gOxiA=苏繁=SuFan Blog

HOWTO：删除 AD 内账号重复的 CN 名称

        近期 gOxiA 在公司 SBS 系统上的 Microsoft Baseline Configuration Analyzer 2.0 检测报告中发现了一条警告“One or more user accounts have duplicate CN names”大概的意思是说在我当前的 AD（活动目录）里发现一个或多个账号存在相同的 CN 名称。如下图所示：

        这要排查起来可老费时间和经理，还好利用 PowerShell 我们能够轻松的对 AD 进行筛选查询，为此登录 DC 服务器，到“管理工具”下找到“用于 Windows PowerShell 的 Active Directory 模块”并运行它，然后键入如下命令行：

        查询结果中我们能很轻松的找到重复的账号，如下图：

        然后打开 ADUC，在“查看”菜单下启用“高级功能”后，再查找这个账号，这样除了能搜索到重复的账号以外，还能通过账号属性下“对象”选项卡确定该账号存储的位置。

        确认这些账号的存储位置之后，便可以对其隶属性进行分析，以确定该删除哪个账号。

Windows Server 2012 使用 SMB 共享存储的实时迁移

        前几天 gOxiA 与大家分享了“Windows Server 2012 无需共享存储的实时迁移”，当我们了解了无需共享存储的实时迁移之后，对于 Windows Server 2012 使用 SMB 共享存储的实时迁移学习和实践起来就更加容易了！还记得之前的迁移过程中有一个步骤是让我们选择要移动的虚拟机项目吗？！其中“仅移动虚拟机”这个选项就是基于共享存储的实时迁移。

        既然是使用共享存储的实时迁移，那么文件共享是必须具备的前提条件，需要注意的是虽然是文件共享，但是我们必须使用基于 SMB 3.0 协议的文件共享服务器，大家可参考上一篇日志“Windows Server 2012 Hyper-V over SMB”进行准备工作。

        测试环境大致说明，两台 Hyper-V 主机已经加入到活动目录（AD），并在名为 Hyper-V 的主机上启用了 SMB 共享，为了确保使用 SMB 共享存储的实时迁移正常工作，我们需要做 Kerberos 委派，与“Windows Server 2012 无需共享存储的实时迁移”中提到的委派设置相同，添加 CIFS 委派即可，否则就会 出现如下图一样的错误。

        由于 SMB 共享是建立在一台 Hyper-V 主机上的，所以我们需要特别设置一下共享权限，将目录权限和共享权限都添加 everyone 有完全控制权限，否则在迁移时会出现错误，如下图所示。

        因为本机在访问位于本机共享资源的UNC时，会使用 user 权限进行验证，如果按照“Windows Server 2012 Hyper-V over SMB”中推荐的安全规范进行设置，会导致主机访问共享失败。

        一切准备就绪后，就可以开始迁移了，在 Hyper-V 移动向导过程中选择“仅移动虚拟机”，过程就是这么简单！对于此类的实时迁移，因为虚机的磁盘文件（VHD）始终位于基于 SMB 3.0 的文件服务器上，虚机的迁移只是将运行状态从一台主机迁移到另一台主机，当然 SMB 存储的链接也会被迁移过去，但是 VHD是绝不会被移动的。

Windows Server 2012 Hyper-V over SMB

        Windows Server 2012 Hyper-V over SMB，即：基于 SMB 的 Hyper-V，简单理解就是将 Hyper-V 的配置文件、虚拟磁盘（VHD）、快照等文件以共享文件存储的方式来进行存储和使用。要实现这一特性，需要使用 Windows Server 2012 的 SMB 3.0 文件共享作为 Hyper-V 的共享存储器。

        Hyper-V over SMB 的主要优势：

• 易于设置和管理，基于文件共享方式相比较专用的存储结构和LUN，更加容易设置和管理。  
• 较高的灵活性，Hyper-V over SMB 同样支持 Windows Server 2012 Hyper 的实时迁移技术。  
• 减少成本投资，因为无需专用存储，所以我们可以依靠 SMB 在现有的网络上为 Hyper-V 部署存储，不仅减少了在设备上投资，而且无需专门的存储知识。

