[W2003] Maximum objecten in AD*

[Rataplan_]

sorrie, topic vergeten te setten... Maximaal aantal users in active directory

Vanwege een flink project waaraan ik werk schoot me ineens de vraag binnen hoeveel gebruikers/objecten je maximaal in een Active Directory kan zetten. Maakt het hierin nog wat uit of je standaard of enterprise versies van win2kserver/w2k3server hebt?
Zeg niet gelijk 'je zal daarmee nooit in problemen komen'. Wij doen een landelijk en door de overheid gesponsort project voor basisscholen en later ook middelbare scholen, waarbij we uiteindelijk over de 500.000 (ja, half miljoen) gebruikers heen zouden kunnen gaan. Deze moeten allemaal onder een enkele omgeving ingedeeld worden.

Microsoft spreekt nergens over limieten, althans niet waar ik het kan vinden Anyone?

[ Voor 17% gewijzigd door Rataplan_ op 13-10-2003 14:23 . Reden: topic vergeten te setten... Maximaal aantal users in active directory ]

[dawg]

In Windows 2000 AD kun je enkele miljoenen objecten kwijt. Ik weet het aantal niet precies, het is in ieder geval meer dan genoeg.

[elevator]

Vertel even wat je zelf wel hebt weten te vinden. Ik kan me niet voorstellen dat je er helemaal niets over gevonden hebt. Ik heb je topic titel ook even aangepast.

[mutsje]

sowieso ga je al met multiple sites dus multiple domain controllers werken vanwege wan bandbreedte.... dus kun je 500.000 users makkelijk kwijt.

[Rataplan_]

elevator schreef op 13 oktober 2003 @ 14:53:
Vertel even wat je zelf wel hebt weten te vinden. Ik kan me niet voorstellen dat je er helemaal niets over gevonden hebt. Ik heb je topic titel ook even aangepast.

Ik heb er dus echt nix over gevonden. Met google niet, op technet niet, hier in GOT niet. Zaken die ook belangrijk zijn is of dit aantal afhankelijk is van schijfruimte, geheugen of andere zaken.

En inderdaad gaan we op termijn natuurlijk vanaf meerdere sites hosten maar omdat het EEN grote omgeving (domein) wordt, zal AD er mee om moeten kunnen gaan. Maar zo te horen is dat voorlopig nog geen probleem.

[_Dune_]

Microsoft stelt dat er zoveel miljoenen objects in de Active Directory opgeslagen kunnen worden dat er nooit een probleem kan onstaan ...

Onderstaande komt direct uit het les boek voor het examen 70-210 (Windows 2000 Pro) :

"The Directory can expand as an organization grows, allowing you to scale from a small installation with a few hunderd objects to a huge installation with millions of objects"

Is dit wat je wilde weten ?

[Rataplan_]

jip, het is in elk geval duidelijk dat we voorlopig in ons kleine nederlandje niet tegen problemen aanlopen. thnx all!

[elevator]

Naar PNS in overleg met Kofffie - waarschijnlijk krijg je daar wat meer ervaringen van grotere AD deployments.

[seq_uence]

Even nieuwsgierig, Edulan ?

[Loesje]

Er is een AD met 100.000.000 objecten erin: de yellow pages van de VS. Als je meer info wilt hebben kijk eens naar +dit linkje. Het is een discussie tussen NDS en AD aanhangers, maar alle grenzen van AD worden er wel zo'n beetje in besproken. (Het gaat wel over de versie voor w2k3server)

[DiGuru]

Waarschuwing: Als je het bovenstaande linkje leest wordt je geconfronteerd met anti-Microsoft meningen. Alleen lezen op eigen risico.

[Verwijderd]

De limiet schijnt volgens Microsoft te liggen bij anderhalf miljoen users, maar meer hebben ze geloof ik niet eens geprobeerd. Ik citeer een stukje uit "Mastering Windows 2000 Server" van Mark Minasi:

Microsoft has stress-tested Windows 2000 domains with 1.5 million users in them, and, in one impressive example, Compaq built an AD with 100 million users in it.

_{http://www.sybex.com/sybe...ooklist/4043?OpenDocument}

Ik gok dat je het nog wel overleeft met >500.000

En DiGuru: pas op met je semi-humoristische opmerkingen.

[ Voor 12% gewijzigd door Verwijderd op 14-10-2003 12:00 ]

[Flyduck]

Damn

Dat is btw wel ff een fijn project zeg... Zou willen dat ik een keer mee kon werken aan een project wat ook maar een beetje in de buurt zou komen ...

