2 x 2K Server , FSMO Inhaber-Tausch

[mcdaniels 22]

Hey!

Habe demnächst eine Umstellung durchzuführen. Es handelt sich dabei um 2 2K Server, wobei der 2K Server ausgetauscht werden soll, der alle FSMO inne hat + GC.

 

Der 2te 2K Server hat keine Rollen, aber auch den GC.

 

DNS ist Active Directory integriert.

 

Wie gehe ich bei dem Austausch des 1 PDC (alle FSMO+GC) am besten vor:

1. Neuen Server (ebenfalls 2K Server) in die Domäne aufnehmen als Member (DNS Einstellungen zeigen auf den 2ten 2K-Server?)

2. Danach DCPromo am neuen 2K Server (folglich müssten dann 3 x 2K DC in der Domäne sein.)

3. DNS Dienst am neuen DC installieren -> folglich DNS Replikation über AD

4. Nach erfolgreichem DC-Promo übertrage ich dann alle Rollen mittels GUI vom alten 2K Server auf den neuen 2K Server und aktiviere den GC auf dem neuen DC?

5. Wenn alle diese Vorgänge erfolgreich waren demote ich den alten 2 K Server mittels dcpromo und kann das Computerkonto des alten Server dann aus der Domäne löschen?

 

Ist diese Vorgangsweise ok?

 

Wie kann ich sicherstellen, dass die Replikation (vor allem wegen dem GC) erfolgreich abgeschlossen wurde bevor ich den alten 2K aus der Domäne entferne?

 

Gibt es eine Möglichkeit, dass der neue DC den gleichen Namen wie der zu entfernende bekommen kann?

 

Ich hab hier schön desöfteren über ein "exportieren der Zertifikate" gelesen. Welche Zertifikate sind damit gemeint?

[Volvotrucker 10]

Wenn der neue DC den gleichen Namen haben soll wie der alte, dann verschieb die Rollen auf den 2. Server, demote den 1. und nimm dann erst den Neuen in die Domäne auf. Da kannst ihm dann den gleichen Namen wie dem Alten geben

[mcdaniels 22]

Hey Volvo!

Ja, das hab ich mir auch schon überlegt. Dann müsst ich halt die Rollen danach wieder auf den neuen verschieben, aber ich könnte den gleichen Namen verwenden. Stimmt!

[mcdaniels 22]

BTW, wenn ich den ersten (der mit allen FSMO) bei insgesamt 2 DCs demote, dann brauch ich die Rollen eigentlich nicht zu verschieben, denn dass sollte ja, sofern ich mich noch richtig erinnern kann, automatisch beim demoten passieren.

 

Es ist ja, wenn ich den jetzigen FSMO Inhaber demote nur noch ein 2K DC im Netz.

[Volvotrucker 10]

Naja, das mit dem SOLLTE ist immer so ne Sache ....

Die paar Klicks für das manuelle Verschieben tun ja auch net weh, oder?

[mcdaniels 22]

Jup stimmt. Was ist jedoch mit dem exportieren der Zertifikate bzw. ist das unbedingt notwendig?

[IThome 10]

Bitte auch an das Verschiebenn des Standortlizenzservers denken ... Das Zertifikat samt privatem Schlüssel sollte gesichert werden, damit man noch eine Hintertür für die Entschlüsselung (EFS) hat. Am Anfang haben alle Server den verbleibenden DC/DNS als bevorzugten DNS-Server, auf dem Neuen ist der DNS-Dienst vor dem Promoten schon installiert. Wenn der alte Server seine Rollen, den GC und den Standortlizenzserver übertragen hat, das Zertifikat samt privatem Schlüssel ebenfalls übertragen wurde, demotest Du ihn. Das Computerkonto kannst Du löschen, ebenso den Eintrag in Active Directory Standort- und Dienste, überprüfe auch DNS und WINS nach alten Einträgen und entferne sie. Danach die Replikationstopologie überprüfen lassen und den neuen Server mit dem Namen des alten Servers promoten. Dann die Replikation abwarten und die Rollen, Standortlizenzserver usw. wieder zurück transferieren ...

