Настройка развертывания AD FS с группами доступности AlwaysOn

Высокодоступная геораспространиемая топология обеспечивает:

• Устранение одной точки сбоя: с помощью возможностей отработки отказа вы можете достичь высокодоступной инфраструктуры AD FS, даже если один из центров обработки данных в части земного шара исчезает.
• Улучшенная производительность: вы можете использовать предлагаемое развертывание для обеспечения высокопроизводительной инфраструктуры AD FS.

AD FS можно настроить для высокодоступного геораспространиемого сценария. В следующем руководстве представлен обзор AD FS с группами доступности SQL Always on и рекомендации по развертыванию.

Обзор — группы доступности AlwaysOn

Дополнительные сведения о группах доступности AlwaysOn см. в разделе "Общие сведения о группах доступности AlwaysOn" (SQL Server)

С точки зрения узлов фермы SQL Server AD FS группа доступности AlwaysOn заменяет один экземпляр SQL Server в качестве базы данных политики или артефактов.  Прослушиватель группы доступности — это то, что клиент (служба маркеров безопасности AD FS) использует для подключения к SQL. На следующей схеме показана ферма SQL Server AD FS с группой доступности AlwaysOn.

Группа доступности AlwaysOn — это одна или несколько пользовательских баз данных, для которых отработка отказа выполняется одновременно. Группа доступности состоит из первичной реплики доступности и от одной до четырех вторичных реплик, которые поддерживаются за счет перемещения данных на основании журнала SQL Server для обеспечения защиты данных, не требующей общего хранилища. Каждый реплика размещается экземпляром SQL Server на другом узле WSFC. Группа доступности и соответствующее имя виртуальной сети регистрируются как ресурсы в кластере WSFC.

Прослушиватель группы доступности на основном узле реплика отвечает на входящие запросы клиента для подключения к имени виртуальной сети и на основе атрибутов в строка подключения он перенаправляет каждый запрос на соответствующий экземпляр SQL Server. В случае отработки отказа вместо передачи владения общими физическими ресурсами на другой узел WSFC используется для перенастройки вторичной реплика на другом экземпляре SQL Server, чтобы стать основным реплика группы доступности. Затем ресурс виртуального сетевого имени группы доступности переводится на этот экземпляр. В любой момент только один экземпляр SQL Server может размещать основную реплика баз данных группы доступности, все связанные вторичные реплика должны находиться в отдельном экземпляре, и каждый экземпляр должен находиться на отдельных физических узлах.

Дополнительные сведения о группах доступности AlwaysOn см. в обзоре групп доступности AlwaysOn (SQL Server).

Руководство по развертыванию

1. Рассмотрим правильную базу данных для целей развертывания AD FS. AD FS использует базу данных для хранения конфигурации и в некоторых случаях транзакционных данных, связанных со службой федерации. Программное обеспечение AD FS можно использовать для выбора внутренняя база данных Windows сборки (WID) или Microsoft SQL Server 2008 или более поздней версии для хранения данных в службе федерации. В следующей таблице описываются различия в поддерживаемых функциях между WID и базой данных SQL.

Если вы являетесь большой организацией с более чем 100 отношениями доверия, которые должны предоставлять как внутренним пользователям, так и внешним пользователям доступ к приложениям федерации или службам, SQL — это рекомендуемый вариант.

Если вы являетесь организацией с 100 или менее настроенными отношениями доверия, WID предоставляет избыточность службы данных и федерации (где каждый сервер федерации реплика tes изменения на других серверах федерации в той же ферме). WID не поддерживает обнаружение воспроизведения маркеров или разрешение артефактов и имеет ограничение в 30 серверов федерации. Дополнительные сведения о планировании развертывания см . здесь.

