Mobile-Menu

Problembehandlung bei der Bereitstellung von Domänencontrollern Erfolgreiches Troubleshooting in Active Directory

Von Thomas Joos |

Bereits bei der Bereitstellung von neuen Domänencontrollern kann es zu Problemen kommen. Wir zeigen in diesem Beitrag, auf was geachtet werden muss, und wie sich Probleme beheben oder gleich vermeiden lassen.

Anbieter zum Thema

Paessler AG
Southern Tech GmbH
Microsoft Deutschland GmbH
Wenn es bei der Bereitstellung von neuen Domänencontrollern zu Problemen kommt, hilft eine strukturierte Vorgehensweise bei der Problemlösung.
Wenn es bei der Bereitstellung von neuen Domänencontrollern zu Problemen kommt, hilft eine strukturierte Vorgehensweise bei der Problemlösung.
(Bild: © Duncan Andison - stock.adobe.com)

Bei der Bereitstellung von neuen Domänencontrollern kann es schnell zu Problemen kommen. Hier hilft eine strukturierte Vorgehensweise, Probleme zu umgehen. Insbesondere die Verwaltung der FSMO-Rollen, auch Betriebsmaster genannt, spielt diesbezüglich eine wichtige Rolle.

Bildergalerie
Bildergalerie mit 6 Bildern

Einstieg in das Troubleshooting mit Active Directory

Ein wichtiger Punkt bei der Fehlerbehandlung der Domänencontroller-Bereitstellung besteht darin, zu überprüfen, ob der Fehler tatsächlich durch den neuen Domänencontroller verursacht wird, oder es Probleme im vorhandenen Active Directory gibt. Die wichtigsten Tools zur Überprüfung dieser Fehler sind "dcdiag.exe" und "repadmin.exe", die auf allen beteiligten Domänencontrollern ausgeführt werden sollten.

Diese Tools decken Fehler auf Domänencontrollern schnell auf. Häufige Fehler und zugehörige Fehlercodes der Protokolldateien sind auch auf der Seite „Problembehandlung der Domänencontrollerbereitstellung“ in der Microsoft-Dokumentation zu finden.

Zusätzliche Informationsquellen zum Beseitigen von Problemen bei der DC-Bereitstellung nutzen

Im Beitrag „In 17 Schritten zum perfekten Domänencontroller“ beschreiben wir die ideale Vorgehensweise für die Installation von Domänencontrollern. Der Beitrag „Verwalten der Betriebsmasterrollen von Domänencontrollern“ ist zwar bereits etwas älter, gilt aber dennoch immer noch für Windows Server 2016/2019.

Im Beitrag „10 Stolpersteine beim Einsatz von Active Directory“ sind wir unter Punkt drei darauf eingegangen, welche FSMO-Rollen es gibt, und was bei der grundsätzlichen Einrichtung und Verwaltung von Active Directory bezüglich dieser Rollen dringend beachtet werden sollte.

Im Beitrag „10 schnelle Praxistipps für Windows Server 2016“ zeigen wir in Tipp 5 wie die Betriebsmaster getestet werden können. Auch im Beitrag „Active-Directory-Probleme in 7 Schritten systematisch lösen“ sind entsprechende Tests zu finden. Active Directory in Windows Server 2019/2022 entspricht im Grunde genommen noch exakt den Möglichkeiten aus Windows Server 2016.

Der Beitrag „So ersetzen Sie AD-Domänencontroller nach einem Ausfall“ zeigt wie die FSMO-Rollen zwischen Servern verschoben werden können. Hier ist auch der Beitrag „Diese Active-Directory-Einstellungen müssen Admins kennen“ https://www.ip-insider.de/diese-active-directory-einstellungen-muessen-admins-kennen-a-494331/ ein wichtiger Einstiegspunkt.

Diese 5 Fehler verursachen die meisten Probleme

In den meisten Fällen werden Fehler bei der Bereitstellung eines Domänencontrollers von zwei Faktoren verursacht:

  • Die Namensauflösung funktioniert nicht richtig
  • Die Berechtigungen des Benutzers sind nicht richtig gesetzt

Ein weiterer Fehler kann ein Problem mit der FSMO-Rolle des Domänennamenmasters in bereits vorhandenen AD-Strukturen. Aber auch Firewalls, welche die Kommunikation zwischen den Domänencontrollern unterbrechen, sind potenzielle Problemstellen. Sind diese vier mehr oder weniger wahrscheinlichen Fehlerquellen ausgeschlossen, sollten 99 Prozent der Probleme bei der Bereitstellung von Active Directory behoben sein.

Ein fünfter häufiger Fehler ist die Software von Drittherstellern, die unter Umständen Probleme bei der Heraufstufung eines Domänencontrollers verursacht. Dabei kann es sich um Sicherheitstools handeln, oder um Tools, die in Wechselwirkung mit Active Directory stehen. Bei Problemen sollten diese Tools deaktiviert oder entfernt werden.

