Active Directory Workshop Teil 5

Administration von Domänen und AD-Strukturen

| Autor / Redakteur: Thomas Joos / Andreas Donner

Ein Active Directory ist ein lebendes Gebilde und muss daher ständig auf fehlerfreie Funktion überprüft werden.
Ein Active Directory ist ein lebendes Gebilde und muss daher ständig auf fehlerfreie Funktion überprüft werden. (Bild: Joos)

Damit ein Active Directory fehlerfrei funktioniert, müssen die Domänencontroller regelmäßig gewartet werden. Eine Überprüfung der Funktionsfähigkeit sollte regelmäßig auch für die Replikation der Domänencontroller, die richtige Namensauflösung und anderer Problemstellen erfolgen. Wir geben Tipps.

Beim produktiven Einsatz von Active-Directory-Domänen sollten mehrere Domänencontroller zum Einsatz kommen. Die Domänencontroller müssen sich darüber hinaus miteinander replizieren können.

Replikation richtig steuern

Das Active Directory verwendet einen integrierten Dienst, der die Replikation innerhalb und zwischen Standorten automatisch steuert. Dieser Dienst, Konsistenzprüfung (Knowledge Consistency Checker, KCC) genannt, verbindet die Domänencontroller der verschiedenen Standorte, und erstellt automatisch eine Replikationstopologie auf Basis der definierten Zeitpläne und Standortverknüpfungen.

Die Replikation zwischen verschiedenen Standorten in Active Directory läuft weitgehend automatisiert ab. Das wichtigste Verwaltungswerkzeug, um Standorte in Active Directory zu verwalten, ist das Snap-In „Active Directory-Standorte und -Dienste“ (siehe Abbildung 1). Um neue Standorte zu erstellen, müssen Administratoren Mitglied der Gruppe „Organisations-Administratoren“ sein.

Nachdem die Routingtopologie erstellt ist, werden neu installierte Domänencontroller durch ihre IP-Adresse automatisch dem richtigen Standort zugewiesen. Bereits installierte Domänencontroller müssen jedoch manuell an den richtigen Standort verschoben werden.

Die Replikationsverbindungen richtet Windows Server 2016 automatisch ein. Diese sind im Snap-In „Active Directory-Standorte und -Dienste“ über „Sites/<Standort>/<Servers>/<Servername>/NTDS-Settings“ zu sehen.

Fehler bei der Active Directory-Replikation beheben

Bei der Fehlersuche bezüglich der Replikation sollten zunächst die beteiligten Domänencontroller überprüft und getestet werden. Der nächste Schritt sollte der Blick in die Ereignisanzeige und in das Verzeichnisdienst-Protokoll sein. Hier muss vor allem auf Fehler der Quellen NTDS KCC, NTDS Replication und NTDS General geachtet werden.

Bei Problemen mit der Active-Directory-Replikation sollte einer Fehlersuche immer eine vollständige Diagnose der Domänencontroller vorausgehen. Eine Skizze der Replikationsverbindungen der Domänencontroller kann hier ebenfalls helfen. So kann festgestellt werden, welche Domänencontroller sich nicht mit anderen Domänencontrollern replizieren können (siehe Abbildung 2).

In der Eingabeaufforderung wird dazu der Befehl „nltest /dsgetsite“ eingegeben. In der Anzeige ist daraufhin zu sehen, welchem Standort der Domänencontroller zugewiesen ist, und ob er seinen Standort erkennt.

Ausschließen der häufigsten Fehlerursachen

Bevor mit Tools die Replikation genauer untersucht wird, sollten die häufigsten Fehlerursachen ausgeschlossen werden:

  • Liegt auf dem Domänencontroller, der sich nicht mehr replizieren kann, ein generelles Problem vor, welches sich mit „Dcdiag“ in der Befehlszeile herausfinden lässt?
  • Wurde auf dem Domänencontroller eine Software installiert, welche die Replikation stören kann, wie Sicherheitssoftware, Virenscanner oder Firewall?
  • Ist auf dem Domänencontroller Hardware ausgefallen?
  • Liegt ein Leitungs-, Router- oder Firewallproblem vor?
  • Lassen sich der Domänencontroller anpingen und der DNS-Name des Servers auflösen?
  • Gibt es Probleme mit der Authentifizierung zwischen den Domänencontrollern, die durch „Zugriff verweigert“-Meldungen in Erscheinung treten? Die Version von Dcdiag, die mit Windows Server 2016 ausgeliefert wird, enthält einen Test, mit dem sich Replikationsprobleme anzeigen lassen, die von Kerberosproblemen verursacht werden: „dcdiag /test:CheckSecurityError /s:<Name des Domänencontrollers, der Probleme hat>“
  • Wurden Änderungen an der Routingtopologie vorgenommen, die eine Replikation verhindern können?

Das wichtigste Tool, um die Replikation in Active Directory zu überprüfen ist „Repadmin“. In der Eingabeaufforderung muss dazu der Befehl „repadmin /showreps“ eingegeben werden.

Jeder Domänencontroller in Active Directory hat neben seinem Host-A-Namen, zum Beispiel „dc01.contoso.int“, noch einen zugehörigen CNAME, der das so genannte DSA-Objekt (Directory System Agent) seiner NTDS-Settings darstellt. Sollte die Replikation nicht funktionieren, weil unterhalb der Active-Directory-DNS-Domäne _msdcs-Einträge fehlen, können Administratoren in der Eingabeaufforderung durch Eingabe des Befehls „dcdiag /fix“ die Einträge wiederherzustellen.