Решения высокого уровня доступности SQL Server

Если вы используете SQL Server в качестве базы данных конфигурации AD FS, вы можете настроить геоизбыточность для фермы AD FS с помощью sql Server реплика tion. Геоизбыточная избыточность реплика tes данных между двумя географически удаленными сайтами, чтобы приложения могли переключаться с одного сайта на другой. Таким образом, в случае сбоя одного сайта можно по-прежнему иметь все данные конфигурации, доступные на втором сайте.  Если SQL является подходящей базой данных для целей развертывания, перейдите к этому руководству по развертыванию.

В этом руководстве описано следующее.

• Развертывание AD FS
• Настройка AD FS для использования групп доступности AlwaysOn
• Установка роли отказоустойчивой кластеризации
• Запуск тестов проверки кластера
• Включение групп доступности AlwaysOn
• Резервное копирование баз данных AD FS
• Создание групп доступности AlwaysOn
• Добавление баз данных на втором узле
• Присоединение реплики доступности к группам доступности
• Обновление строки Подключение sql

Развертывание AD FS

В этом руководстве по развертыванию будет показана ферма двух узлов с двумя серверами SQL в качестве примера. Чтобы развернуть AD FS, выполните начальные ссылки ниже, чтобы установить службу ролей AD FS. Чтобы настроить группу AoA, необходимо выполнить дополнительные действия для роли.

• Присоединение компьютера к домену
• Регистрация SSL-сертификата для AD FS
• Установка службы ролей AD FS

Настройка AD FS для использования группы доступности AlwaysOn

Для настройки фермы AD FS с группами доступности AlwaysOn требуется небольшое изменение процедуры развертывания AD FS. Убедитесь, что каждый экземпляр сервера выполняет одну и ту же версию SQL. Чтобы просмотреть полный список необходимых компонентов, ограничений и рекомендаций для групп доступности AlwaysOn, см . здесь.

1. Перед настройкой групп доступности AlwaysOn необходимо создать резервные копии баз данных, которые требуется создать. AD FS создает свои базы данных в рамках настройки и начальной настройки первого узла службы федерации новой фермы SQL Server AD FS. Укажите имя узла базы данных для существующей фермы с помощью SQL Server. В рамках конфигурации AD FS необходимо указать строка подключения SQL, поэтому необходимо настроить первую ферму AD FS для подключения к экземпляру SQL напрямую (это только временно). Инструкции по настройке фермы AD FS, включая настройку узла фермы AD FS с помощью строка подключения SQL Server, см. в разделе "Настройка сервера федерации".

2. Проверьте подключение к базе данных с помощью SSMS и подключитесь к имени узла целевой базы данных. При добавлении другого узла в ферму федерации подключитесь к целевой базе данных.
3. Укажите SSL-сертификат для фермы AD FS.

4. Подключение ферму учетной записи службы или gMSA.

5. Выполните настройку и установку фермы AD FS.

Установка роли отказоустойчивой кластеризации

Роль отказоустойчивого кластера Windows Server предоставляет дополнительные сведения о отказоустойчивых кластерах Windows Server.

1. Запустите диспетчер серверов.
2. В меню "Управление" выберите "Добавить роли и компоненты".
3. На странице "Перед началом работы" нажмите кнопку "Далее".
4. На странице Выбор типа установки выберите Установка ролей или компонентов, а затем нажмите кнопку Далее.
5. На странице "Выбор целевого сервера" выберите СЕРВЕР SQL Server, где требуется установить эту функцию, а затем нажмите кнопку "Далее".

6. На странице Выбор ролей сервера щелкните Далее.
7. На странице Выбор компонентов установите флажок Отказоустойчивая кластеризация .

8. На странице выбора "Подтверждение установки" нажмите кнопку "Установить". После установки средства отказоустойчивости кластеров не нужно перезапускать сервер.
9. После завершения установки нажмите кнопку "Закрыть".
10. Повторите эту процедуру на каждом сервере, который необходимо добавить как узел отказоустойчивого кластера.

