ตรวจสุขภาพ Active Directory แบบมืออาชีพ

① AD Health Assessment คืออะไร

Active Directory เป็นระบบที่องค์กรใช้งานทุกวัน

แต่หลายองค์กรกลับไม่เคยตรวจสุขภาพระบบอย่างจริงจัง

จนกระทั่งเกิดปัญหา เช่น

• Login ไม่ได้
• Group Policy ไม่ทำงาน
• Replication ล้มเหลว
• DNS มีปัญหา
• Domain Controller ล่ม

AD Health Assessment คือกระบวนการตรวจสอบสุขภาพของ Active Directory อย่างเป็นระบบ เพื่อค้นหาปัญหาก่อนที่จะส่งผลกระทบต่อผู้ใช้งาน

องค์กรระดับ Enterprise มักตรวจสุขภาพ Active Directory อย่างน้อยปีละ 1–2 ครั้ง

---

② ทำไมต้องตรวจสุขภาพ Active Directory

หลายองค์กรเข้าใจว่า

Login ได้ = ระบบปกติ

แต่ในความเป็นจริง

อาจมีปัญหาซ่อนอยู่ เช่น

❌ Replication Error

❌ DNS Error

❌ SYSVOL Error

❌ Time Sync Error

❌ Failed Authentication

ซึ่งอาจสะสมมาหลายเดือนโดยไม่มีใครสังเกต

---

③ เริ่มจากตรวจสอบ Domain Controller

Domain Controller คือหัวใจของระบบ

ควรตรวจสอบ

✅ CPU

✅ RAM

✅ Disk

✅ Event Log

✅ Service Status

✅ Uptime

ตัวอย่างคำสั่ง

Get-Service

และ

Get-ComputerInfo

เพื่อดูสถานะเบื้องต้น

---

④ ตรวจสอบ Replication Health

Replication คือหัวข้อที่สำคัญที่สุด

ใช้คำสั่ง

repadmin /replsummary

ตัวอย่างผลลัพธ์ที่ดี

Fails = 0

หากมี Error

ต้องแก้ไขทันที

เพราะ Replication คือหัวใจของ Active Directory

---

⑤ ตรวจสอบ Replication รายละเอียด

คำสั่ง

repadmin /showrepl

ช่วยดู

• Source DC
• Destination DC
• Replication Status
• Error Message

เป็นเครื่องมือที่ผู้ดูแลระบบควรใช้เป็นประจำ

---

⑥ ตรวจสอบ DNS Health

Active Directory พึ่งพา DNS อย่างมาก

คำสั่งที่นิยม

dcdiag /test:dns

ช่วยตรวจสอบ

• DNS Registration
• SRV Records
• DNS Delegation
• DNS Resolution

ปัญหา DNS มักเป็นต้นเหตุของปัญหา AD จำนวนมาก

---

⑦ ตรวจสอบ Domain Controller ด้วย DCDIAG

เครื่องมือมาตรฐาน

dcdiag

ช่วยตรวจสอบ

✅ Services

✅ Replication

✅ DNS

✅ NetLogon

✅ Advertising

✅ Connectivity

ถือเป็นคำสั่งพื้นฐานที่ต้องใช้งานเป็น

---

⑧ ตรวจสอบ SYSVOL

SYSVOL ใช้เก็บ

• Group Policy
• Login Script

หาก SYSVOL มีปัญหา

GPO อาจไม่ทำงาน

คำสั่งตรวจสอบ

dcdiag /test:sysvolcheck

และ

dcdiag /test:frssysvol

---

⑨ ตรวจสอบ FSMO Roles

ควรทราบว่า

FSMO Roles อยู่ที่เครื่องใด

คำสั่ง

netdom query fsmo

ผลลัพธ์ควรถูกบันทึกไว้ใน Documentation

เพื่อรองรับ Disaster Recovery

---

⑩ ตรวจสอบ Time Synchronization

Kerberos Authentication

อาศัยเวลาเป็นหลัก

หากเวลาเพี้ยน

อาจเกิด

❌ Login Error

❌ Trust Error

❌ Kerberos Failure

