Mobile-Menu

Größere Datenbankseiten, neuer Betriebsmodus und neues Schema Active Directory in Windows Server 2025: Neuerungen im Detail

Von Thomas Joos 5 min Lesedauer

Mit Windows Server 2025 hat Microsoft auch das Active Directory verbessert. Es gibt einen neuen Betriebsmodus, das Schema erhält eine neue Version, und es lassen sich mehr und größere Objekte mit mehr Daten nutzen.

Windows Server 2025 bringt ein modernes Active Directory mit erweiterten Sicherheits- und Performance-Funktionen – ideal für zukunftssichere IT-Infrastrukturen.(Bild: Bipul Kumar - stock.adobe.com)
Windows Server 2025 bringt ein modernes Active Directory mit erweiterten Sicherheits- und Performance-Funktionen – ideal für zukunftssichere IT-Infrastrukturen.
(Bild: Bipul Kumar - stock.adobe.com)

Wir haben uns bereits in einem Beitrag mit den Neuerungen in Active Directory von Windows Server 2025 auseinandergesetzt und sind auch darauf eingegangen, wie diese aktiviert werden. In diesem Beitrag durchleuchten wir die Neuerungen noch etwas genauer und zeigen deren Auswirkungen und Steuerungsmöglichkeiten.

Nicht alle Funktionen von Active Directory sind in Windows Server 2025 bereits aktiv.

Aktualisieren Admins bereits vorhandene Domänencontroller direkt auf Windows Server 2025, bleibt die Größe der Datenbankseiten bei 8 KB. Die neue, maximale Größe von 32 KB muss in diesem Fall manuell aktiviert werden. Das geht aber erst dann, wenn alle Domänencontroller auf Windows Server 2025 umgestellt wurden und der Betriebsmodus der Domänen und der Gesamtstruktur auf „Windows Server 2025“ gesetzt wurde.

Bildergalerie

Um zu überprüfen, ob Active Directory bereits 32 KB-Seiten nutzt, lässt sich am besten ADSI-Edit nutzen (adsiedit.msc). Über das Kontextmenü von „ADSI-Editor“ steht „Verbindung herstellen“ zur Verfügung. Im Verbindungsfeld wählt man „Bekannten Namenskontext auswählen“ aus und dann „Konfiguration“. Anschließend erfolgt die Navigation zu:

Konfiguration -> Konfiguration -> CN-Sites -> <Name des Standorts> -> CN-Servers -> <Name des DCS> -> CN-NTDS Settings

Über das Kontextmenü steht der Menüpunkt „Eigenschaften“ für das NTDS-Objekt des Domänencontrollers zur Verfügung. In der Attributliste im Fenster wird danach nach dem Attribut „msDS-JetDBPageSize“ gesucht. Ist die neue Datenbankgröße aktiviert, ist die Größe von 32768 zu sehen. Steht hier noch der alte Wert, haben wir im verlinkten Beitrag oben gezeigt, wie die neuen Einstellungen aktiviert werden.

Active Directory kann in Windows Server 2025 besser mit NUMA umgehen

NUMA gewinnt in Windows Server 2025 an Bedeutung, auch für den Betrieb von Domänencontrollern. Das System unterstützt standardmäßig alle vorhandenen NUMA-Gruppen, was zuvor nur über ein Update in Windows Server 2022 möglich war. NUMA, kurz für Non-Uniform Memory Access, beschreibt eine Speicherarchitektur, bei der mehrere Prozessoren jeweils eigene, lokal zugeordnete Speicherbereiche erhalten. Jeder Prozessor greift bevorzugt auf den eigenen Speicher zu, was kürzere Zugriffszeiten ermöglicht und die Leistung steigert.

In Active-Directory-Umgebungen wirkt sich das unmittelbar aus. Die Verzeichnisdienste verarbeiten viele Transaktionen, greifen regelmäßig auf große Datenmengen zu und benötigen schnellen Speicherzugriff. NUMA reduziert die Latenz deutlich, indem lokale Speicherzugriffe priorisiert werden. Das zeigt Wirkung bei der Authentifizierung, bei LDAP-Anfragen und bei der Replikation. Besonders bei großen Domänen mit hohem Durchsatz steigt die Reaktionsgeschwindigkeit messbar.

Läuft ein Domänencontroller auf einem System mit zwei NUMA-Knoten und unterstützt der Server NUMA nicht korrekt, kann es passieren, dass der Prozess auf Speicher im entfernten Knoten zugreift. Die Zugriffszeiten steigen, was zu Lastspitzen und Verzögerungen führt. Mit der neuen NUMA-Integration nutzt der Domänencontroller den lokalen Speicherbereich effizienter, da Windows Prozesse und Speicherseiten gezielt den passenden Knoten zuweist.