        要部署 Hyper-V over SMB，我们必须了解其必备的条件！AD（Active Directory 活动目录）作为基础架构是必须的，但是 DC 不需要运行 Windows Server 2012 系统；Hyper-V 主机必须是 Windows Server 2012 系统；对于文件服务器，除了 Windows Server 2012 以外，还可以选择支持 SMB 3.0 协议的非 Microsoft 文件服务器。常见的部署方式有三种：

        主要区别就是 SMB 服务器的节点数量，对于测试和实验这类的非生产环境，我们可以使用单节点文件服务器的部署结构，对于要求高的则可以使用多节点或带有群集功能的文件服务器结构。在微软官方的手册中明确说明 Hyper-V over SMB 不支持回环配置，就是说不支持将 Hyper-V 主机节点用于存储服务器，但是在 gOxiA 测试“使用 SMB 共享存储的实时迁移”时还是仅使用了两台 Hyper-V 主机实现了 Hyper-V over SMB，不过也仅局限于测试，因为我们需要将共享存储的安全性降到最低，这样一来此种方式的部署则会显得没有任何意义，如果你当前的测试环境设备比较紧张，也可以尝试！只需要将共享目录的共享权限设置为：everyone 有完全控制的权限；同时目录安全性配置也配置为：everyone 有完全控制的权限。

        在开始 Hyper-V oever SMB 实践之前请再确认一下测试环境的准备情况，以 gOxiA 为例：一台 DC；两台 Hyper-V 主机，都加到 AD 并安装了文件共享服务。

        首先，使用 ADUC 创建两个组“HyperVHosts”和“HyperVAdmins”，将两台 Hyper-V 主机添加到“HyperVHosts”组，将用于管理 Hyper-V 的账号添加到“HyperVAdmins”，这样做是出于安全管理规范考虑，当然如果是测试环境，可以暂不考虑安全配置。

         然后，通过服务器管理器打开共享管理，并添加“SMB 共享 - 应用程序”类型的共享。

        在“共享位置”配置中，选择我们要存储虚拟机文件的卷，如：“E:”；“共享名称”设置中，在“共享名称”框中输入共享名，如：“SMB”，默认向导会在 E盘下自动创建一个 Share 目录，同时在其下创建 SMB 子目录，并将其设为共享，如：“hyper-vsmb”；“其他设置”选项中保持默认即可。

        之后进入权限设置，根据实际的情况，我们需要重新自定义权限，以确保 Hyper-V主机以及相关用户有适当的访问权限。

在“权限”选项中，首先禁用继承，并添加 Hyper-V 主机对该目录有完全控制权限，如下图所示：

        再切换到“共享”选项，添加 Hyper-V 主机和 Hyper-V 管理用户有完全控制的共享访问权限！注意：在两 Hyper-V 主机节点测试环境下，请将目录权限和共享权限都改为 everypne 有完全控制权限，否则在以后的 SMB 共享存储的实时迁移过程中会出现错误。

        完成 SMB 的设置后，我们便可以为 Hyper-V 主机上的虚机添加基于共享文件存储的虚拟磁盘（VHD），如下图所示：

        总结， Hyper-V over SMB 的配置操作其实非常简单，并没有特别需要设置的地方！只需牢记，文件服务器必须是支持 SMB 3.0 的文件服务器，如：Windows Server 2012；Hyper-V 主机必须是 Windows Server 2012 并加入到活动目录（AD），出于安全考虑可以单独创建安全组用于之后的权限分配。之所以要单独拿出来讲一讲，是便于学习下一篇“使用 SMB 共享存储的实时迁移”时，可以给 SMB 共享存储部分有一个参考！

        Hyper-V over SMB 部署的详细文档，可以参考：http://technet.microsoft.com/zh-cn/library/jj134187