Cuando se elimina un objeto de un dominio de Active Directory, como una cuenta de usuario o un equipo, el objeto permanece almacenado en el directorio durante un período de tiempo de gracia conocido como Tombstone lifetime.
Tombstone lifetime es el número de días que pasarán antes de que un objeto eliminado se elimine de definitivamente de los servicios de directorio. Esto ayudará a eliminar objetos de servidores replicados y evita que las restauraciones reintroduzcan un objeto eliminado. Este valor está en el objeto Servicio de directorio en la configuración NIC.
Tombstone lifetime es el número de días que pasarán antes de que un objeto eliminado se elimine de definitivamente de los servicios de directorio. Esto ayudará a eliminar objetos de servidores replicados y evita que las restauraciones reintroduzcan un objeto eliminado. Este valor está en el objeto Servicio de directorio en la configuración NIC.
En Microsoft Windows server 2000 y Windows Server 2003 RT, el tiempo predeterminado de Tombstone lifetime estaba establecido en 60 días. A partir de Windows Server 2003 Service Pack 1 se aumentó a 180 días, y este sigue siendo el valor predeterminado en la actualidad.
Sin embargo, la aplicación de Service Pack 1 en un controlador de dominio Microsoft Windows server 2003 ya existente, no aumenta de forma automática el valor de tiempo de gracia Tombstone lifetime. Es posible que un bosque de nuestro Active Directory, cuyos controladores de dominio ejecuten Windows Server 2012/16 aún tengan una vida útil de 60 días, si el dominio ha sido migrado desde una versión Microsoft Windows Server 2000 o Windows server 2003.
Durante el tiempo Tombstone lifetime, el estado de un objeto eliminado depende principalmente de si la Papelera de reciclaje de Active Directory está habilitada en el bosque del objeto.
La cantidad máxima de tiempo que un controlador de dominio puede permanecer desconectado de otros controladores de dominio es precisamente el Tombstone lifetime.
Los controladores de dominio que no consiguen replicarse correctamente superando tiempo que el Tombstone lifetime sin replicar deshabilitarán automáticamente la replicación entrante y saliente para evitar la replicación de objetos persistentes, que son objetos Active Directory que se han eliminado de un controlador de dominio pero permanecen en otros debido a problemas de replicación.
En el laboratorio de hoy, vamos a ver como podemos modificar el tiempo de Tombstone lifetime en nuestro entorno.
En primer lugar abriremos una nueva ventana del editor de ADSI, en el cuadro de texto llamado ejecutar escribiremos escriba adsiedit.msc.
Desplegaremos el menú, presionando con el botón derecho de nuestro ratón en la parte superior del árbol lateral izquierdo de la consola llamada Editor ADSI . Una vez aparezca Conectar a...
En la sección Punto de conexión, usaremos el botón selector para elegir la opción llamada Seleccione un contexto de nomenclatura conocido y seguidamente desplegaremos la lista desplegable y seleccionaremos la opción llamada Configuración. Una vez hayamos realizado estos cambios, aplicaremos las selecciones pulsando el botón Aceptar.
En el nuevo arbol situado en la parte lateral izqueirda de la ventana del editor de ADSI, desplegaremos las ramas siguientes:
Configuración [DOMINIO] \ CN = Configuration, DC = <forest_root_domain> \ CN = Services \ CN = Windows NT
Seleccionaremos con el botón derecho de nuestro ratón la rama, CN = Directory Services y, en el menú desplegable, seleccionaremos la opción Propiedades.
En la sección llamada Editor de atributos de la ventana de propiedades, buscaremos el atributo Tombstone lifetime. El valor de este atributo representa la configuración de la vida actual en días configurada en nuestro bosque.
Si el valor del atributo muestra el valor <no establecido>, el tiempo de vida útil del bosque es de 60 días.
Para modificar la Tombstone lifetime, pulsaremos el botón llamado en Editar.
Escribiremos el valor de Tombstone lifetime que queremos aplicar a nuestro bosque y, seguidamente, pulsaremos el botón Aceptar. Presionaremos el botón Aceptar de nuevo para cerrar la ventana de propiedades y el cambio será efectivo de forma inmediata.
Para limpiar un controlador de dominio que hemos apagado y ha superado el periodo de gracia Tombstone lifetime, encontrareis información detallada en los enlaces que mostramos a continuación:
- Active Directory: Limpiar un DC irrecuperable.
- Active Directory: Cómo limpiar un DC irrecuperable usando las herramientas GUI.
- Windows Server DCPROMO: Error Los Servicios de dominio de Active Directory no pudieron transferir los datos que quedan en la partición.
Espero os sea de utilidad.
No hay comentarios:
Publicar un comentario