qualquer determinado momento, apenas uma única instância do SQL Server pode hospedar a réplica primária dos bancos de dados de um grupo de disponibilidade. Cada réplica secundária associada deve residir em uma instância separada, e cada instância deve residir em nós físicos separados.

Para obter visão geral adicional dos grupos de disponibilidade AlwaysOn, consulte Visão geral de grupos de disponibilidade Always On (SQL Server).

Diretrizes de implantação

1. Considere o banco de dados correto para as metas da implantação do AD FS. O AD FS usa um banco de dados para armazenar a configuração e, em alguns casos, os dados transacionais relacionados ao Serviço de Federação. Use o software dos AD FS para selecionar o WID (Banco de dados interno do Windows) ou o Microsoft SQL Server 2008 ou mais recente para armazenar os dados no serviço de federação. A tabela a seguir descreve as diferenças nos recursos compatíveis entre um WID e um banco de dados SQL.

Se você for de uma grande organização com mais de 100 relações de confiança que precisa fornecer tanto aos usuários internos quanto externos acesso de logon único a aplicativos ou serviços com federação, SQL é a opção recomendada.

Se você for uma organização com 100 ou menos relações de confiança configuradas, o WID fornecerá redundância de serviço de federação e dados (em que cada servidor de federação replica as alterações em outros servidores de federação no mesmo farm). O WID não dá suporte à detecção de detecção de reprodução de token ou resolução de artefatos e tem um limite de 30 servidores de federação. Para obter mais informações sobre como planejar sua implantação, visite aqui.

Soluções de alta disponibilidade do SQL Server

Se você estiver usando o SQL Server como seu banco de dados de configuração do AD FS, configure a redundância geográfica para seu farm do AD FS usando a replicação do SQL Server. A redundância geográfica replica dados entre dois sites geograficamente distantes para que os aplicativos possam mudar de um site para outro. Dessa forma, em caso de falha de um site, você ainda pode ter todos os dados de configuração disponíveis no segundo site.  Se o SQL for o banco de dados apropriado para suas metas de implantação, continue neste guia de implantação.

Este guia abordará o seguinte

• Implantação de AD FS
• Configuração de AD FS para usar grupos de disponibilidade Always On
• Instalação da função de clustering de failover
• Execução de testes de validação de cluster
• Habilitação de grupos de disponibilidade Always On
• Fazer backup de bancos de dados de AD FS
• Criação de grupos de disponibilidade AlwaysOn
• Adicionar bancos de dados no segundo nó
• Adicionar réplicas de disponibilidade em grupos de disponibilidade
• Atualização da cadeia de conexão de SQL

Implantação de AD FS

Este guia de implantação mostrará um farm de dois nós com dois servidores SQL como exemplo. Para implantar o AD FS, siga os links iniciais abaixo para instalar o Serviço de Função dos AD FS. Para configurar para um grupo AoA, existem etapas adicionais para a função.

• Ingressar um computador em um domínio
• Registrar um certificado SSL do AD FS
• Instalar o serviço de função do AD FS

Configuração do AD FS para uso de um grupo de disponibilidade AlwaysOn

A configuração de um farm dos AD FS com grupos de disponibilidade AlwaysOn exige uma pequena modificação no procedimento de implantação dos AD FS. Verifique se cada instância de servidor está executando a mesma versão do SQL. Para exibir a lista completa de pré-requisitos, restrições e recomendações para grupos de disponibilidade Always On, leia aqui.

1. Os bancos de dados que você deseja fazer backup devem ser criados antes que os grupos de disponibilidade AlwaysOn possam ser configurados. O AD FS cria seus bancos de dados como parte da configuração e da definição inicial do primeiro nó de serviço de federação de um novo farm de SQL Server do AD FS. Especifique o nome do host do banco de dados para o farm existente usando o SQL Server. Como parte da configuração dos AD FS, você deve especificar uma cadeia de conexão SQL, portanto, será necessário configurar o primeiro farm de AD FS para se conectar diretamente a uma instância do SQL (isso é apenas temporário). Para obter diretrizes específicas sobre como configurar um farm do AD FS, incluindo a configuração de um nó de farm do AD FS com uma cadeia de conexão do SQL Server, consulte Configurar um servidor de federação.

2. Verifique a conectividade com o banco de dados usando o SSMS e conecte-se ao nome do host do banco de dados de destino. Se for adicionar outro nó ao farm de federação, conecte-se ao banco de dados de destino.
3. Especifique o certificado SSL para o farm dos AD FS.