In Verbindung mit der Erweiterung der Active-Directory-Datenbankseiten, die in Windows Server 2025 eingeführt wurden, bringt die NUMA-Optimierung spürbare Vorteile. Die größere Seitengröße erhöht den Arbeitsspeicherbedarf, was ohne NUMA-Unterstützung zu Engpässen führen kann. Die strukturierte Speicherzuweisung durch NUMA gleicht das aus und sorgt für stabile Performance, selbst bei hoher Last.

Mehr Sicherheit in Active Directory

LDAP Sealing schützt die übermittelten Inhalte, indem es LDAP-Payloads vollständig verschlüsselt. Das wirkt Angriffen entgegen, die auf Abhören oder Manipulation zielen. Auch die Passwortänderung wurde modernisiert. SAM-RPC verwendet AES-basierte Verschlüsselung. Ein neuer Mechanismus erlaubt es Administratoren, die Fernänderung von Kennwörtern für Mitglieder der Gruppe „Protected Users“ zu blockieren. Diese Einstellung lässt sich über Gruppenrichtlinien unter „Sicherheitskontenverwaltung“ aktivieren und hilft, privilegierte Konten besser vor Missbrauch zu schützen.

Die AD-Datenbank erhält neue LDF-Komponenten, die Reparaturprozesse unterstützen. So lassen sich Attribute wie SamAccountType oder ObjectCategory gezielt wiederherstellen, wenn Objekte beschädigt sind. Administratoren können zudem den LastLogonTimeStamp manuell aktualisieren. Das vereinfacht den Umgang mit inaktiven Konten und sorgt für bessere Kontrolle bei der Bereinigung von Altlasten.

Die API DsGetDcName wurde um das Flag DS_DIRECTORY_SERVICE_13_REQUIRED erweitert. Damit lassen sich gezielt Domänencontroller auf Windows Server 2025-Basis ansprechen. Vertrauliche LDAP-Attribute sind künftig ausschließlich über verschlüsselte Kanäle zugänglich. Auch Computerkonten profitieren von mehr Sicherheit, ihre Standardkennwörter werden jetzt zufällig generiert. Gleichzeitig unterstützt Kerberos im PKINIT-Protokoll mehrere kryptografische Verfahren. Methoden wie SamrChangePasswordUser und SamrUnicodeChangePasswordUser2 sind blockiert und werden durch Kerberos ersetzt.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Active Directory überwachen

Windows Server 2025 bietet mit neuen Leistungsindikatoren Möglichkeiten, Engpässe in Active-Directory-Umgebungen frühzeitig zu erkennen. Leistungsindikatoren wie „Local Security Authority (LSA) Lookups“, „DC Locator“ und „LDAP Client“ liefern Einblicke in die Auslastung einzelner Prozesse. In der Praxis lassen sich so häufige Probleme wie verzögerte Anmeldungen, fehlerhafte Standortermittlungen oder langsame LDAP-Abfragen gezielt analysieren. Administratoren können etwa beobachten, ob die LSA ungewöhnlich viele Sicherheitskontextanfragen verarbeitet, was auf eine Überlastung der Authentifizierungsdienste hinweist. Auch beim DC Locator lassen sich überlastete oder fehlerhaft konfigurierte Standorte schneller identifizieren.

Die Integration dieser Leistungsindikatoren in Tools wie Performance Monitor oder System Center Operations Manager ermöglicht eine kontinuierliche Überwachung im laufenden Betrieb. Unterstützt wird das durch die Fähigkeit von Windows Server 2025, Active Directory auf bis zu 64 Prozessorkernen zu skalieren. Das sorgt in Mehrprozessorsystemen für eine bessere Verteilung rechenintensiver Aufgaben wie Replikation, Authentifizierung und LDAP-Zugriffe. Besonders in großen Domänen mit hohem Durchsatz verbessert sich dadurch die Reaktionszeit deutlich.

Neue Schema-Version in Windows Server 2025

Neben den neuen Betriebsmodi für Domäne und Gesamtstruktur gibt es in Active Directory auch die neue Version 91 für das Schema. Wir sind darauf bereits im oben verlinkten Beitrag eingegangen. Um ein bereits vorhandenes Schema auf die Version 91 zu aktualisieren, steht im Installationsverzeichnis von Windows Server 2025 im Verzeichnis „\support\adprep“ das Tool adprep zur Verfügung. Mit den folgenden Befehlen lässt sich das Schema auf Version 91 bringen:

adprep /forestprepadprep /domainprep

Zum Einsatz kommen dabei die drei LDF-Dateien sch89.ldf, sch90.ldf und sch91.ldf sowie MS-ADAM-Upgrade3.ldf.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50487985)

Weiterführende Inhalte