Onze grootste klant is 500 users

[Grolsch]

ik geloof dat er geen "ingebouwde" grens inzit.
Maar bij 1.000.000 krijg je wel andere leuke dingen om over na te denken.
replicatie verkeer etc.

[Verwijderd]

Grolsch schreef op 14 October 2003 @ 14:07:
ik geloof dat er geen "ingebouwde" grens inzit.
Maar bij 1.000.000 krijg je wel andere leuke dingen om over na te denken.
replicatie verkeer etc.

Mja, volgens mij blijft dat wel binnen de perken. Je hebt nog steeds een flinke compressie..

Wat overigens wel opmerkelijk is is dat het schijnbaar nog steeds maar 1 à 2 seconde duurt om een query te maken in een AD van 100 miljoen items

[Flyduck]

Verwijderd schreef op 14 October 2003 @ 14:12:
[...]
Wat overigens wel opmerkelijk is is dat het schijnbaar nog steeds maar 1 à 2 seconde duurt om een query te maken in een AD van 100 miljoen items

Dat ga ik morgen ff testen....

[SED]

DiGuru schreef op 14 October 2003 @ 05:05:
Waarschuwing: Als je het bovenstaande linkje leest wordt je geconfronteerd met anti-Microsoft meningen. Alleen lezen op eigen risico.

of topic:
Dit is te kinderachtig voor woorden.
Kun je dit niet in andere forums kwijt en niet hier in PNS

[luckyme_]

SED schreef op 14 October 2003 @ 20:09:
[...]

of topic:
Dit is te kinderachtig voor woorden.
Kun je dit niet in andere forums kwijt en niet hier in PNS

off topic:
Hier misschien?

On topic:

Ik zie geen enkel probleem met die hoeveelheid objecten in een AD. Win2k3 kan ook weer meer objecten aan (theoretisch) dan 2000 dus wat dat betreft zit je ook goed. Replicatieverkeer zal bij een beetje handige site indeling ook geen probleem zijn verder.
Heb je misschien wat meer info over het project? Grote AD's zijn altijd interessant, deze heeft dan ook nog eens veel sites (scholen). Ik ben benieuwd.

[ Voor 44% gewijzigd door luckyme_ op 14-10-2003 22:04 ]

[Verwijderd]

Ik denk dat je met scholen juist niet zover komt. Scholen hebben echt niet veel meer dan 50.000 - hooguit 100.000 - items in hun AD. Multinationals, dat zijn de doelgroepen waar we het nu over hebben. Waar je met een flinke trust tussen forests gewoon kunt inloggen aan de andere kant van de wereld
En tja, replicatieverkeer. Als je dit slim plant denk ik dat je daar weinig overlast van hebt..

[Border|IA]

er is een verschil in het aantal objecten in een directory en het aantal user objecten in een diretory....

dus een paar miljoen objecten in ad of nds of whatever is goed mogelijk, maar daadwerkelijke user objecten en users die dus inloggen en alle afhankelijke objecten die gekoppeld zijn aan de user en ze daadwerkelijk uitleest (lees: treewalking) is een ander verhaal dan een groot aantal objecten in een directory hebben staan.

[Verwijderd]

Daar heb je gelijk in, maar meestal groeit het aantal objecten in het algemeen redelijk evenredig aan het aantal users

-Edit-
Ik weet dat er niet enkel users in staan, maar het is niet zo dat er voor iedere user standaard 8 objecten in staan. Dát bedoelde ik

[ Voor 38% gewijzigd door Verwijderd op 16-10-2003 15:59 ]

[collin]

Verwijderd schreef op 16 October 2003 @ 15:22:
Daar heb je gelijk in, maar meestal groeit het aantal objecten in het algemeen redelijk evenredig aan het aantal users

Nee hoor, een mailbox, een custom recipient, computer accounts, een distributie lijst, een groepje hier, etc. niet alleen users zijn objecten in de AD.

[Border|IA]

Verwijderd schreef op 16 oktober 2003 @ 15:22:
Daar heb je gelijk in, maar meestal groeit het aantal objecten in het algemeen redelijk evenredig aan het aantal users

dacht het niet....
er bestaan meer objecten dan user objecten alleen...

de yellow pages zullen niet tig users er inhebben staan voor een netwerk in te kunnen loggen, maar de info van personen/bedrijven is in object opgeslagen

[ Voor 22% gewijzigd door Border|IA op 17-10-2003 12:42 ]

[Adm.Spock]

Het enige echte probleem is dat er enige tijd kan gaan zitten in de replicatie van een verandering in de AD. als je dat op een hoog niveau doet verloopt de replicatie vrij snel, maar doe je dat op een laag niveau dan kan daar wel een paar uur tot twee dagen overheen gaan. Met Novell echter duurt de replicatie maximaal een paar minuten (mits er continue verbinding is).