Запуск тестов проверки кластера

1. На компьютере, на котором установлены средства управления отказоустойчивыми кластерами из средств удаленного администрирования сервера, или на сервере, на котором установлено средство отказоустойчивости кластеров, запустите диспетчер отказоустойчивости кластеров. Чтобы сделать это на сервере, запустите диспетчер сервера, а затем в меню "Сервис" выберите диспетчер отказоустойчивости кластеров.
2. В области диспетчера отказоустойчивости кластеров в разделе "Управление" выберите "Проверить конфигурацию".
3. На странице "Перед началом работы" нажмите кнопку "Далее".
4. На странице "Выбор серверов" или "Кластер" в поле "Ввод" введите имя NetBIOS или полное доменное имя сервера, который планируется добавить в качестве узла отказоустойчивого кластера, а затем нажмите кнопку "Добавить". Повторите этот шаг для каждого сервера, который нужно добавить. Чтобы добавить несколько серверов одновременно, разделяйте их имена запятой или точкой с запятой. Например, введите имена в формате server1.contoso.com, server2.contoso.com. По завершении нажмите кнопку Далее.

5. На странице "Параметры тестирования" выберите "Выполнить все тесты" (рекомендуется), а затем нажмите кнопку "Далее".
6. На странице Подтверждение нажмите кнопку Далее. На странице "Проверка" показано состояние выполняющихся тестов.
7. На странице Сводка выполните одно из указанных ниже действий.

• Если результаты указывают, что тесты успешно завершены и конфигурация подходит для кластеризация, и вы хотите создать кластер немедленно, убедитесь, что кластер теперь использует проверенные узлы проверка, а затем нажмите кнопку "Готово". Теперь перейдите к шагу 4 процедуры Создание отказоустойчивого кластера .

• Если результаты указывают на наличие предупреждений или сбоев, выберите "Просмотреть отчет", чтобы просмотреть сведения и определить, какие проблемы необходимо исправить. Имейте в виду, что предупреждение в результатах определенного проверочного теста указывает на то, что данный аспект отказоустойчивого кластера поддерживается, но может не соответствовать рекомендациям.

Создание отказоустойчивого кластера

Чтобы выполнить это действие, убедитесь в том, что учетная запись пользователя, с помощью которой вы вошли в систему, соответствует требованиям, указанным в подразделе Проверка предварительных требований этого раздела.

1. Запустите диспетчер серверов.
2. В меню "Сервис" выберите диспетчер отказоустойчивости кластеров.
3. В области диспетчера отказоустойчивости кластеров в разделе "Управление" выберите "Создать кластер". Откроется мастер создания кластеров.
4. На странице "Перед началом работы" нажмите кнопку "Далее".
5. Если откроется страница "Выбор серверов", в поле "Ввод" введите имя NetBIOS или полное доменное имя сервера, который планируется добавить в качестве узла отказоустойчивого кластера, а затем нажмите кнопку "Добавить". Повторите этот шаг для каждого сервера, который нужно добавить. Чтобы добавить несколько серверов одновременно, разделяйте их имена запятой или точкой с запятой. Например, введите имена в формате server1.contoso.com; server2.contoso.com. По завершении нажмите кнопку Далее.

6. Если ранее вы пропустили проверку, появится страница Предупреждение проверки . Настоятельно рекомендуется выполнить проверку кластера. Корпорация Майкрософт поддерживает только те кластеры, которые прошли все проверочные тесты. Чтобы выполнить тесты проверки, нажмите кнопку "Да", а затем нажмите кнопку "Далее". Завершите работу мастера проверки конфигурации, как описано в разделе "Проверка конфигурации".
7. На странице Точка доступа для администрирования кластера выполните указанные ниже действия.

