Haupt-Domänencontrollerumzug

[Daim 12]

Salut,

 

Ich stöber gerade in deinem Blog :-)

 

so ists brav. ;)

 

Was würdet ihr denn als sauberste Methode ansehen?

 

Es funktioniert sowohl als auch! --> Ich <-- würde jedoch zuerst den "alten" DC herunterstufen und aus der Domäne entfernen. Anschließend dann den neuen Server mit dem gewünschten Computernamen und der entsprechenden IP-Adresse zum zusätzlichen DC stufen.

 

Das Ändern des Computernamen ist auch möglich, ist aber nicht ganz trivial. Wenn man den Computernamen eines DCs ändern möchte, sollte man es tunlichst vermeiden, dass über die GUI durchzuführen. Die "sanftere und sichere" Vorgehensweise wäre mit NETDOM!

[cherubim.entia 10]

So, der neue Server läuft nun, bringt aber noch kleine Fehler.

 

Zuerst unser Vorgehen:

 

- Alle 5 FSMO-Rollen verschoben

- DC runtergestuft

- Server aus der AD entfernt

- DNS Einträge überprüft

- Neuen Server mit selbem Namen sowie IP neu aufgesetzt

- Zu DC hochgestuft

- Alle 5 FSMO-Rollen wieder zurückübertragen

 

Auf dem neuen DC001 bekommen wir allerdings eine Fehlermeldung im Abstand von ~24h:

 

Dies ist der Replikationsstatus für die folgende Verzeichnispartition des  Verzeichnisservers. 

Verzeichnispartition:
CN=Schema,CN=Configuration,DC=herbert,DC=local 

Dieser Verzeichnisserver hat in jüngster Zeit von einigen  Verzeichnisservern keine Replikationsinformationen mehr erhalten. Die Anzahl an Verzeichnisservern wird unterteilt in die folgenden Intervalle gezeigt. 

Länger als 24 Stunden:
1 
Länger als eine Woche:
1 
Länger als einen Monat:
0 
Länger als zwei Monate:
0 
Länger als die Tombstone-Verfallzeit:
0 
Tombstone-Verfallzeit (in Tagen):
180 
Bei Verzeichnisservern, die nicht rechtzeitig repliziert werden, können Fehler auftreten. Ihnen können Kennwortänderungen entgehen, und sie können daher ggf. nicht in authentifiziert werden. Einem Domänencontroller, der innerhalb der Tombstone-Verfallzeit nicht repliziert wurde, kann das Löschen von Objekten entgehen, und er wird ggf. für die zukünftige Replikation gesperrt, bis er wieder abgestimmt wurde. 

Führen Sie dcdiag.exe aus, um Verzeichnisserver anhand des Namens zu identifizieren. 
Sie können auch das Supporttool repadmin.exe verwenden, um Replikations- latenzzeiten der Domänencontroller in der Struktur anzuzeigen. Der Befehl lautet "repadmin /showvector /latency <partition-dn>".

 

dcdiag.exe bringt den folgenden Fehler bei ALLEN 3 DCs, die Replikationsgruppe existiert:

 

Starting test: DFSREvent
  Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind
  Warnungen oder Fehlerereignisse vorhanden. Fehler bei der
  SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge
  haben.

 

Die Replikation scheint allerdings zu funktionieren.

 

 

 

EDIT: Vielleicht helfen diese Informationen weiter?

 

>repadmin /showvector /latency DC=herbert,DC=local

GUIDs werden zwischengespeichert.
..
ac71c266-8c27-4644-b343-0fb46fc0dd9f auf USN     40444 um 2008-12-03 15:33:36
34ad8b55-b6b9-439b-9692-23cc6829f8fd auf USN     32832 um 2008-12-17 08:38:01
2fc32925-27d3-47bd-88ef-a906b77a7ecb auf USN    136206 um 2009-01-17 20:46:21
73f8215a-cf4d-4fdc-ae8e-c52ad8d98ae2 auf USN    934205 um 2009-06-27 12:03:43
45fdfa39-7dd1-43c1-8e07-b492ec7e6232 auf USN   1807400 um 2009-12-18 17:47:35
f7670d08-f37c-4ac1-b82e-ed71390377a5 auf USN     53581 um 2009-12-19 14:33:08
f547ad08-eaf2-496a-b697-f91cf0983c89 auf USN   1177701 um 2009-12-19 19:54:41
Default-First-Site-Name\HMBFS002 (deleted DSA) auf USN   2417098 um 2010-08-02 1
1:23:34
Default-First-Site-Name\HMBFS002 (deleted DSA) auf USN     24797 um 2010-08-02 1
5:06:17
Default-First-Site-Name\HMBFS002 (deleted DSA) auf USN     16642 um 2010-08-03 1
6:22:44
Default-First-Site-Name\HMBDC001 (deleted DSA) auf USN   4086831 um 2010-09-11 1
2:54:24
Default-First-Site-Name\HMBDC001 (deleted DSA) auf USN    135095 um 2010-09-18 1
9:55:29
Default-First-Site-Name\HMBDC002     auf USN   3167885 um 2010-09-21 10:24:19
Default-First-Site-Name\HMBFS002     auf USN    626239 um 2010-09-21 10:27:01
Default-First-Site-Name\HMBDC001     auf USN     54889 um 2010-09-21 10:27:46

