FSMO Rollen verschieben

[jo-schua 11]

Wir haben bei einem Kunden einen alten 2003R2 nach 2008R2 migriert.

 

So weit auch alles gut gelaufen, jetzt muss RID und PDC geändert werden und genau an diesem Punkt

bin ich am verzweifeln.

 

So bald ich im SnapIn den Betriebsmaster ändern möchte kommt der Hinweis "Der aktuelle Domänencontroller ist der Betriebsmaster. Um die Funkltion des Betreibsmasters zu übertragen, müssen Sie zuerst eine Verbindung mit ihm herstellen.

 

Ich sehe im Moment den Wald vor lauter Bäumen nicht - was läuft hier schief bzw. wo hängt es.

 

Ich hoffe ihr könnt mir schnell helfen

[Dukel 455]

Du musst das auf dem Ziel DC machen. Entweder in der MMC dich mit einem anderen DC verbinden oder das ganze auf einem anderen DC ausführen.

[jo-schua 11]

Hat sich erledigt, hab die Maschine mal durchgestartet und mit ntdsutil

hat jetzt alles funktioniert

[NilsK 2.958]

Moin,

 

okay - beim nächsten Mal: Erst Rechtsklick ganz oben, "Domänencontroller auswählen" und dort den Ziel-DC angeben. Danach dann erst die Funktion "Betriebsmaster" auswählen.

 

Das GUI ist an der Stelle leider ziemlich verwirrend.

 

Gruß, Nils

[jo-schua 11]

Habe die Rollen mit ntdutil übertragen

was auf dem neuen Server folgendes zum Ergebnis bringt

dsquery server -hasfsmo schema

"CN=SRV08,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configurat
ion,DC=technik,DC=local"

 

und Abfrage der Rollen auf dem neunen Server bringt folgendes

 

>netdom query fsmo

Schemamaster               SRV08.technik.local
Domänennamen-Master        SRV08.technik.local
PDC                         SRV08.technik.local
RID-Pool-Manager            SRV08.technik.local
Infrastrukturmaster       SRV08.technik.local
Der Befehl wurde ausgeführt.

So weit doch alles OK ?

 

Wenn ich nun den alten Server einfach nur mal herunterfahre

können sich keine Clients mehr anmelden.

 

Ist das normal ?

 

Ich habe jetzt etwas bammel den alten mittels dcpromo aus der Domäne zu nehmen, am Ende geht nichts mehr.

 

[NilsK 2.958]

Moin,

 

in solchen Situationen ist oft der "alte" DC als einziger DNS-Server vorgegeben. Prüf und korrigiere das.

 

[Was muss ich beim DNS für Active Directory beachten? (Reloaded) | faq-o-matic.net]
http://www.faq-o-matic.net/2007/01/09/was-muss-ich-beim-dns-fuer-active-directory-beachten-reloaded/

 

Zudem sollten alle DCs auch Global Catalog Server sein.

 

Gruß, Nils

[jo-schua 11]

Hallo Nils,

das habe ich nun nochmal alles kontrolliert. Ich werde später den "alten" DC mal runterfahren und schauen ob alles

läuft.

 

Wenn das der Fall ist kann ich mittels dcpromo den "alten" runterstufen und die verbleibenenden Einträge im AD / NTDS Settings

etc. löschen.

 

Ich hoffe das funktioniert

[lefg 276]

Hallo,

 

ist denn auf beiden Geräten der DNS vorhanden als AD-integriert? Sind im DNS des neuen Gerätes die Zonen und Hosts vom alten vorhanden, wurde das repliziert?

 

Möchtest Du die IP/DNS-Konfiguration der ebiden Geräte hier einstellen als Code?

bearbeitet 8. Mai 2014 von lefg

[jo-schua 11]

ich habe auf dem alten adprep/... ausgeführt

Den neuen Server in die Domänen aufgenommen

dcpromo auf dem neunen ausgeführt

die 5 Rollen auf den neuen verschoben.