Fehlerbehebung und Namensauflösung überprüfen

Für die Namensauflösung kann „Nslookup“ in der Befehlszeile verwendet werden, oder die Cmdlets in der PowerShell, zur Verwaltung von DNS, zum Beispiel „Resolve-DNSName“. Das wichtigste Tool für die Diagnose von Domänencontrollern ist jedoch „Dcdiag“. Eine ausführliche Diagnose wird mit der Syntax „dcdiag /v durchgeführt“.

Mit „dcdiag /a“ werden alle Domänencontroller am gleichen Active-Directory-Standort überprüft, mit „dcdiag /e“ werden alle Server in der Gesamtstruktur getestet. Um sich nur die Fehler und keine Informationen anzeigen zu lassen, wird „dcdiag /q“ verwendet. Die Option „dcdiag /s:<Domänencontroller>“ ermöglicht den Test eines Servers über das Netzwerk.

Die Namensauflösung ist einer der wichtigsten Bereiche für die Diagnose von Active-Directory- und Windows-Netzwerken. Ein wichtiger Test in Active Directory besteht darin, in der Eingabeaufforderung „nslookup“ einzutippen. An dieser Stelle sollte kein Fehler auftreten. Sollte der Server noch nicht registriert sein, kann mit „ipconfig /registerdns“ in der Eingabeaufforderung eine erneute automatische Registrierung beim DNS-Server durchgeführt werden.

Wenn ein Servername nicht aufgelöst werden kann, hilft eine strukturierte Vorgehensweise:

  • Ist in den IP-Einstellungen des Rechners, auf dem die Namensauflösung getestet wird der richtige DNS-Server eingetragen?
  • Verwaltet der bevorzugte DNS-Server die Zone, in der eine Namensauflösung durchgeführt wird?
  • Wenn der Server diese Zone nicht verwaltet, ist dann auf der Registerkarte „Weiterleitungen“ in den Eigenschaften des Servers ein Server eingetragen, der die Zone auflösen kann?
  • Wenn eine Weiterleitung eingetragen ist, kann dann der Server, zu dem weitergeleitet wird, die Zone auflösen?
  • Wenn dieser Server erneut nicht für die Zone verantwortlich ist, leitet er dann wiederum die Anfrage weiter?

Überprüfen der Domänencontrollerliste

In der Eingabeaufforderung wird mit dem Befehl „nltest /dclist:<NetBIOS-DOMÄNENNAME>“ die Liste der Domänencontroller abgefragt (siehe Abbildung 3), zum Beispiel „nltest /dclist:Joos“. Alle Domänencontroller sollten mit ihren vollständigen Domänennamen ausgegeben werden. Werden einzelne Domänencontroller nur mit ihrem NetBIOS-Namen angezeigt, sollte deren DNS-Registrierung auf den DNS-Servern überprüft werden. Auch der Befehl „nltest /dsregdns“ hilft oft bei Problemen in der DNS-Registrierung.

Verwalten von Benutzerkonten

Im Kontextmenü eines angelegten Benutzers (siehe Abbildung 4) in „Active Directory-Benutzer und -Computer“ stehen eine Reihe von Konfigurationsmöglichkeiten zur Verfügung (siehe Abbildung 5). Mit dem Befehl „Kopieren“ können die meisten Einstellungen eines Benutzerkontos in ein neues Konto übernommen werden. Der Befehl „Konto deaktivieren“ kann verwendet werden, um die zeitweilige Deaktivierung eines Kontos durchzuführen. Das Konto bleibt mit allen Einstellungen erhalten, kann aber nicht zur Anmeldung genutzt werden. Zusätzlich gibt es die beiden Befehle „Löschen“ und „Umbenennen“. Mit diesen kann ein Benutzerkonto gelöscht oder der vollständige Name des Benutzers verändert werden.

AD für Einsteiger – Wozu dient der Verzeichnisdienst

Active Directory Workshop Teil 1

AD für Einsteiger – Wozu dient der Verzeichnisdienst

03.05.18 - Unternehmen, die ein Netzwerk mit mehreren Client-Computern betreiben und ihren Anwendern individuell angepassten Zugriff auf diese Computer und auf Freigaben im Netzwerk geben wollen, kommen kaum um einen Verzeichnisdienst herum. Active Directory ist hier eine ideale Lösung. Dieser fünfteilige Workshop zeigt, was Sie wissen müssen. lesen

Serverrollen im Überblick

Active Directory Workshop Teil 2

Serverrollen im Überblick

04.05.18 - Active Directory besteht nicht nur aus Domänencontrollern, sondern aus einer Vielzahl weiterer Serverdienste, die ein gemeines Verzeichnis nutzen, aber jeweils eigene Funktionen zur Verfügung stellen. Wir geben einen Überblick. lesen

Planung, Umsetzung und Betrieb eines Domänennetzes

Active Directory Workshop Teil 3

Planung, Umsetzung und Betrieb eines Domänennetzes

07.05.18 - Um ein Domänennetzwerk aufzubauen, sind nur wenige Schritte notwendig. Allerdings lassen sich diese nur sehr schwer rückgängig machen. Vor dem Aufbau eines Active Directory lohnt es sich also, gut zu planen. lesen

Azure AD: das Active Directory für die Cloud

Active Directory Workshop Teil 4

Azure AD: das Active Directory für die Cloud

09.05.18 - Mit Azure AD bietet Microsoft eine Active-Directory-Umgebung für die Cloud. Unternehmen müssen hierzu keinen eigenen Domänencontroller betreiben, können aber dennoch die Benutzerkonten lokaler Active-Directory-Umgebungen mit der Cloud synchronisieren. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45271434 / Management-Software und -Tools)