• В поле Имя кластера введите имя, которое необходимо использовать для администрирования кластера. Перед этим изучите приведенную ниже информацию.
• В процессе создания кластера это имя регистрируется в качестве объекта-компьютера кластера (также известного как объект имени кластера или CNO) в доменных службах Active Directory. Если для кластера указано имя NetBIOS, объект CNO создается в том же расположении, в котором находятся объекты-компьютеры узлов кластера. Это может быть контейнер "Компьютеры" (по умолчанию) или подразделение.
• Чтобы указать другое расположение для CNO, можно ввести различающееся имя подразделения в поле Имя кластера . Например: CN=ClusterName, OU=Clusters, DC=Contoso, DC=com.
• Если администратор домена предварительно подготовил CNO в подразделении, отличном от того, в котором размещаются узлы кластера, укажите различающееся имя, предоставленное администратором домена.
• Если на сервере нет сетевого адаптера, настроенного на использование DHCP, для отказоустойчивого кластера необходимо настроить один или несколько статических IP-адресов. Установите флажок напротив каждой сети, которую необходимо использовать для управления кластером. Выберите поле "Адрес" рядом с выбранной сетью и введите IP-адрес, который нужно назначить кластеру. Этот IP-адрес (или адреса) будет связан с именем кластера в службе доменных имен (DNS).
• По завершении нажмите кнопку Далее.

8. Просмотрите параметры на странице Подтверждение . По умолчанию установлен флажок Добавление всех допустимых хранилищ в кластер . Снимите его в указанных ниже случаях.

• Хранилище следует настроить позднее.
• Вы планируете создать кластерные дисковые пространства с помощью диспетчера отказоустойчивости кластеров или командлетов отказоустойчивой кластеризации Windows PowerShell, но еще не создали дисковые пространства в файловых службах и службах хранилища. Дополнительные сведения см. в разделе Deploy Clustered Storage Spaces.

9. Нажмите кнопку "Далее", чтобы создать отказоустойчивый кластер.
10. На странице Сводка убедитесь в том, что отказоустойчивый кластер успешно создан. Если были предупреждения или ошибки, просмотрите сводные выходные данные или выберите "Просмотреть отчет", чтобы просмотреть полный отчет. Выберите Готово.
11. Чтобы убедиться в том, что кластер создан, проверьте, указано ли его имя в разделе Диспетчер отказоустойчивости кластеров в дереве навигации. Вы можете развернуть имя кластера, а затем выбрать элементы в разделе "Узлы", служба хранилища или "Сети" для просмотра связанных ресурсов. Имейте в виду, что на успешную репликацию имени кластера в службе DNS может потребоваться некоторое время. После успешной регистрации DNS и реплика, если выбраны все серверы в диспетчер сервера, имя кластера должно быть указано как сервер с состоянием управляемости Online.

Включение групп доступности Always on с помощью диспетчер конфигурации SQL Server

1. Подключитесь к узлу отказоустойчивого кластера Windows Server (WSFC), на котором размещен экземпляр SQL Server, для которого требуется включить группы доступности Always On.
2. В меню Пуск укажите Все программы, Microsoft SQL Server, Средства настройкии выберите пункт Диспетчер конфигурации SQL Server.
3. В диспетчер конфигурации SQL Server щелкните службы SQL Server, щелкните правой кнопкой мыши SQL Server (<instance name>), где <instance name> имя экземпляра локального сервера, для которого требуется включить группы доступности AlwaysOn, и нажмите кнопку "Свойства".
4. Перейдите на вкладку Высокий уровень доступности AlwaysOn.
5. Убедитесь, что поле Имя отказоустойчивого кластера Windows содержит имя локального отказоустойчивого кластера. Если это поле не заполнено, значит в настоящее время этот экземпляр сервера не поддерживает группы доступности Always On. Это означает, что локальный компьютер не является узлом кластера, либо кластер WSFC завершил работу, либо этот выпуск SQL Server не поддерживает группы доступности Always On.
6. Установите флажок Включить группы доступности AlwaysOn и нажмите кнопку ОК. диспетчер конфигурации SQL Server сохраняет изменения. Затем необходимо вручную перезапустить службу SQL Server. Это позволит выбрать время перезапуска, которое лучше всего подходит под требования вашего предприятия. После перезапуска службы SQL Server функция Always On будет включена, а свойство IsHadrEnabled будет установлено в значение 1.

Резервное копирование баз данных AD FS

Создайте резервную копию конфигурации AD FS и базы данных артефактов с полными журналами транзакций. Поместите резервную копию в выбранное место назначения. Резервное копирование баз данных артефактов и конфигурации AD FS.

