Мониторинг Active Directory с помощью Proto Observability

На этой странице:

• Сбор метрик Active Directory
  • Требования
  • Конфигурация ProtoOBP агента
    • Дополнительные счётчики (extra_metrics)
    • Удалённый сбор
  • Проверка
  • Собираемые метрики
    • Лейблы
    • LDAP и служба каталогов (NTDS)
    • Репликация (NTDS, DRA)
    • Аутентификация (Netlogon, Security)
    • DHCP Server
    • DFS Replication
  • Ключевые метрики для дашбордов и алертов
• Контроль служб Active Directory

Сбор метрик Active Directory

Интеграция active_directory собирает метрики контроллера домена Microsoft Active Directory из счётчиков производительности Windows (Performance Data Helper, PDH) — тех же, что показывает perfmon. Агент не подключается к каталогу по LDAP и не читает объекты каталога: он опрашивает счётчики служб каталога на самом сервере.

Проверка работает только на Windows и настраивается на каждом контроллере домена, который нужно контролировать. Набор опрашиваемых объектов производительности определяется автоматически по установленным на сервере службам:

Интеграция входит в состав ProtoOBP агента для Windows, отдельная установка не требуется.

Требования

• Windows Server с ролью Active Directory Domain Services (контроллер домена).
• ProtoOBP агент для Windows, установленный на контроллер домена (см. Установка агента на Windows).
• Служебная учётная запись агента должна иметь право читать счётчики производительности — входить во встроенную группу Performance Monitor Users.

На контроллере домена нет локальных учётных записей и локальных групп: встроенные группы (контейнер Builtin) общие для всех контроллеров домена, а служба агента работает под доменной учётной записью или под GMSA (<ВАШ_ДОМЕН>\ProtoobpGMSA$, см. раздел GMSA). Добавить учётную запись в группу можно в Active Directory Users and Computers (Builtin → Performance Monitor Users) или через PowerShell от имени администратора домена:

Add-ADGroupMember -Identity "Performance Monitor Users" -Members "ProtoobpGMSA$"

После изменения членства в группах перезапустите службу агента; для GMSA дополнительно очистите Kerberos-тикеты (klist purge), чтобы новое членство вступило в силу.

Конфигурация ProtoOBP агента

1. Создайте файл конфигурации проверки:

   Платформа	Путь и имя файла
   Windows	%ProgramData%\Protoobp\conf.d\active_directory.d\conf.yaml

   Минимальная конфигурация собирает все метрики с локального контроллера домена:

   init_config:
   
   instances:
     - min_collection_interval: 15
       # tags:
       #   - ad_site:moscow
       #   - env:prod
   

2. Перезапустите службу агента (PowerShell от имени администратора):

   Restart-Service protoobp-agent
   

Основные параметры элемента instances:

Параметр use_localized_counters: true в секции init_config включает обращение к счётчикам по локализованным именам. По умолчанию используются английские имена счётчиков.

Дополнительные счётчики (extra_metrics)

Объект NTDS содержит больше счётчиков, чем собирается по умолчанию. Список доступных счётчиков можно получить командой:

(Get-Counter -ListSet NTDS).Counter

Пример: доля операций записи, пришедших по LDAP, и число новых LDAP-подключений в секунду:

init_config:

instances:
  - extra_metrics:
      NTDS:
        name: ds
        counters:
          - 'DS % Writes from LDAP': writes_from_ldap
          - 'LDAP New Connections/sec': new_connections_persec

Имя метрики складывается из префикса active_directory, значения name объекта и имени из списка counters: в примере это active_directory_ds_writes_from_ldap и active_directory_ds_new_connections_persec. Тип по умолчанию — gauge; другой тип задаётся формой '<счётчик>': {name: <имя>, type: rate}.

Удалённый сбор

Счётчики можно читать с другого контроллера домена, не устанавливая на него агент. Учётная запись из username должна иметь право читать счётчики производительности на удалённом сервере, а на самом удалённом сервере должна работать служба Remote Registry.

init_config:

instances:
  - server: dc02.example.local
    username: EXAMPLE\monitoring_user
    password: <PASSWORD>
    tags:
      - ad_site:moscow

Предпочтительный вариант — агент на каждом контроллере домена: так метрики получают правильный лейбл host и не зависят от доступности соседнего сервера.