 

Gibt es Ideen oder Vorschläge?

bearbeitet 21. September 2010 von cherubim.entia

[cherubim.entia 10]

So, nochmal kleines Update:

 

Wir hatten uns die Fehlermeldungen nochmals genauer angesehen; es sind drei minimal Unterschiedliche.

 

Protokollname: Directory Service
Quelle:        Microsoft-Windows-ActiveDirectory_DomainService
Datum:         27.09.2010 19:39:27
Ereignis-ID:   1864
Aufgabenkategorie:Replikation
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      ANONYMOUS-ANMELDUNG
Computer:      HMBDC001.herbert.local
Beschreibung:
Dies ist der Replikationsstatus für die folgende Verzeichnispartition des  Verzeichnisservers. 

Verzeichnispartition:
CN=Schema,CN=Configuration,DC=herbert,DC=local 

Dieser Verzeichnisserver hat in jüngster Zeit von einigen  Verzeichnisservern keine Replikationsinformationen mehr erhalten. Die Anzahl an Verzeichnisservern wird unterteilt in die folgenden Intervalle gezeigt. 

Länger als 24 Stunden:
1 
Länger als eine Woche:
1 
Länger als einen Monat:
0 
Länger als zwei Monate:
0 
Länger als die Tombstone-Verfallzeit:
0 
Tombstone-Verfallzeit (in Tagen):
180 
Bei Verzeichnisservern, die nicht rechtzeitig repliziert werden, können Fehler auftreten. Ihnen können Kennwortänderungen entgehen, und sie können daher ggf. nicht in authentifiziert werden. Einem Domänencontroller, der innerhalb der Tombstone-Verfallzeit nicht repliziert wurde, kann das Löschen von Objekten entgehen, und er wird ggf. für die zukünftige Replikation gesperrt, bis er wieder abgestimmt wurde. 

Führen Sie dcdiag.exe aus, um Verzeichnisserver anhand des Namens zu identifizieren. 
Sie können auch das Supporttool repadmin.exe verwenden, um Replikations- latenzzeiten der Domänencontroller in der Struktur anzuzeigen. Der Befehl lautet "repadmin /showvector /latency <partition-dn>".
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="Microsoft-Windows-ActiveDirectory_DomainService" Guid="{0e8478c5-3605-4e8c-8497-1e730c959516}" EventSourceName="NTDS Replication" />
   <EventID Qualifiers="49152">1864</EventID>
   <Version>0</Version>
   <Level>2</Level>
   <Task>5</Task>
   <Opcode>0</Opcode>
   <Keywords>0x8080000000000000</Keywords>
   <TimeCreated SystemTime="2010-09-27T17:39:27.960750000Z" />
   <EventRecordID>199</EventRecordID>
   <Correlation />
   <Execution ProcessID="536" ThreadID="692" />
   <Channel>Directory Service</Channel>
   <Computer>HMBDC001.herbert.local</Computer>
   <Security UserID="S-1-5-7" />
 </System>
 <EventData>
   <Data>CN=Schema,CN=Configuration,DC=herbert,DC=local</Data>
   <Data>1</Data>
   <Data>1</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>180</Data>
   <Data>24</Data>
 </EventData>
</Event>

[cherubim.entia 10]

Protokollname: Directory Service
Quelle:        Microsoft-Windows-ActiveDirectory_DomainService
Datum:         27.09.2010 19:39:27
Ereignis-ID:   1864
Aufgabenkategorie:Replikation
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      ANONYMOUS-ANMELDUNG
Computer:      HMBDC001.herbert.local
Beschreibung:
Dies ist der Replikationsstatus für die folgende Verzeichnispartition des  Verzeichnisservers. 

Verzeichnispartition:
CN=Configuration,DC=herbert,DC=local 

Dieser Verzeichnisserver hat in jüngster Zeit von einigen  Verzeichnisservern keine Replikationsinformationen mehr erhalten. Die Anzahl an Verzeichnisservern wird unterteilt in die folgenden Intervalle gezeigt. 

