Active Directory Workshop Teil 5 Administration von Domänen und AD-Strukturen

Damit ein Active Directory fehlerfrei funktioniert, müssen die Domänencontroller regelmäßig gewartet werden. Eine Überprüfung der Funktionsfähigkeit sollte regelmäßig auch für die Replikation der Domänencontroller, die richtige Namensauflösung und anderer Problemstellen erfolgen. Wir geben Tipps.

Beim produktiven Einsatz von Active-Directory-Domänen sollten mehrere Domänencontroller zum Einsatz kommen. Die Domänencontroller müssen sich darüber hinaus miteinander replizieren können.

Replikation richtig steuern

Das Active Directory verwendet einen integrierten Dienst, der die Replikation innerhalb und zwischen Standorten automatisch steuert. Dieser Dienst, Konsistenzprüfung (Knowledge Consistency Checker, KCC) genannt, verbindet die Domänencontroller der verschiedenen Standorte, und erstellt automatisch eine Replikationstopologie auf Basis der definierten Zeitpläne und Standortverknüpfungen.

Bildergalerie

Bildergalerie mit 5 Bildern

Die Replikation zwischen verschiedenen Standorten in Active Directory läuft weitgehend automatisiert ab. Das wichtigste Verwaltungswerkzeug, um Standorte in Active Directory zu verwalten, ist das Snap-In „Active Directory-Standorte und -Dienste“ (siehe Abbildung 1). Um neue Standorte zu erstellen, müssen Administratoren Mitglied der Gruppe „Organisations-Administratoren“ sein.

Nachdem die Routingtopologie erstellt ist, werden neu installierte Domänencontroller durch ihre IP-Adresse automatisch dem richtigen Standort zugewiesen. Bereits installierte Domänencontroller müssen jedoch manuell an den richtigen Standort verschoben werden.

Die Replikationsverbindungen richtet Windows Server 2016 automatisch ein. Diese sind im Snap-In „Active Directory-Standorte und -Dienste“ über „Sites/<Standort>/<Servers>/<Servername>/NTDS-Settings“ zu sehen.

Fehler bei der Active Directory-Replikation beheben

Bei der Fehlersuche bezüglich der Replikation sollten zunächst die beteiligten Domänencontroller überprüft und getestet werden. Der nächste Schritt sollte der Blick in die Ereignisanzeige und in das Verzeichnisdienst-Protokoll sein. Hier muss vor allem auf Fehler der Quellen NTDS KCC, NTDS Replication und NTDS General geachtet werden.

Bei Problemen mit der Active-Directory-Replikation sollte einer Fehlersuche immer eine vollständige Diagnose der Domänencontroller vorausgehen. Eine Skizze der Replikationsverbindungen der Domänencontroller kann hier ebenfalls helfen. So kann festgestellt werden, welche Domänencontroller sich nicht mit anderen Domänencontrollern replizieren können (siehe Abbildung 2).

In der Eingabeaufforderung wird dazu der Befehl „nltest /dsgetsite“ eingegeben. In der Anzeige ist daraufhin zu sehen, welchem Standort der Domänencontroller zugewiesen ist, und ob er seinen Standort erkennt.

Ausschließen der häufigsten Fehlerursachen

Bevor mit Tools die Replikation genauer untersucht wird, sollten die häufigsten Fehlerursachen ausgeschlossen werden:

• Liegt auf dem Domänencontroller, der sich nicht mehr replizieren kann, ein generelles Problem vor, welches sich mit „Dcdiag“ in der Befehlszeile herausfinden lässt?

• Wurde auf dem Domänencontroller eine Software installiert, welche die Replikation stören kann, wie Sicherheitssoftware, Virenscanner oder Firewall?

• Ist auf dem Domänencontroller Hardware ausgefallen?

• Liegt ein Leitungs-, Router- oder Firewallproblem vor?

• Lassen sich der Domänencontroller anpingen und der DNS-Name des Servers auflösen?

• Gibt es Probleme mit der Authentifizierung zwischen den Domänencontrollern, die durch „Zugriff verweigert“-Meldungen in Erscheinung treten? Die Version von Dcdiag, die mit Windows Server 2016 ausgeliefert wird, enthält einen Test, mit dem sich Replikationsprobleme anzeigen lassen, die von Kerberosproblemen verursacht werden: „dcdiag /test:CheckSecurityError /s:<Name des Domänencontrollers, der Probleme hat>“

• Wurden Änderungen an der Routingtopologie vorgenommen, die eine Replikation verhindern können?

Das wichtigste Tool, um die Replikation in Active Directory zu überprüfen ist „Repadmin“. In der Eingabeaufforderung muss dazu der Befehl „repadmin /showreps“ eingegeben werden.