[Grolsch]

Adm.Spock schreef op 17 oktober 2003 @ 01:50:
Het enige echte probleem is dat er enige tijd kan gaan zitten in de replicatie van een verandering in de AD. als je dat op een hoog niveau doet verloopt de replicatie vrij snel, maar doe je dat op een laag niveau dan kan daar wel een paar uur tot twee dagen overheen gaan. Met Novell echter duurt de replicatie maximaal een paar minuten (mits er continue verbinding is).

dat kan een voordeel, maar ook een nadeel zijn.

En dit valt met win2k ook in te stellen hoor als je dat graag wil.

[Rataplan_]

Het is iig NIET Edulan. Aangezien we nog niet live zijn kan ik niet al teveel vertellen, maar het wordt HUGE. Het doel is de kosten per werkplek op een basisschool te verlagen. Dit doen wij door alles centraal te zetten op een gruwelijk grote Citrix farm. IDD, we gaan educatieve software aanbieden via Citrix. Multimedia geeft nogal wat bandbreedteproblemen en daarom zijn we sinds kort goeie maatjes met KPN We zullen beginnen in een enkel hosting centrum echter wanneer we de eerste 5 racks volhebben (19 citrix servers per rack (Proliant DL360 G3, dual Xeon 3.2ghz), 1 file/sql server per rack (Proliant DL380), upssen, gbit tussen de servers en 10gbit tussen de verschillende switches ) gaan we naar meerdere centra uitwijken. Hardware en bandbreedte is voorlopig niet het probleem waar we tegenaanlopen. De gigantische beheerstructuur die ik op moet zetten is veel erger. Omdat dergelijke grote projecten niet veel gedaan worden (althans ik ben heel eerlijk om te zeggen dat ik op zo'n niveau weinig ervaring heb) is er vrij weinig support. maar het maakt natuurlijk nogal wat uit of je voor 1000 gebruikers een netwerk maakt of voor een half miljoen. Toch moet je hier nu al rekening mee houden, grote veranderingen kunnen we in een later stadium niet meer implementeren... althans moeilijk. Vandaar dus ook de vraag over de grootte van de AD, om een idee te krijgen of Windows uberhaubt voldoet.

Op dit moment zitten we op een erg hoog niveau met HP, Citrix, Microsoft, KPN en nog een aantal partijen. Probleem is, omdat dit dus zal groeien naar een echt gigantische omgeving, dat er gewoon weinig info te vinden is. Alle stappen die we nemen moeten goed doordacht zijn.

Als voorbeeld: We gaan werken met inloggen met SmartCards. Daartoe hebben we toetsenborden van HP bij de thin clients zitten waarin een SmartCard reader geintegreerd is. (waarom? Kinderen uit groep 1 bijvoorbeeld spelen wel spelletjes op een pc maar tiepen kunnen ze niet, laat staan een wachtwoord onthouden. Daarom: pasje vragen bij juffrouw, inloggen door pasje erin te prikken, en pasje teruggeven aan juffrouw).
Hierover is genoeg informatie te vinden. In bijna alle gevallen gaat het over de CA van Microsoft. Werkt op zich prima, maar niet in een omgeving met 100.000+ gebruikers. En dus moet je op zoek naar iets beters.... (in dit geval software van SSH). Later migreren naar SSH zou een crime worden, dus vandaar dat we dit van te voren al uitgezocht hebben.

Wat betreft replicatie: Dit project heeft als voordeel dat je tussen 8:30 en 17:00 de load hebt, snachts zal er nauwelijks iemand gebruik maken ervan. Je hebt dus ruim 12 uur per dag de tijd om beheerszaken uit te voeren. Backups doe je snachts, die 100 gebruikers die er dan wel aanhangen hebben er nauwelijks last van. Replicatie hetzelfde. Valt er dan een hostingcentrum uit, nouja de gegevens van die dag zijn dan pleite maargoed das een policy die ik van hogerop opgelegd krijg. Dus dat is dan niet mijn probleem.