Länger als 24 Stunden:
1 
Länger als eine Woche:
1 
Länger als einen Monat:
0 
Länger als zwei Monate:
0 
Länger als die Tombstone-Verfallzeit:
0 
Tombstone-Verfallzeit (in Tagen):
180 
Bei Verzeichnisservern, die nicht rechtzeitig repliziert werden, können Fehler auftreten. Ihnen können Kennwortänderungen entgehen, und sie können daher ggf. nicht in authentifiziert werden. Einem Domänencontroller, der innerhalb der Tombstone-Verfallzeit nicht repliziert wurde, kann das Löschen von Objekten entgehen, und er wird ggf. für die zukünftige Replikation gesperrt, bis er wieder abgestimmt wurde. 

Führen Sie dcdiag.exe aus, um Verzeichnisserver anhand des Namens zu identifizieren. 
Sie können auch das Supporttool repadmin.exe verwenden, um Replikations- latenzzeiten der Domänencontroller in der Struktur anzuzeigen. Der Befehl lautet "repadmin /showvector /latency <partition-dn>".
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="Microsoft-Windows-ActiveDirectory_DomainService" Guid="{0e8478c5-3605-4e8c-8497-1e730c959516}" EventSourceName="NTDS Replication" />
   <EventID Qualifiers="49152">1864</EventID>
   <Version>0</Version>
   <Level>2</Level>
   <Task>5</Task>
   <Opcode>0</Opcode>
   <Keywords>0x8080000000000000</Keywords>
   <TimeCreated SystemTime="2010-09-27T17:39:27.960750000Z" />
   <EventRecordID>198</EventRecordID>
   <Correlation />
   <Execution ProcessID="536" ThreadID="692" />
   <Channel>Directory Service</Channel>
   <Computer>HMBDC001.herbert.local</Computer>
   <Security UserID="S-1-5-7" />
 </System>
 <EventData>
   <Data>CN=Configuration,DC=herbert,DC=local</Data>
   <Data>1</Data>
   <Data>1</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>180</Data>
   <Data>24</Data>
 </EventData>
</Event>

[cherubim.entia 10]

Protokollname: Directory Service
Quelle:        Microsoft-Windows-ActiveDirectory_DomainService
Datum:         27.09.2010 19:39:27
Ereignis-ID:   1864
Aufgabenkategorie:Replikation
Ebene:         Fehler
Schlüsselwörter:Klassisch
Benutzer:      ANONYMOUS-ANMELDUNG
Computer:      HMBDC001.herbert.local
Beschreibung:
Dies ist der Replikationsstatus für die folgende Verzeichnispartition des  Verzeichnisservers. 

Verzeichnispartition:
DC=herbert,DC=local 

Dieser Verzeichnisserver hat in jüngster Zeit von einigen  Verzeichnisservern keine Replikationsinformationen mehr erhalten. Die Anzahl an Verzeichnisservern wird unterteilt in die folgenden Intervalle gezeigt. 

Länger als 24 Stunden:
1 
Länger als eine Woche:
1 
Länger als einen Monat:
0 
Länger als zwei Monate:
0 
Länger als die Tombstone-Verfallzeit:
0 
Tombstone-Verfallzeit (in Tagen):
180 
Bei Verzeichnisservern, die nicht rechtzeitig repliziert werden, können Fehler auftreten. Ihnen können Kennwortänderungen entgehen, und sie können daher ggf. nicht in authentifiziert werden. Einem Domänencontroller, der innerhalb der Tombstone-Verfallzeit nicht repliziert wurde, kann das Löschen von Objekten entgehen, und er wird ggf. für die zukünftige Replikation gesperrt, bis er wieder abgestimmt wurde. 

Führen Sie dcdiag.exe aus, um Verzeichnisserver anhand des Namens zu identifizieren. 
Sie können auch das Supporttool repadmin.exe verwenden, um Replikations- latenzzeiten der Domänencontroller in der Struktur anzuzeigen. Der Befehl lautet "repadmin /showvector /latency <partition-dn>".
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <System>
   <Provider Name="Microsoft-Windows-ActiveDirectory_DomainService" Guid="{0e8478c5-3605-4e8c-8497-1e730c959516}" EventSourceName="NTDS Replication" />
   <EventID Qualifiers="49152">1864</EventID>
   <Version>0</Version>
   <Level>2</Level>
   <Task>5</Task>
   <Opcode>0</Opcode>
   <Keywords>0x8080000000000000</Keywords>
   <TimeCreated SystemTime="2010-09-27T17:39:27.960750000Z" />
   <EventRecordID>197</EventRecordID>
   <Correlation />
   <Execution ProcessID="536" ThreadID="692" />
   <Channel>Directory Service</Channel>
   <Computer>HMBDC001.herbert.local</Computer>
   <Security UserID="S-1-5-7" />
 </System>
 <EventData>
   <Data>DC=herbert,DC=local</Data>
   <Data>1</Data>
   <Data>1</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>0</Data>
   <Data>180</Data>
   <Data>24</Data>
 </EventData>
</Event>