Schema-Admin kann Schemamaster nicht übergeben

[Molitor 10]

Hallo MCSEboard Gemeinde,

 

ich versuche gerade einem neuen Domänenkontroller die FSMO Rollen zu übertragen. Der alte Domänenkontroller ist ein Windows Server 2008 R2,
der neue ist ein Windows Server 2012 R2. PDC, RID-Pool-Manager, Infrastrukturmaster und Domänennamen-Master sind bereits übergeben, beim Schemamaster klappt was nicht.

 

Der neue DC ist komplett neu aufgesetzt. Der User, mit dem ich das mache, ist Domänen-Admin, und somit automatisch in der Gruppe der Schema-Admins. Das habe ich auch bereits vorsichtshalber nochmal überprüft.

 

Es handelt sich hier um eine einzelne lokale Domäne.

Die Änderung versuche ich über das MMC-Snapin Active-Directory-Schema, welches ich vorher mit regsvr32 schemmgmt.dll aktiviert habe.
Die Meldung die erscheint lautet: "Das Snap-In für das Active Directory-Schema ist nicht mit dem Schemabetriebsmaster verbunden. Änderungen sind nicht möglich.
Schemaänderungen können nur auf dem Schema-FSMO-Inhaber vorgenommen werden."

 

Beim Aufruf von netdom query fsmo erhalte ich:
Schemamaster                  dcalt.domäne.local
Domänennamen-Master   dcneu.domäne.local
PDC                                  dcneu.domäne.local
RID-Pool-Manager           dcneu.domäne.local
Infrastrukturmaster           dcneu.domäne.local

 

Der Domänen-Admin ist in folgenden Gruppen Mitglied:
Administratoren
Domänen-Admins
Organisations-Admins
Richtlinien-Ersteller-Besitzer
Schema-Admins

 

Was kann ich überprüfen um den Grund dafür lokalisieren zu können?

 

Viele Grüße

Thomas

[zahni 550]

Benutze mal den Enterprise-Admin. Im Zweifel ist das der User "Administrator".

[Stibo 17]

Hallo Thomas,

 

zwei Fragen:

 

1. Auf welchem DC hast Du versucht, die Rolle zu übertragen (also wo startet die MMC), dcalt oder dcneu?

2. Hast Du die cmd, mit der Du die schmmgmt.dll registriert hast, auch als (Rechtsklick, als Admin ausführen) Administrator ausgeführt?

[Molitor 10]

@zahni

 

Ich verstehe nicht ganz was du mit Enterprise-Admin meinst. Ich bin als Domänen-Administrator mit dem Namen Administrator (der liegt unter der OU Users) angemeldet.

 

@stibo

 

zu 1. Ich habe es zuerst auf dem alten DC versucht, und dann auf dem neuen.

zu 2. Ja, die schmmgmt.dll habe ich in einer als Administrator geöffneten cmd registriert,

 

Viele Grüße

Thomas

[NorbertFe 2.027]

Zu welchem DC bist du in er regschmmgmt mmc denn verbunden?

[zahni 550]

Gruppe "Organisations-Admins" (auf  Deutsch). Ich meine Schema-Operationen gehen nur mit Mitgliedern dieser Gruppe.

 

Korrektur: Der User  muss Mitglied der Gruppe  "Schema-Admins"  sein.

bearbeitet 18. Januar 2018 von zahni

[Molitor 10]

@ NorbertFe

 

Zu dem alten DC.

 

@ zahni

Der Admin ist Mitglied der Gruppe Schema-Admins

[NorbertFe 2.027]

Du mußt dich mit dem neuen verbinden, welcher die ROlle bekommen soll.

[Molitor 10]

Ich dachte die Verbindung wird automatisch zu dem aktuellen Schemamaster hergestellt?

Wenn ich die mmc starte, dann bin ich im Konsolenstamm direkt mit Active Direktory-Schema [dcalt.domäne.local] verbunden. Und das macht er, egal wo ich die mmc starte. Also egal ob auf dcalt oder dcneu.

[djmaker 95]

Mit Rechtsklick (ich glaube auf die Domäne) kannst Du dich dediziert mit einem DC verbinden. Ansonsten geht aus auch prima mit ntdsutil.

[XP-Fan 216]

Hallo,

 

sollte die Ereignsianzeige auf dem neuen DC keine Fehler im DNS / AD protokollieren

melde dich auf dem alten DC an und folge dann dem Video ( ntdsutil und Rollen Transfer )

 

https://www.youtube.com/watch?v=ASXql9zsrFo

[NorbertFe 2.027]

Alternativ einfach den alten runterstufen ;) Bei zwei DCs kann man auch mehr Gewese machen als notwendig. Wo soll die FSMO denn landen, wenn nicht auf dem neuen?

[NilsK 2.930]

Moin,

 

Gruppe "Organisations-Admins" (auf  Deutsch). Ich meine Schema-Operationen gehen nur mit Mitgliedern dieser Gruppe.

 

Korrektur: Der User  muss Mitglied der Gruppe  "Schema-Admins"  sein.

 

wenn ich nicht ganz falsch liege, ist zum Übertragen der FSMO-Rolle "Schema Master" ein Enterprise Admin nötig. Es handelt sich ja um eine administrative Aktion auf Forest-Ebene.

Die Schema-Admins administrieren das Schema, aber nicht die zugehörige Infrastruktur.

 

Gruß, Nils

[Molitor 10]

Für heute bedanke ich mich erstmal für die schnellen Beiträge und Antworten, ich muss leider los und werde mich morgen direkt wieder damit weiter befassen. Auf die Antworten seit meinem letzten Beitrag werde ich natürlich morgen Feedback geben.

 

Viele Grüße

Thomas

[Squire 260]

Hi,

 

ich hab solche Geschichten immer über die Powershell gemacht .. einfacher und ohne rumgeklicke.

 

Schau mal hier: http://blog.dikmenoglu.de/2009/08/die-fsmo-rollen-mit-der-ad-powershell-verschieben/