Dank voor alle replies! Ik denk dat een groot deel van it-end nederland nog zal spreken van dit project. Ministerie van Onderwijs hebben we inmiddels achter ons staan dus kans van slagen en daadwerkelijke implementatie is erg hoog. Stay tuned

[ Voor 29% gewijzigd door Rataplan_ op 20-10-2003 14:09 ]

[Brahiewahiewa]

Rataplan_ schreef op 20 October 2003 @ 13:52:
[...]Kinderen uit groep 1 bijvoorbeeld spelen wel spelletjes op een pc maar tiepen kunnen ze niet, laat staan een wachtwoord onthouden. Daarom: pasje vragen bij juffrouw, inloggen door pasje erin te prikken, en pasje teruggeven aan juffrouw).

'k Dach dat je bij een smartcard toch ook altijd nog de bijbehorende PIN moes intypen

[...]de CA van Microsoft. Werkt op zich prima, maar niet in een omgeving met 100.000+ gebruikers[...]

Hoezo? Houdt die CA op bij 100000?

[Rataplan_]

PIN kan je uitzetten. beetje afhankelijk van het type kaartje dat je gebruikt overigens. Wij gebruiken (goedkope omdat we encryptie in dit geval niet zo belangrijk vinden) kaartjes van Gemplus.

CA van MS houdt niet op bij 100.000 maar beheersmatig en qua performance schijnt deze bij veel gebruikers toch niet te voldoen. Ik heb dit zelf niet getest. Echter onze toko bestaat uit een aantal bv's waaronder een Security firma. De mensen die daar werken hebben dus ruime ervaring met SmartCards en alles wat daarbij komt kijken wat betreft certificaten en beveiliging en flauwe kul. Zij stellen dat MS gewoonweg niet voldoet voor wat wij willen.

[Steven]

offtopic:
Ik ben zelf sbh op een middelbare school, op welke termijn gaan wij hier info over krijgen? En wordt het verplicht?

[Rataplan_]

Steven schreef op 21 oktober 2003 @ 12:07:

offtopic:
Ik ben zelf sbh op een middelbare school, op welke termijn gaan wij hier info over krijgen? En wordt het verplicht?

We zullen eerst basisscholen doen. het zal jaren en jaren duren eer we ons doel, 80% van nederland, hebben. Pas wanneer dat doel bereikt is wordt wellicht de keuze gemaakt ook middelbare scholen te doen. Dit omdat je dan een leerlingvolgsysteem kan opzetten waarbij je van kindsafaan iemands historie kan opvragen. Je hoeft je voorlopig dus niet druk te maken En of het verplicht wordt? Tja... het is ook een stukje marketing... per 1 januari 2004 vervalt de subsidiering op kennisnet. Elke school zal dan zijn eigen internetlijn moeten voorzien. Nu gaat KPN dat voor een aantal (3) jaren sponsoren, maar daarna is het weer hetzelfde verhaal. Een school heeft daar eigenlijk gewoon geen geld voor. Als wij tegen een concurrende prijs een complete en beheerde werkplek kunnen levern, moet je eens zien wat een school daaraan kan besparen. Lokaal beheer zal nooit 100% wegvallen, maar het valt wel enorm, enorm te beperken. Hier kan een school gigantisch kosten besparen.

[Yoeri]

euh.... aangezien het om dergelijk gigantisch project gaat en je al contacten met hp, microsoft, ... hebt, waarom niet ff een telefoontje richting microsoft, die zullen toch wel het beste weten hoeveel objecten AD kan bevatten?

dat was toch eigenlijk de vraag die je met dit topic wou stellen?

[Rataplan_]

Klopt. Maar door wat strubbelingen met MS die we hebben omtrent licenties die we mogen gebruiken binnen het project (MS heeft speciale ASP licenties maar die krijgen we niet) loopt MS - wij niet zo vlekkeloos op het moment... dus vandaar dat ik het hier maar even vroeg.

[mutsje]

offtopic:
over kennisnet heeft een klein bedrijfje uit Hoorn niet het contract gekregen ? hoorde daar iets over iig.

[Rataplan_]

mutsje schreef op 22 oktober 2003 @ 08:52:

offtopic:
over kennisnet heeft een klein bedrijfje uit Hoorn niet het contract gekregen ? hoorde daar iets over iig.

Wij hebben met kennisnet niets te maken. In eerste instantie zou ons project over de kennisnetverbindingen gaan draaien maar daarvoor zijn die lijnen VER onder de maat wat betreft stabiliteit, soms lijkt wel alsof je met een 1 op 20 overboeking werkt...

Overigens de lijn die KPN gaat aanbieden aan alle scholen voor 3 jaar lang, is ook een 2Mbit 1 op 20 overboeking... nee daar schiet je wat mee op als je 200 clients hebt staan