Проверка

Запустите проверку однократно и убедитесь, что метрики собираются:

& "C:\Program Files\Protoobp\Protoobp Agent\bin\agent.exe" check active_directory

В выводе status проверка active_directory должна иметь статус [OK] и ненулевое число Metric Samples:

& "C:\Program Files\Protoobp\Protoobp Agent\bin\agent.exe" status

Если проверка сообщает об ошибке доступа к счётчикам, проверьте членство служебной учётной записи агента в группе Performance Monitor Users (см. Требования). Наличие счётчиков на сервере можно проверить командой Get-Counter -ListSet NTDS.

Собираемые метрики

Все метрики отправляются как gauge — мгновенное значение счётчика на момент сбора; значения метрик с суффиксом persec Windows уже пересчитывает «в секунду». Исключение — active_directory_netlogon_semaphore_acquires и active_directory_netlogon_semaphore_timeouts: это кумулятивные счётчики, агент отправляет их как count (прирост между сборами).

В ProtoOBP backend имена метрик хранятся в Prometheus-стиле — точки заменены на подчёркивания (active_directory_ldap_bind_time, active_directory_dra_inbound_bytes_total и т.д.). Именно в таком виде они приведены ниже.

Лейблы

LDAP и служба каталогов (NTDS)

Репликация (NTDS, DRA)

Счётчики агента репликации каталога (Directory Replication Agent, DRA). Сжатые данные — репликация между сайтами, несжатые — внутри сайта.

Аутентификация (Netlogon, Security)

DHCP Server

Собираются, если на сервере установлена роль DHCP Server.

DFS Replication

Собираются, если на сервере установлена служба DFSR (в том числе для репликации SYSVOL). Метрики несут лейбл instance с именем реплицируемой папки.

Ключевые метрики для дашбордов и алертов

Доступность

• Отсутствие свежих серий active_directory_* с контроллера домена — агент остановлен или потерял доступ к счётчикам.
• Состояние служб NTDS, Netlogon, KDC, DNS — см. Контроль служб Active Directory.

LDAP

• active_directory_ldap_bind_time — рост означает медленные ответы контроллера домена (нагрузка на CPU или диск базы ntds.dit).
• active_directory_ds_client_binds_persec заметно выше active_directory_ldap_successful_binds_persec — много неуспешных bind: неверные учётные данные в приложениях или перебор паролей.
• active_directory_ldap_searches_persec — основной показатель нагрузки на чтение; резкий рост без роста числа клиентов указывает на неэффективные запросы приложений.
• active_directory_ldap_client_sessions — сравнивайте с обычным уровнем для конкретного контроллера домена; всплеск — массовое переподключение клиентов.
• active_directory_ds_threads_in_use и active_directory_ldap_active_threads стабильно высокие — служба каталогов не успевает обрабатывать запросы.

Репликация

• active_directory_dra_replication_pending_synchronizations — главный показатель отставания репликации; алерт, если значение больше нуля держится дольше нескольких интервалов репликации.
• active_directory_dra_inbound_objects_remaining_in_packet стабильно больше нуля — изменения приходят, но применяются медленно.
• active_directory_dra_inbound_objects_remaining больше нуля вне запланированной полной синхронизации — контроллер домена догоняет партнёров.
• active_directory_dra_inbound_bytes_total и active_directory_dra_outbound_bytes_total — объём репликационного трафика; всплеск означает массовые изменения в каталоге.

Аутентификация

• active_directory_netlogon_semaphore_waiters больше нуля и рост active_directory_netlogon_semaphore_hold_time — очередь на аутентификацию (NTLM, RADIUS, системы контроля сетевого доступа).
• Прирост active_directory_netlogon_semaphore_timeouts — запросы аутентификации отклоняются по таймауту; алерт.
• Соотношение active_directory_security_ntlm_authentications и active_directory_security_kerberos_authentications — рост доли NTLM указывает на приложения, которые не используют Kerberos.

DHCP и DFS

• active_directory_dhcp_failover_binding_updates_pending растёт — партнёр по отказоустойчивости DHCP недоступен.
• Рост active_directory_dfsr_conflict_space_in_use или active_directory_dfsr_file_installs_retried — проблемы репликации SYSVOL или других папок DFS.

Контроль служб Active Directory

Счётчики производительности не показывают, запущены ли сами службы. Для контроля их состояния используйте проверку windows_service — файл %ProgramData%\Protoobp\conf.d\windows_service.d\conf.yaml:

init_config:

instances:
  - services:
      - ntds
      - netlogon
      - kdc
      - dns
      - dfsr
      - adws
      # - dhcpserver   # если установлена роль DHCP Server

Служебной учётной записи агента может не хватать прав на чтение состояния отдельных служб (например, NTDS) — в этом случае выдайте ей право чтения состояния службы или проверьте вывод agent.exe check windows_service.