 

die zone ist im dns auf dem neuen vorhanden

und auch der alte server steht als namenserver im neuen dns

 

alle userkonten und computer wurden auch im AD auf dem neuen eingetragen/angelegt

 

im AD auf dem neuen stehen nun beide Server unter Domain Controllers

Der neue hat in den NTDS Settings den Haken Globalen Katalog und bei dem

Alten den Haken entfernt.

 

Auf dem alten Server habe ich den Wins und auch den DNS nach dem alle Einträge

im neuen DNS stehen bereits deinstalliert. War das evtl ein Fehler ?

bearbeitet 8. Mai 2014 von jo-schua

[NilsK 2.958]

Moin,

 

solange der alte DC noch DC ist, sollte er auch DNS-Server sein. Den Dienst solltest du also wieder installieren, die Daten bekommt er automatisch aus dem AD.

 

Wichtig ist, dass der neue DC bei den Clients (also allen PCs und allen anderen Servern) als (primärer) DNS-Server eingetragen ist.

 

Gruß, Nils

[jo-schua 11]

ok, das habe ich ja schnell wieder installiert, aber ich möchte den alten ja am liebsten herunterstufen und komplett aus dem netz

nehmen.

 

wenn auf allen clients der neue als dns etc. eingetragen ist, ich den alten jetzt nochmal herunterfahre und das gesamte netz

läuft, kann ich dann davon ausgehen das die migration funktioniert hat und ich den alten nicht mehr brauche ?

 

wie schon gesagt, ich habe estwas bammel das ich den alten herunterstufte und offline nehmen und dann nichts mehr geht

 

wenn ich auf dem neuen dcdiag ausführe kommt folgendes, hier sind ja schon eine paar sachen die nicht ok sind

 

 

.TECHNIK>dcdiag

Verzeichnisserverdiagnose

Anfangssetup wird ausgeführt:
   Der Homeserver wird gesucht...
   Homeserver = SRV08
   * Identifizierte AD-Gesamtstruktur.
   Sammeln der Ausgangsinformationen abgeschlossen.

Erforderliche Anfangstests werden ausgeführt.

   Server wird getestet: Standardname-des-ersten-Standorts\SRV08
      Starting test: Connectivity
         ......................... SRV08 hat den Test Connectivity bestanden.

Primärtests werden ausgeführt.

   Server wird getestet: Standardname-des-ersten-Standorts\SRV08
      Starting test: Advertising
         Achtung: Bei dem Versuch, SRV08 zu erreichen, wurden von DsGetDcName
         Informationen für \\server1.technik.local zurückgegeben.
         DER SERVER REAGIERT NICHT oder GILT ALS UNGEEIGNET.
         ......................... SRV08 hat den Test Advertising nicht
         bestanden.
      Starting test: FrsEvent
         Für den Zeitraum der letzten 24 Stunden seit Freigabe des SYSVOL sind
         Warnungen oder Fehlerereignisse vorhanden. Fehler bei der
         SYSVOL-Replikation können Probleme mit der Gruppenrichtlinie zur Folge
         haben.
         ......................... SRV08 hat den Test FrsEvent bestanden.
      Starting test: DFSREvent
         ......................... SRV08 hat den Test DFSREvent bestanden.
      Starting test: SysVolCheck
         ......................... SRV08 hat den Test SysVolCheck bestanden.
      Starting test: KccEvent
         ......................... SRV08 hat den Test KccEvent bestanden.
      Starting test: KnowsOfRoleHolders
         ......................... SRV08 hat den Test KnowsOfRoleHolders
         bestanden.
      Starting test: MachineAccount
         ......................... SRV08 hat den Test MachineAccount bestanden.
      Starting test: NCSecDesc
         Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
            Replicating Directory Changes In Filtered Set
         Zugriffsrechte für den Namenskontext:
         DC=ForestDnsZones,DC=technik,DC=local
         Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
            Replicating Directory Changes In Filtered Set
         Zugriffsrechte für den Namenskontext:
         DC=DomainDnsZones,DC=technik,DC=local
         ......................... SRV08 hat den Test NCSecDesc nicht
         bestanden.
      Starting test: NetLogons
         Die Verbindung mit der NETLOGON-Freigabe kann nicht hergestellt
         werden. (\\SRV08\netlogon)
         [sRV08] Bei einem Vorgang vom Typ "net use" oder "LsaPolicy" ist der
         Fehler 67 aufgetreten, Der Netzwerkname wurde nicht gefunden..
         ......................... SRV08 hat den Test NetLogons nicht
         bestanden.
      Starting test: ObjectsReplicated
         ......................... SRV08 hat den Test ObjectsReplicated
         bestanden.
      Starting test: Replications
         ......................... SRV08 hat den Test Replications bestanden.
      Starting test: RidManager
         ......................... SRV08 hat den Test RidManager bestanden.
      Starting test: Services
         ......................... SRV08 hat den Test Services bestanden.
      Starting test: SystemLog
         ......................... SRV08 hat den Test SystemLog bestanden.
      Starting test: VerifyReferences
         ......................... SRV08 hat den Test VerifyReferences
         bestanden.