4. Conectar o farm a uma conta de serviço ou gMSA.

5. Concluir a configuração e a instalação do farm dos AD FS.

Instalação da função de clustering de failover

A função cluster de failover do Windows Server fornece o Para obter mais informações sobre clusters de failover do Windows Server,

1. Inicie o Gerenciador do Servidor.
2. No menu Gerenciar, selecione Adicionar Funções e Recursos.
3. Na página Antes de começar, selecione Avançar.
4. Na página Selecionar tipo de instalação, escolha Instalação baseada em função ou recurso e selecione Avançar.
5. Na página Selecionar servidor de destino, escolha o servidor SQL em que deseja instalar o recurso e selecione Avançar.

6. Na página Selecionar funções do servidor, selecione Avançar.
7. Na página Selecionar recursos, marque a caixa de seleção Clustering de Failover.

8. Na página Confirmar seleções da instalação, selecione Instalar. A reinicialização do servidor não é necessária para o recurso de Clustering de Failover.
9. Quando a instalação for concluída, selecione Fechar.
10. Repita esse procedimento em todos os servidores que deseja adicionar como nós de cluster de failover.

Execução de testes de validação de cluster

1. Em um computador que tenha Ferramentas de Gerenciamento de Cluster de Failover instaladas a partir das Ferramentas de Administração de Servidor Remoto ou em um servidor no qual você tenha instalado o recurso de Clustering de Failover, inicie o Gerenciador de Cluster de Failover. Para fazer isso em um servidor, inicie o Gerenciador do Servidor e, no menu Ferramentas, selecione Gerenciador de Cluster de Failover.
2. No painel Gerenciador de Cluster de Failover, em Gerenciamento, selecione Validar Configuração.
3. Na página Antes de começar, selecione Avançar.
4. Na página Selecionar Servidores ou um Cluster, na caixa Insira o nome, insira o nome NetBIOS ou o nome de domínio totalmente qualificado de um servidor que você pretende adicionar como um nó de cluster de failover e selecione Adicionar. Repita essa etapa para cada servidor que quiser adicionar. Para adicionar vários servidores ao mesmo tempo, separe os nomes usando uma vírgula ou um ponto e vírgula. Por exemplo, digite os nomes no formato server1.contoso.com, server2.contoso.com. Quando tiver terminado, selecione Avançar.

5. Na página Opções de Teste, selecione Executar todos os testes (recomendado) e Avançar.
6. Na página Confirmação, selecione Avançar. A página Validando exibe o status dos testes em execução.
7. Na página Resumo, realize uma destas ações:

• Se os resultados indicarem que os testes foram concluídos com sucesso e a configuração é adequada ao clustering, e se você desejar criar o cluster imediatamente, marque a caixa de seleção Criar o cluster agora usando os nós validados e selecione Concluir. Em seguida, continue na etapa 4 do procedimento Criar o cluster de failover.

• Se os resultados indicarem que existem avisos ou falhas, escolha Exibir Relatório para ver os detalhes e determinar os problemas que precisam ser corrigidos. Observe que uma advertência para um teste de validação específico indica que esse aspecto do cluster de failover pode ser aceito, mas pode não atender às melhores práticas recomendadas.

Criar o cluster de failover

Para concluir esta etapa, verifique se a conta de usuário com a qual você fez logon atende aos requisitos destacados na seção Verificar os pré-requisitos deste tópico.

1. Inicie o Gerenciador do Servidor.
2. No menu Ferramentas, selecione Gerenciador de Cluster de Failover.
3. No painel do Gerenciador de Cluster de Failover, em Gerenciamento, selecione Criar Cluster. O Assistente para Criação de Clusters é aberto.
4. Na página Antes de Começar escolha Avançar.
5. Se a página Selecionar Servidores for exibida, na caixa Insira o nome, insira o nome NetBIOS ou o nome de domínio totalmente qualificado do servidor que você pretende adicionar como um nó de cluster de failover e selecione Adicionar. Repita essa etapa para cada servidor que quiser adicionar. Para adicionar vários servidores ao mesmo tempo, separe os nomes usando vírgula ou ponto e vírgula. Por exemplo, digite os nomes no formato server1.contoso.com; server2.contoso.com. Quando tiver terminado, selecione Avançar.

