Abschlusshalber hier die Ursache:
Der Dienst HitmanPro.Alert service (Exploit prevention von Sophos) verursacht die Probleme.
Vermutlicher Ablauf:
Die Windows Updates werden bei uns per WSUS verteilt, sofern sich Rechner im lokalen Netzwerk anmelden. Ein paar Mitarbeiter waren die Tage seit dem Update nicht im Haus bei anderen fand die Installation der Mai Updates (insbesondere der .NET 3.5. Patche) verzögert statt.
Windows zeigte unter "Updates deinstallieren" keine Updates an.
Lösung:
Windows im Abgesicherten Modus starten.
Den Dienst "HitmanPro.Alert service" deaktivieren.
ja, ich habs nochmal überprüft aber dabei den Fehler gefunden: Die Autodiscover.xml ist irgendwann mal anscheinen verändert worden. Ich habe sie durch eine "Frische" erstezt und auch die Beerechtigung neu vergeben. Dann hats wieder gepasst. Kleine Ursache.
Danke!
Ähm...PS: Wie kann ich jetzt diesen Threat schließen bzw. als gelöst makeiren?
Okay, Problem gelöst, auch wenn mir nicht so ganz klar ist, wie das passiert ist.
Live-System:
Arbeitet nach wie vor ohne Probleme und ohne meckern. Werde es jetzt nochmal mit aktuellen Backups replizieren und dann den alten Server über Standorte und Dienste löschen.
Auch wenn es nicht sein sollte, habe ich irgendwie Angst das Live-System neu zu starten, nicht das er dann das selbe Problem hat.
Test-System:
Ich fasse es nochmal zusammen inkl. Problemlösung (auch wenn ich nicht 100%ig sicher bin dass es ausschließlich die Maßnahme war)
Der Windows 2016 Server wurde zurückgesichert. Eingesetztes Sicherungssystem Windows-Backup.
Dieser Katalogserver stufte sich nicht mehr hoch und stellte auch das AD nicht mehr zur Verfügung "Es konnte keine Verbindung zur Domäne hergestellt werden". Als folge davon konnte keine ADS-Anwendung mehr gestartet werden (Active Directory Benutzer- und Computer, Standorte-und Dienste etc).
Die Protokolle beschrieben dass die Erstsyncronisation nicht abgeschlossen werden konnte, da der alte Katalog-Server nicht kontaktiert werden konnte. Der neue Server hatte aber von Anfang an alle FSMO Rollen.
Der alte Katalog-Server wurde zurückgesichert. Auch dort konnte er keine Verbindung zur Domäne herstellen.
Ich führte anschließend auf dem 2016 Schritte mit "DFSRMIG" aus. Der Server stufte sich wieder hoch und alles war gut.
Fazit:
Keine Ahnung warum sich auf einmal kein Server mehr als Katalog-Server sah. Die Übertragung der FSMO Rollen war bereits vollzogen und beide Server liefen noch 2 Wochen gemeinsam. Der alte Server wurde dann herabgestuft und abgeschaltet.
Nach meinen Verständniss, suchte der neue Server beim Neustart dann noch einmal seinen Partner auf um sich bestätigen zu lassen. Im Life-System war unter Standorte und Dienste der alte Server auch noch gelistet: Vermutung: Die übertragung der FSMO lief durch, jedoch wurde der alte Server nicht aus der Replikations entfernt und ebenfalls noch als Katalogserver gelistet. Warum er dann nicht sagte, ich bin jetzt einfach der Chef weiß ich nicht.
Über den Befehle "DFSRMIG" löschte ich den Migrationsstatus und die Replikationspartner. Danach stufte sich der Server hoch und auch unter Standorte war der alte nicht mehr gelistet.
Im letzten Schritt wurde der Exchange zurück gesichert. Anmeldung, Domänenanzeige etc. funktionierten.
Lediglich Zugriff auf das Interface dauert noch an. Das liegt aber denke ich an der ältern Hardware der Testumgebung und an der Kapazitätsgrenze. Die Exchange Konsole Verbindet sich normal mit den Server, somit denke ich, kann ich den Thread schließen.
Wie immer Herzlichen Dank für die Tolle untestützung!!
Empfehle jedem ein Desaster Recovery der wichtigesten Systeme in einer Testumgebung. Hier lief auch alles normal aber im Falle eines Desasterbackups wäre ich ins Schwitzen gekomme.
Okay danke. Hab auch schon einiges darüber gelesen. Bei den meisten klingts nach ner Arbeitsbeschaffungsmaßnahme. Klar, für große Unternehmen ist das kein Ding, aber für den Mittelstand.
Thomas Maggnussen's post in Windows Update: Kein Anmeldugen mehr möglich wurde als beste Lösung markiert.