• Создание полного резервного копирования задач > в файл > резервного копирования > >

Создание новой группы доступности

1. В обозревателе объектов подключитесь к экземпляру сервера, на котором размещена первичная реплика доступности.
2. Разверните узел Высокий уровень доступности AlwaysOn и узел Группы доступности .
3. Для запуска мастера создания группы доступности выберите команду Создать группу доступности .
4. При первом запуске этого мастера отображается страница Введение . Чтобы в будущем эта страница не отображалась, можно щелкнуть Больше не показывать эту страницу. Прочитав эту страницу, нажмите кнопку Далее.
5. На странице Укажите параметры группы доступности введите имя новой группы доступности в поле Имя группы доступности. Это имя должно быть допустимым идентификатором SQL Server, уникальным в кластере и в целом доменом. Максимальная длина имени группы доступности составляет 128 символов. e
6. Затем укажите тип кластера. Возможные типы кластеров зависят от версии SQL Server и операционной системы. Выберите WSFC, EXTERNAL или NONE. Дополнительные сведения см. в разделе Страница "Указание имени группы доступности".

7. На странице Выбор баз данных в сетке приведен список пользовательских баз данных на подключеном экземпляре сервера, которые могут стать базами данных доступности. Выберите одну или несколько из указанных баз данных для участия в новой группе доступности. Эти базы данных станут первоначальными базами данных-источниками. Для каждой из перечисленных баз данных столбец Размер отображает размер базы данных, если он известен. Столбец состояния указывает, соответствует ли данная база данных предварительным требованиям для баз данных доступности. Если необходимые условия не выполняются, краткое описание состояния указывает на причину того, почему эта база данных не может использоваться. Например, если для нее не используется модель полного восстановления. Для получения дополнительны сведений щелкните описание состояния. После изменения базы данных для обеспечения соответствия требованиям щелкните Обновить , чтобы обновить сетку баз данных. Если база данных содержит главный ключ базы данных, введите пароль для него в столбце Пароль .

8.На странице "Указание реплик" укажите и настройте одну или несколько реплика для новой группы доступности. Страница содержит четыре вкладки. Эти вкладки представлены в следующей таблице. Дополнительные сведения см. в разделе Укажите страницу реплик (мастер создания группы доступности: мастер добавления реплики).

9. На странице Выбор начальной синхронизации данных выберите, как именно необходимо создать новые базы данных-получатели и присоединить их к группе доступности. Выберите один из следующих параметров:

• Автоматическое заполнение
• SQL Server автоматически создает вторичные реплики для каждой базы данных в группе. Для работы автоматического заполнения путь к файлу данных и файлу журнала должен быть одинаковым на каждом экземпляре SQL Server, входящем в группу. Доступно в SQL Server 2016 (13.x) и более поздних версиях. См . раздел "Автоматическая инициализация групп доступности AlwaysOn".
• Полная архивация базы данных и журналов
• Выберите этот режим, если ваша среда удовлетворяет требованиям для автоматического запуска начальной синхронизации данных (дополнительные сведения см. в подразделе Предварительные условия, ограничения и рекомендацииранее в этом разделе). При выборе режима Полнаяпосле создания группы доступности мастер выполнит резервное копирование всех баз данных-источников из журналов транзакций в сетевую папку и восстановит резервные копии на всех экземплярах серверов, на которых размещены вторичные реплики. После этого мастер выполнит присоединение всех баз данных-получателей к группе доступности. В поле Выберите сетевую папку, доступную для всех реплик: укажите общую папку резервной копии, к которой имеют доступ на чтение и запись все экземпляры серверов, на которых размещаются реплики. Дополнительные сведения см. в подразделе Предварительные условияранее в этом разделе. На этапе проверки мастер выполнит тест, чтобы убедиться в допустимости заданной сетевой папки. В ходе теста на первичной реплике будет создана база данных с именем "BackupLocDb_", за которым следует идентификатор GUID, выполнено резервное копирование в указанную сетевую папку, а затем — восстановление из резервной копии на вторичных репликах. Рекомендуется удалить эту базу данных вместе с ее журналом резервного копирования и файлом резервной копии в случае, если это не удалось сделать мастеру.
• Только присоединение
• Если вы вручную подготовили базы данных-получатели на экземплярах серверов, на которых будут размещены вторичные реплики, то можно указать этот режим. Мастер выполнит присоединение существующих баз данных-получателей к группе доступности.
• Пропустить начальную синхронизацию данных
• Выберите этот параметр, если вы хотите использовать собственные резервные копии баз данных-источников и их журналов. Дополнительные сведения см. в статье Запуск перемещения данных для базы данных-получателя Always On (SQL Server).