6. Se você tiver ignorado a validação anteriormente, a página Advertência de Validação será exibida. É expressamente recomendável realizar a validação do cluster. Apenas os clusters que são aprovados em todos os testes de validação são aceitos pela Microsoft. Para executar os testes de validação, selecione Sim e Avançar. Conclua o Assistente de Validação de Configuração, conforme descrito no procedimento Validar a configuração.
7. Na página Ponto de Acesso para Administrar o Cluster, faça o seguinte:

• Na caixa Nome do Cluster, digite o nome que deseja usar para administrar o cluster. Antes disso, examine as seguintes informações:
• Durante a criação do cluster, esse nome é registrado como o objeto de computador do cluster (também conhecido como CNO ou objeto de nome do cluster) no AD DS. Se você especificar um nome NetBIOS para o cluster, o CNO será criado no mesmo local em que residem os objetos de computador dos nós do cluster. Isso pode ser o contêiner de computadores padrão ou uma OU.
• Para especificar um local diferente para o CNO, você pode digitar o nome diferenciado de uma OU na caixa Nome do Cluster. Por exemplo: CN=ClusterName, OU=Clusters, DC=Contoso, DC=com.
• Se um administrador do domínio tiver pré-configurado o CNO em uma OU diferente da qual residem os nós do cluster, especifique o nome diferenciado fornecido pelo administrador do domínio.
• Se o servidor não tiver um adaptador de rede configurado para usar protocolo DHCP, você deverá configurar um ou mais endereços IP estáticos para o cluster de failover. Marque a caixa de seleção ao lado de cada rede que deseja usar para o gerenciamento de cluster. Escolha o campo Endereço ao lado de uma rede selecionada e insira o endereço IP que deseja atribuir ao cluster. Esse endereço (ou endereços) IP será associado ao nome do cluster no DNS (Sistema de Nomes de Domínio).
• Quando tiver terminado, selecione Avançar.

8. Na página Confirmação, examine as configurações. Por padrão, a caixa de seleção Adicione todo o armazenamento qualificado ao cluster é marcada. Desmarque essa caixa de seleção se:

• Quiser configurar o armazenamento depois.
• Estiver planejando criar espaços de armazenamento clusterizados por meio do Gerenciador de Cluster de Failover ou pelos cmdlets de Clustering de Failover do Windows PowerShell, e ainda não tiver criado espaços de armazenamento nos Serviços de Arquivo e Armazenamento. Para obter mais informações, consulte Deploy Clustered Storage Spaces (Implantar espaços de armazenamento clusterizados).

9. Selecione Avançar para criar o cluster de failover.
10. Na página Resumo, confirme se o cluster de failover foi criado com sucesso. Se existirem avisos ou erros, veja a saída do resumo ou selecione Exibir Relatório para ver o relatório completo. Selecione Concluir.
11. Para confirmar se o cluster foi criado, verifique se o nome do cluster está listado no Gerenciador de Cluster de Failover, na árvore de navegação. Expanda o nome do cluster e selecione os itens em Nós, Armazenamento ou Redes para ver os recursos associados. Observe que poderá levar algum tempo para que o nome do cluster seja replicado com sucesso no DNS. Após o registro e a replicação bem-sucedidos do DNS, se você selecionar Todos os Servidores no Gerenciador do Servidor, o nome do cluster estará listado como um servidor com o status Capacidade de Gerenciamento igual a Online.

Habilitar grupos de disponibilidade Always On com o SQL Server Configuration Manager

1. Conecte-se ao nó do WSFC (Windows Server Failover Clustering) que hospeda a instância do SQL Server em que você deseja habilitar Grupos de Disponibilidade Always On.
2. No menu Iniciar, aponte para Todos os Programas, Microsoft SQL Server, Ferramentas de Configuraçãoe clique em SQL Server Configuration Manager.
3. No SQL Server Configuration Manager, clique em Serviços do SQL Server, clique com o botão direito do mouse em SQL Server (<instance name>), onde <instance name> é o nome de uma instância de servidor local na qual você deseja habilitar grupos de disponibilidade Always On, e clique em Propriedades.
4. Selecione a guia Alta Disponibilidade AlwaysOn.
5. Verifique se o campo Nome do cluster de failover do Windows contém o nome do cluster de failover local. Caso esse campo esteja em branco, significa que essa instância de servidor no momento não dá suporte a Grupos de Disponibilidade Always On. Talvez o computador local não seja um nó de cluster, o cluster WSFC tenha sido desligado ou essa edição do SQL Server não seja compatível com os grupos de disponibilidade Always On.
6. Marque a caixa de seleção Habilitar Grupos de Disponibilidade AlwaysOn e clique em OK. SQL Server Configuration Manager salva suas alterações. Em seguida, você deve reiniciar manualmente o serviço do SQL Server . Isso permite escolher a hora de reinicialização mais adequada de acordo com as necessidades da sua empresa. Quando o serviço do SQL Server for reiniciado, o Always On será habilitado e a propriedade de servidor IsHadrEnabled será definida como 1.