   Partitionstests werden ausgeführt auf: ForestDnsZones
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... ForestDnsZones hat den Test
         CrossRefValidation bestanden.

   Partitionstests werden ausgeführt auf: DomainDnsZones
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... DomainDnsZones hat den Test
         CrossRefValidation bestanden.

   Partitionstests werden ausgeführt auf: Schema
      Starting test: CheckSDRefDom
         ......................... Schema hat den Test CheckSDRefDom bestanden.
      Starting test: CrossRefValidation
         ......................... Schema hat den Test CrossRefValidation
         bestanden.

   Partitionstests werden ausgeführt auf: Configuration
      Starting test: CheckSDRefDom
         ......................... Configuration hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... Configuration hat den Test
         CrossRefValidation bestanden.

   Partitionstests werden ausgeführt auf: technik
      Starting test: CheckSDRefDom
         ......................... technik hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... technik hat den Test CrossRefValidation
         bestanden.

   Unternehmenstests werden ausgeführt auf: technik.local
      Starting test: LocatorCheck
         Achtung: Fehler beim Aufrufen von DcGetDcName(GC_SERVER_REQUIRED):
         1355
         Es konnte kein Server für globale Kataloge gefunden werden; kein
         globaler Katalog verfügbar.
         ......................... technik.local hat den Test LocatorCheck
         nicht bestanden.
      Starting test: Intersite
         ......................... technik.local hat den Test Intersite
         bestanden.
 

bearbeitet 8. Mai 2014 von jo-schua

[lefg 276]

Hallo,

 

nur die Ausgabe der Fehler in eine Datei geht mit: dcdiag /q > c:\dcdiaf.txt

 

Nun, dcdiag zeigt, da ist etwas im Argen.

 

Sind da keine Fehlermeldungen in den Eriegnisprotokollen beider DC?

 

War der 1.DC vor dem Migrieren eigentlich einwandfrei, ein sauberes Ereignisprotokoll?

 

Lief das dcpromo eigentlich ohne Problem ab?

bearbeitet 8. Mai 2014 von lefg

[jo-schua 11]

der 1DC war vorher ok es stand nicht im ereignisprotokoll drin.

 

dcpromo lief auf dem neuen ohne problem durch

[lefg 276]

Ich hab momentan leider keinen brauchbaren Zauber-Tipp får dich.

 

Møchtest Du mal die IP-Konfiguration der beiden DC hier posten? ipconfig /all > c:ipconfig.txt, die Text denn nachbearbeiten und hier als Quote oder Code einstellen. Wesentlich sind die Eintræge der DNS und natårlich die IP selbst.

 

Wie sieht es denn jetyt in den Ereignisprotokollen der beiden DCs aus?

 

Sind eigentlich auf beiden DC die Freigaben Sysvol und NETLOGON vorhanden?

bearbeitet 9. Mai 2014 von lefg

[NilsK 2.958]

Moin,

 

problematisch sind die "Advertising"- und die SYSVOL-Meldungen. Die "NtSecDesc" kannst du erst mal ignorieren.

 

Manchmal verschwinden die beiden Fehler, wenn man den Anmeldedienst neu startet. In einem Admin-CMD dazu eingeben:

 

ipconfig /registerdns && net stop netlogon && net start netlogon

Gruß, Nils