9. На странице Проверка выполняется проверка соответствия значений, заданных в этом мастере, требованиям мастера создания группы доступности. Чтобы внести изменения, нажмите кнопку Назад , вернитесь к предыдущей странице мастера и измените одно или несколько значений. Нажмите кнопку Далее , чтобы вернуться на страницу Проверка , а затем кнопку Повторить проверку.

10. На странице Сводка проверьте параметры, выбранные для новой группы доступности. Чтобы внести изменения, щелкните Назад , чтобы вернуться на нужную страницу. После внесения изменений нажмите кнопку Далее , чтобы вернуться на страницу Сводка .

11. На странице Выполнение установки отображается ход выполнения этапов создания группы доступности (настройка конечных точек, создание группы доступности и присоединение к группе вторичной реплики).
12. После завершения выполнения этих шагов на странице Результаты отображаются результаты выполнения каждого шага. Если эти шаги завершатся успешно, новая группа доступности будет полностью настроена. Если один из шагов завершится ошибкой, то может потребоваться завершение настройки вручную или использование мастера для ошибочного шага. Сведения о причинах данной ошибки можно отобразить, перейдя по соответствующей ссылке «Ошибка» в столбце Результат . По завершении работы мастера нажмите кнопку Закрыть , чтобы выйти из него.

Добавление баз данных на вторичном узле

1. Восстановите базу данных артефактов с помощью пользовательского интерфейса на вторичном узле с помощью созданных файлов резервной копии.

2. Восстановите базу данных в состоянии NON-RECOVERY.

3. Повторите процесс восстановления базы данных конфигурации.

Присоединение реплики доступности к группе доступности

1. В обозревателе объектов подключитесь к экземпляру сервера, на котором размещена вторичная реплика, и щелкните имя сервера, чтобы развернуть его дерево.
2. Разверните узел Высокий уровень доступности AlwaysOn и узел Группы доступности .
3. Выберите группу доступности вторичной реплики, к которой выполнено подключение.
4. Щелкните правой кнопкой мыши вторичную реплику и выберите пункт Включить в группу доступности.
5. Откроется диалоговое окно Присоединить реплику к группе доступности .
6. Чтобы присоединить вторичную реплику к группе доступности, нажмите кнопку ОК.

Обновление строки Подключение sql

Наконец, используйте PowerShell для изменения свойств AD FS, чтобы обновить СТРОКА ПОДКЛЮЧЕНИЯ SQL, чтобы использовать DNS-адрес прослушивателя группы доступности AlwaysOn. Запустите изменение базы данных конфигурации на каждом узле и перезапустите службу AD FS на всех узлах AD FS. Начальное значение каталога изменяется на основе версии фермы.

PS:\>$temp= Get-WmiObject -namespace root/ADFS -class SecurityTokenService
PS:\>$temp.ConfigurationdatabaseConnectionstring=”data source=<SQLCluster\SQLInstance>; initial catalog=adfsconfiguration;integrated security=true”
PS:\>$temp.put()
PS:\> Set-AdfsProperties –artifactdbconnection ”Data source=<SQLCluster\SQLInstance >;Initial Catalog=AdfsArtifactStore;Integrated Security=True”