Fazer backup de bancos de dados de AD FS

Faça o backup da configuração de AD FS e dos bancos de dados de artefatos com os logs de transações completos. Coloque o backup no destino escolhido. Faça backup dos bancos de dados de artefato e de configuração de AD FS.

• Tarefas > Backup > Completo > Adicionar a um arquivo de backup > ok para criar

Criar novo grupo de disponibilidade

1. No Pesquisador de Objetos, conecte-se à instância do servidor que hospeda a réplica de disponibilidade primária.
2. Expanda os nós Alta Disponibilidade AlwaysOn e Grupos de Disponibilidade.
3. Para iniciar o Assistente de Novo Grupo de Disponibilidade, selecione o comando Assistente de Novo Grupo de Disponibilidade.
4. Na primeira vez você executa este assistente, uma página de Introdução é exibida. Para ignorar essa página no futuro, clique em Não mostrar esta página novamente. Depois de ler esta página, clique em Avançar.
5. Na página Especificar Opções do Grupo de Disponibilidade, insira o nome do novo grupo de disponibilidade no campo Nome do grupo de disponibilidade. Esse nome deve ser um identificador válido do SQL Server exclusivo no cluster e no domínio como um todo. O tamanho máximo de um nome de grupo de disponibilidade é 128 caracteres. e
6. Em seguida, especifique o tipo de cluster. Os tipos de cluster possíveis dependem da versão do SQL Server e do sistema operacional. Escolha WSFC, EXTERNAL ou NONE. Para obter detalhes, consulte Página Especificar Nome do Grupo de Disponibilidade

7. Na página Selecionar Bancos de Dados , a grade lista bancos de dados de usuário na instância do servidor conectada que estão qualificados para se tornarem os bancos de dados de disponibilidade. Selecione um ou mais dos bancos de dados listados para participarem do novo grupo de disponibilidade. Inicialmente, esses bancos de dados serão os bancos de dados primários iniciais. Para cada banco de dados listado, a coluna Tamanho exibe o tamanho do banco de dados, se conhecido. A coluna Status indica se um determinado banco de dados atende aos pré-requisitos para bancos de dados de disponibilidade. Se os pré-requisitos não forem atendidos, uma descrição breve do status indicará o motivo pelo qual o banco de dados não se qualifica, por exemplo, se ele não usar o modelo de recuperação completa. Para obter mais informações, clique na descrição do status. Se você alterar um banco de dados para torná-lo qualificado, clique em Atualizar para atualizar a grade de bancos de dados. Se o banco de dados contiver uma chave mestra de banco de dados, digite a senha para a chave mestra de banco de dados na coluna Senha.

8.Na página Especificar réplicas, configure e especifique uma ou mais réplicas para o novo grupo de disponibilidade. Essa página contém quatro guias: A tabela a seguir apresenta essas guias. Para obter mais informações, confira o tópico Página Especificar Réplicas (Assistente de Novo Grupo de Disponibilidade: Assistente para Adicionar Réplica).

9. Na página Selecionar Sincronização de Dados Inicial , escolha como você deseja que seus novos bancos de dados secundários sejam criados e unidos ao grupo de disponibilidade. Escolha uma das seguintes opções:

• Propagação automática
• O SQL Server cria automaticamente as réplicas secundárias para cada banco de dados no grupo. A propagação automática exige que os caminhos do arquivo de dados e de log sejam os mesmos em cada instância do SQL Server que faz parte do grupo. Disponível no SQL Server 2016 (13.x) e posterior. Consulte Inicializar automaticamente grupos de disponibilidade Always On.
• Backup completo de log e de banco de dados
• Selecione esta opção se seu ambiente atender aos requisitos para iniciar automaticamente a sincronização de dados inicial (para obter mais informações, consulte Pré-requisitos, restrições e recomendações, anteriormente neste tópico). Se você selecionar Total, depois de criar o grupo de disponibilidade, o assistente fará backup de todos os bancos de dados primários e de seu log de transações em um compartilhamento de rede e restaurará os backups em todas as instâncias de servidor que hospedam uma réplica secundária. Em seguida, o assistente unirá cada banco de dados secundário ao grupo de disponibilidade. No campo Especifique um local de rede compartilhado acessível por todas as réplicas:, especifique um compartilhamento de backup para o qual todas as instâncias do servidor que hospedam réplicas de host têm acesso de leitura/gravação. Para obter mais informações, consulte Pré-requisitos anteriormente neste tópico. Na etapa de validação, o assistente executará um teste para garantir que o local de rede fornecido é válido, o teste criará um banco de dados na réplica primária denominada "BackupLocDb_" seguindo por um Guid e realizará backup no local de rede fornecido e, em seguida, o restaurará nas réplicas secundárias. É seguro excluir este banco de dados juntamente com seu histórico de backup e o arquivo de backup caso o assistente não pôde excluí-los.
• Somente junção
• Se preparou bancos de dados secundários manualmente nas instâncias do servidor que hospedam réplicas secundárias, você poderá selecionar essa opção. O assistente unirá os bancos de dados secundários existentes ao grupo de disponibilidade.
• Ignorar sincronização de dados inicial
• Selecione esta opção se desejar usar seus próprios backups de banco de dados e de log de seus bancos de dados primários. Para obter mais informações, veja Iniciar movimentação de dados em um banco de dados secundário Always On (SQL Server).

9. A página Validação verifica se os valores especificados neste Assistente atendem aos requisitos do Assistente de Novo Grupo de Disponibilidade. Para fazer uma alteração, clique em Anterior para retornar a uma página anterior do assistente para alterar um ou mais valores. Clique em Avançar para retornar à página Validação e clique em Executar Novamente a Validação.

10. Na página Resumo, revise as opções escolhidas para o novo grupo de disponibilidade. Para fazer uma alteração, clique em Anterior para retornar à página relevante. Após fazer a alteração, clique em Avançar para retornar à página Resumo.

11. A página Progresso exibe o andamento das etapas de criação do grupo de disponibilidade (configuração de pontos de extremidade, criação do grupo de disponibilidade e junção da réplica secundária ao grupo).
12. Quando essas etapas forem concluídas, a página Resultados exibirá o resultado de cada etapa. Se todas essas etapas tiverem êxito, o novo grupo de disponibilidade será configurado completamente. Se quaisquer das etapas resultar em um erro, você poderá precisar concluir a configuração manualmente ou use um assistente para a etapa com falha. Para obter informações sobre a causa de um determinado erro, clique no link de "Erro" associado na coluna Resultado. Quando o assistente for concluído, clique em Fechar para sair.

Adicionar bancos de dados no nó secundário

1. Restaure o banco de dados de artefato por meio da interface do usuário no nó secundário usando os arquivos de backup criados.

2. Restaure o banco de dados em um estado NON-RECOVERY.

3. Repita o processo para restaurar o banco de dados de configuração.

Adicionar uma réplica de disponibilidade em um grupo de disponibilidade

1. No Pesquisador de Objetos, conecte-se à instância do servidor que hospeda a réplica secundária e clique no nome do servidor para expandir a árvore de servidores.
2. Expanda os nós Alta Disponibilidade AlwaysOn e Grupos de Disponibilidade.
3. Selecione o grupo de disponibilidade da réplica secundária à qual você está conectado.
4. Clique com o botão direito do mouse na réplica secundária e clique em Unir a Grupo de Disponibilidade.
5. Isso abre a caixa de diálogo Unir Réplica a Grupo de Disponibilidade.
6. Para unir a réplica secundária ao grupo de disponibilidade, clique em OK.

Atualização da cadeia de conexão de SQL

Por fim, use o PowerShell para editar as propriedades do AD FS para atualizar a cadeia de conexão SQL para usar o endereço DNS do ouvinte do grupo de disponibilidade AlwaysOn. Execute a alteração do banco de dados de configuração em cada nó e reinicie o serviço dos AD FS em todos os nós deles. O valor inicial do catálogo é alterado com base na versão do farm.

PS:\>$temp= Get-WmiObject -namespace root/ADFS -class SecurityTokenService
PS:\>$temp.ConfigurationdatabaseConnectionstring=”data source=<SQLCluster\SQLInstance>; initial catalog=adfsconfiguration;integrated security=true”
PS:\>$temp.put()
PS:\> Set-AdfsProperties –artifactdbconnection ”Data source=<SQLCluster\SQLInstance >;Initial Catalog=AdfsArtifactStore;Integrated Security=True”