Назад | Перейти на главную страницу

Ферма ADFS 2.0 - как выполнить немедленную синхронизацию

Мы используем ADFS 2.0 на сервере Windows 2008, он находится в ферме и имеет интервал опроса по умолчанию 5 минут. Мы вносим изменения сегодня вечером и предпочли бы синхронизировать немедленно, чем ждать, пока другой парень обновит, тем более, что мы можем вносить несколько изменений.

В этой статье Technet упоминается, что я могу изменить интервал опроса или выполнить немедленную синхронизацию между моими серверами:

http://technet.microsoft.com/en-us/library/ee913581%28WS.10%29.aspx

Я проверил командлеты PowerShell для ADFS и, похоже, нашел только тот, который позволяет мне установить интервал опроса, но не выполнять однократную немедленную синхронизацию

Обыскал обычных подозреваемых, но просто не смог найти команду ADFS-SyncMyStuffNow ...

Кто угодно?

Так что это не точный ответ, но после дополнительного чтения я понял, что если вам нужна немедленная синхронизация, вам нужно использовать общий SQL-сервер. Если у вас есть общий сервер, больше не будет «основного» - они могут вносить изменения и сразу же синхронизироваться.

Также не было (поддерживаемого) способа перенести автономный сервер на SQL-сервер, его нужно было перестроить.

Недавно у нас возникла проблема с фермой AD FS, использующей внутренние базы данных Windows и балансировку сетевой нагрузки Microsoft. Вторичный сервер не синхронизируется с первичным, что вызывает множество проблем с периодической аутентификацией. Ручная проверка баз данных SQL (\. \ Pipe \ MSSQL $ MICROSOFT ## SSEE \ sql \ query) с помощью SQL Server Management Studio подтвердила, что политики не синхронизировались. В частности, если вы откроете таблицу ServiceStateSummary, мы заметим, что серийные номера остались равными нулю. Также журнал событий показал, что 0 объектов было добавлено / объединено в базу данных.

Первым делом я проверил, можно ли разрешить DNS-имя первичного сервера. Никаких кубиков. Поэтому я исправил настройки DNS на вторичном сервере. По-прежнему нет кубиков. Наконец, я перезапустил мастер, на этот раз с исправленными настройками DNS я получил еще одну ошибку. Что-то вроде того, что основной сервер федерации оказался занятым. Я заметил, что предыдущий администратор установил в качестве основного имени сервера федерации имя федерации IDP (external.hostname.com). Я изменил настройку имени основного сервера на фактическое имя основного сервера (FS01), прошел через мастер, и все заработало как шарм!

Мораль истории:

  1. Проверьте настройки DNS и убедитесь, что реальное имя первичного сервера федерации разрешается.
  2. После изменения настроек DNS перезапустите мастер и проверьте журнал событий администратора AD FS в средстве просмотра событий на предмет статуса синхронизации. Вы должны увидеть, что количество объединенных / добавленных объектов равно> 0.
  3. Никогда не используйте имя федерации IDP в качестве имени основного сервера. Вместо этого используйте РЕАЛЬНОЕ имя / имя хоста первичного сервера федерации.
  4. Зацикливание службы AD FS всегда приводит к повторной синхронизации.

Удачи и надеюсь, что это поможет!