Jeder Domänencontroller in Active Directory hat neben seinem Host-A-Namen, zum Beispiel „dc01.contoso.int“, noch einen zugehörigen CNAME, der das so genannte DSA-Objekt (Directory System Agent) seiner NTDS-Settings darstellt. Sollte die Replikation nicht funktionieren, weil unterhalb der Active-Directory-DNS-Domäne _msdcs-Einträge fehlen, können Administratoren in der Eingabeaufforderung durch Eingabe des Befehls „dcdiag /fix“ die Einträge wiederherzustellen.

Bildergalerie

Bildergalerie mit 5 Bildern

Fehlerbehebung und Namensauflösung überprüfen

Für die Namensauflösung kann „Nslookup“ in der Befehlszeile verwendet werden, oder die Cmdlets in der PowerShell, zur Verwaltung von DNS, zum Beispiel „Resolve-DNSName“. Das wichtigste Tool für die Diagnose von Domänencontrollern ist jedoch „Dcdiag“. Eine ausführliche Diagnose wird mit der Syntax „dcdiag /v durchgeführt“.

Mit „dcdiag /a“ werden alle Domänencontroller am gleichen Active-Directory-Standort überprüft, mit „dcdiag /e“ werden alle Server in der Gesamtstruktur getestet. Um sich nur die Fehler und keine Informationen anzeigen zu lassen, wird „dcdiag /q“ verwendet. Die Option „dcdiag /s:<Domänencontroller>“ ermöglicht den Test eines Servers über das Netzwerk.

Die Namensauflösung ist einer der wichtigsten Bereiche für die Diagnose von Active-Directory- und Windows-Netzwerken. Ein wichtiger Test in Active Directory besteht darin, in der Eingabeaufforderung „nslookup“ einzutippen. An dieser Stelle sollte kein Fehler auftreten. Sollte der Server noch nicht registriert sein, kann mit „ipconfig /registerdns“ in der Eingabeaufforderung eine erneute automatische Registrierung beim DNS-Server durchgeführt werden.

Wenn ein Servername nicht aufgelöst werden kann, hilft eine strukturierte Vorgehensweise:

• Ist in den IP-Einstellungen des Rechners, auf dem die Namensauflösung getestet wird der richtige DNS-Server eingetragen?

• Verwaltet der bevorzugte DNS-Server die Zone, in der eine Namensauflösung durchgeführt wird?

• Wenn der Server diese Zone nicht verwaltet, ist dann auf der Registerkarte „Weiterleitungen“ in den Eigenschaften des Servers ein Server eingetragen, der die Zone auflösen kann?

• Wenn eine Weiterleitung eingetragen ist, kann dann der Server, zu dem weitergeleitet wird, die Zone auflösen?

• Wenn dieser Server erneut nicht für die Zone verantwortlich ist, leitet er dann wiederum die Anfrage weiter?

Überprüfen der Domänencontrollerliste

In der Eingabeaufforderung wird mit dem Befehl „nltest /dclist:<NetBIOS-DOMÄNENNAME>“ die Liste der Domänencontroller abgefragt (siehe Abbildung 3), zum Beispiel „nltest /dclist:Joos“. Alle Domänencontroller sollten mit ihren vollständigen Domänennamen ausgegeben werden. Werden einzelne Domänencontroller nur mit ihrem NetBIOS-Namen angezeigt, sollte deren DNS-Registrierung auf den DNS-Servern überprüft werden. Auch der Befehl „nltest /dsregdns“ hilft oft bei Problemen in der DNS-Registrierung.

Verwalten von Benutzerkonten

Im Kontextmenü eines angelegten Benutzers (siehe Abbildung 4) in „Active Directory-Benutzer und -Computer“ stehen eine Reihe von Konfigurationsmöglichkeiten zur Verfügung (siehe Abbildung 5). Mit dem Befehl „Kopieren“ können die meisten Einstellungen eines Benutzerkontos in ein neues Konto übernommen werden. Der Befehl „Konto deaktivieren“ kann verwendet werden, um die zeitweilige Deaktivierung eines Kontos durchzuführen. Das Konto bleibt mit allen Einstellungen erhalten, kann aber nicht zur Anmeldung genutzt werden. Zusätzlich gibt es die beiden Befehle „Löschen“ und „Umbenennen“. Mit diesen kann ein Benutzerkonto gelöscht oder der vollständige Name des Benutzers verändert werden.

experte Active Directory Workshop Teil 1

AD für Einsteiger – Wozu dient der Verzeichnisdienst

experte Active Directory Workshop Teil 2

Serverrollen im Überblick

experte Active Directory Workshop Teil 3

Planung, Umsetzung und Betrieb eines Domänennetzes

experte Active Directory Workshop Teil 4

Azure AD: das Active Directory für die Cloud

Definition

Was ist Active Directory?