Irgendwas vergessen ?

[mcdaniels 22]

Hey IT-home!

 

Von welchem Szenario gehst du beim von dir Beschriebenen aus?

 

Davon, dass ich den neuen Server als dritten in die Domäne bringe, oder davon, dass ich die FSMO des alten zu ersetzenden Server auf den 2ten bringe, damit ich den neuen dann mit gleichen Namen in der Domäne einsetzen kann?

 

Im Fall, dass der neue Server anders heisst, kann ich es ja so machen, dass ich alle 3 Server in der Domäne hab, dann die Rollen vom alten DC auf den neuen bringe + GC und dann den alten demote?

 

Reichts, wenn ich mit replmon bzw. dcdiag checke , ob die Übertragung der Rollen einwandfrei durchgführt worden ist oder gibts nochwas was man checken sollte / kann?

 

Standortlizenzserver, wie verschieb ich den bzw. wie exportier ich das Zertifikat?

 

Hab das Szenario mal in ner VM nachgestellt, d.h. die Rollen inkl GC verschoben, ging ohne Troubles... nur den Standortlizenzserver hab ich ehrlich gesagt nicht angerührt.

 

Hab grad nen Link über das Board gefunden: Was muss ich tun, um den ersten DC zu deinstallieren? - faq-o-matic.net Werd ich mir mal genau durchlesen.

[IThome 10]

Den Standortlizenzserver findest Du in Active Directory Standorte und DIenste, musst unter Ansicht aber erst Dienstknoten anzeigen lassen ...

Ich gehe von 2 Servern aus, ein neuer Server kommt und ein alter Server soll rausfliegen ...

How to back up the recovery agent Encrypting File System (EFS) private key in Windows Server 2003, in Windows 2000, and in Windows XP

Mit REPLMON kannst Du auch eine Replikation erzwingen.In den Ereignisanzeigen steht z.B. dass ein DC jetzt der Globale Katalog ist ...

[mcdaniels 22]

Oh Oh ich steh auf der Leitung.

 

Also bin jetzt in AD - Standorte und Dienste, hab Dienstkonten aktiviert.

Dann bekomm ich quasi in der Ansicht nen Ordner mit "Services" dazu.

 

Wenn ich den öffne, dann seh ich hier:

msmqservices

NetServices

Public Key Services

RRAS

Winnt

 

Standardlizenzserver sollte das da stehen?

[IThome 10]

Klick mal auf den Standort ... Ähm, ich sehe gerade, das wird auch ohne Dienstknotenanzeige angezeigt (2003)

[mcdaniels 22]

Hm.. also bin jetzt auf AD Standorte und Dienste, hab mal Dienstknoten anzeigen deaktiviert.

 

Bin weiter auf Sites -> Standardname des ersten Standortes -> dort gibts dann rechts "Licensing Site Settings" , wenn ich das doppelklicke erhalte ich ein Dialogfeld, indem ich den Lizenzierungscomputer ändern kann. Meinst du das?

[IThome 10]

Genau das meine ich ...

[mcdaniels 22]

So und nun zum Abschluss nochmals ne Zusammenfassung (sorry für meine lange Leitung und danke für die schnellen Antworten).

 

Also: 1. EFS Zertifikate exportieren zb auf Disk (Die brauch ich dann aber grundsätzlich nicht am neuen Server importieren)

2. Lizenzierungscomputer über den alten DC auf den neuen DC ändern. Hast du vielleicht noch ne Ahnung ob das ein wenig dauert bis diese Änderung wirksam wird, oder sollte das gleich soweit sein?

[IThome 10]

Es dauert eine Weile ... Ich kontrolliere die Ereignisanzeigen, führe eine händische Replikation in Active Directory Standorte und Dienste durch (am Anfang bekommst Du dort einen Fehler) und benutze REPLMON ...