ตรวจสอบด้วย

w32tm /query /status

---

⑪ ตรวจสอบ Active Directory Database

ไฟล์สำคัญ

NTDS.DIT

ควรตรวจสอบ

• ขนาด
• การเติบโต
• Disk Space

เพื่อป้องกันปัญหา Storage เต็ม

---

⑫ ตรวจสอบ AD Security

สิ่งที่ควรตรวจ

✅ Domain Admin

✅ Enterprise Admin

✅ Privileged Group

✅ Service Account

✅ Disabled Account

✅ Inactive Account

หลายองค์กรพบ Account เสี่ยงโดยไม่รู้ตัว

หลังทำ Health Assessment

---

⑬ ตรวจสอบ Group Policy

หัวข้อที่ควรตรวจ

✅ Broken GPO

✅ Unused GPO

✅ Slow GPO

✅ Orphaned GPO

ตัวอย่างคำสั่ง

gpresult /r

ช่วยตรวจสอบผลลัพธ์การประมวลผล GPO

---

⑭ ตรวจสอบ AD Sites and Services

ควรตรวจ

• Site
• Site Link
• Subnet
• Replication Cost

หลายองค์กรมีปัญหา Login ช้า

เพราะออกแบบ Site ไม่เหมาะสม

---

⑮ ตรวจสอบ Backup

คำถามสำคัญ

Backup ได้หรือไม่

และ

Restore ได้จริงหรือไม่

องค์กรจำนวนมาก Backup สำเร็จ

แต่ Restore ไม่ได้

ซึ่งเป็นความเสี่ยงร้ายแรง

---

⑯ ตรวจสอบ Event Logs

Log สำคัญ

Directory Service

DNS Server

System

Security

ควรมีการตรวจสอบอย่างสม่ำเสมอ

---

⑰ สร้าง Health Score

องค์กรระดับ Enterprise มักใช้

Health Score

ตัวอย่าง

หัวข้อ	คะแนน
DNS	100
Replication	95
Security	90
Backup	100
Monitoring	85

ช่วยให้เห็นภาพรวมของระบบได้ง่ายขึ้น

---

⑱ ข้อผิดพลาดที่พบบ่อย

❌ ไม่เคยตรวจ Replication

❌ ไม่เคยตรวจ DNS

❌ ไม่เคยตรวจ SYSVOL

❌ ไม่รู้ว่า FSMO อยู่ที่ไหน

❌ ไม่มี Monitoring

❌ ไม่เคยทดสอบ Restore

❌ ไม่เคยตรวจ Security Group

❌ ไม่เคยตรวจ Event Log

ปัญหาเหล่านี้มักถูกค้นพบหลังเกิด Incident แล้ว

---

⑲ แนวทางที่องค์กรระดับโลกนิยมใช้

องค์กรขนาดใหญ่ส่วนมากทำ

Quarterly Health Assessment

ร่วมกับ

Security Audit

Backup Testing

Replication Monitoring

Capacity Planning

เพื่อให้ Active Directory มีเสถียรภาพในระยะยาว

---

⑳ สรุป

AD Health Assessment เป็นกระบวนการสำคัญที่ช่วยให้องค์กรค้นพบปัญหาก่อนที่จะส่งผลกระทบต่อผู้ใช้งาน การตรวจสอบ Replication, DNS, SYSVOL, Security, Backup และ Monitoring อย่างสม่ำเสมอ จะช่วยลดความเสี่ยงและเพิ่มความเสถียรของระบบได้อย่างมาก

จากประสบการณ์ของ comsiam หลายองค์กรพบปัญหาที่สะสมมานานหลายปีจากการทำ Health Assessment เพียงครั้งเดียว และ comsiam มักแนะนำให้กำหนดรอบการตรวจสุขภาพ Active Directory อย่างน้อยทุกไตรมาสเพื่อให้ระบบพร้อมรองรับการเติบโตขององค์กรในอนาคต

คำถามชวนคิด

หากวันนี้ Domain Controller หลักขององค์กรหยุดทำงาน คุณมั่นใจหรือไม่ว่าระบบ Active Directory ของคุณมีสุขภาพดีพอที่จะรองรับเหตุการณ์ดังกล่าวได้ทันที?