Ohne Domänennamenmaster lassen sich keine neuen Domänen in AD erstellen

Der Domänennamenmaster einer bereits vorhandenen AD-Gesamtstruktur ist normalerweise auf dem ersten Domänencontroller positioniert, mit dem die Gesamtstruktur erstellt wurde. Funktioniert er nicht mehr, lassen sich in einer Umgebung keine neuen Domänen mehr erstellen. Der einfachste Weg diesen Fehler auszuschließen, besteht darin, zunächst zu überprüfen, auf welchem Domänencontroller der Domänennamenmaster positioniert ist.

Domänennamenmaster und Schemamaster sollten auf einem gemeinsamen Domänencontroller liegen, der auch globaler Katalog ist. Schemamaster und Domänennamenmaster gibt es nur einmal pro Gesamtstruktur. Diese Informationen lassen sich mit dem CMDlet "Get-ADForest" anzeigen:

Get-ADForest | Select-Object DomainNamingMaster, SchemaMaster

Um sich einen Überblick über alle Betriebsmaster einer Gesamtstruktur zu verschaffen, können Administratoren den Befehl "netdom query fsmo" in der Eingabeaufforderung absetzen. Den Domänennamenmaster können sie ebenfalls über die Eingabeaufforderung mit "dsquery server -hasfsmo name" anzeigen lassen.

Ist der Domänennamenmaster nicht verfügbar, kann die Rolle auch auf einen anderen Domänencontroller übertragen werden. Ist der Domänennamenmaster sogar ausgefallen, kann ein anderer Domänencontroller die Rolle übernehmen, ohne den alten Server für diese Rolle zu kontaktieren. In diesem Fall darf der bisherige Inhaber der Rolle aber nicht mehr im Netzwerk zur Verfügung stehen. Betriebsmasterrollen lassen sich in der PowerShell auf andere Domänencontroller verschieben. Das passende Cmdlet dazu ist:

Move-ADDirectoryServerOperationMasterRole

Das Übertragen von Betriebsmastern kann auch mit Nummern durchgeführt werden. Die Nummern dazu sind:

  • PDC Emulator (0)
  • RID Pool Manager (1)
  • Infrastruktur Master (2)
  • Schema Master (3)
  • Domain Naming Master (4)

Der Befehl zum Übertragen lautet in diesem Fall:

Move-ADDirectoryServerOperationMasterRole -Identity <Ziel-DC> -OperationMasterRole 0,1,2,3,4

Nach dem Übertragen kann mit "netdom query fsmo" überprüft werden, ob das Übertragen erfolgreich war. Wenn der Domänencontroller, auf dem die Rollen positioniert sind, nicht mehr reagiert, kann die Übertragung auf den neuen Server auch erzwungen werden:

Move-ADDirectoryServerOperationMasterRole -Identity <Ziel-DC> -OperationMasterRole 0,1,2,3,4 -Force

Protokolldateien auswerten

Wenn die Tools und Vorgehensweisen der erwähnten Beiträge und die genannten Tipps nicht helfen, kann es sinnvoll sein, die Protokolldateien auf dem Domänencontroller auszuwerten, der sich nicht in Active Directory integrieren lässt. Das wichtigste Verzeichnis in diesem Bereich ist "C:\Windows\debug". Hier befinden sich die verschiedenen Protokolldateien, die man nach Fehlern durchsuchen sollte. Die wichtigsten Dateien für die Bereitstellung sind:

  • dcpromoui.log
  • dcpromo.log

Ein sinnvoller Weg, die Protokolldateien zu überprüfen, ist ein Vergleich mit dem Protokoll auf einem Domänencontroller, auf dem die Bereitstellung funktioniert.

Parallel dazu spielt auch die Ereignisanzeige auf dem Server eine wichtige Rolle. Hier sind in den verschiedenen Protokollen Einträge zu finden, die auch Active Directory betreffen. Die Ereignisse dazu finden sich in:

  • Windows Protokolle\System
  • Windows Protokolle\Anwendung
  • Anwendungs- und Dienstprotokolle\Verzeichnisdienst oder Directory Service
  • Anwendungs- und Dienstprotokolle\Dateireplikationsdienst
  • Anwendungs- und Dienstprotokolle\DFS-Replikation

Diese Protokolle spielen vor allem bei der Heraufstufung von Servern zu Domänencontrollern eine wichtige Rolle. Erfolgt die Bereitstellung über die PowerShell ist das folgende Protokoll hilfreich:

Anwendungs- und Dienstprotokolle\Microsoft\Windows\DirectoryServices-Deployment\Operational

Probleme mit Adprep beheben – Direkte Aktualisierung zu Windows Server 2019/2022

Wenn eine Gesamtstruktur zu Windows Server 2016 oder neuer heraufgestuft wird, kommt oft Adprep zum Einsatz. Neu seit Windows Server 2019 ist das Attribut "msDS-preferredDataLocation", das von Azure Active Directory übernommen wurde. Dieses wird für die Zuordnung zu bestimmten Regionen für Office 365 und andere Clouddienste verwendet. Dazu kommt eine neue Version der Active-Directory-Datenbank ESE, die bei der Speicherung von Daten eine andere Vorgehensweise hat, als noch bei Windows Server 2016.

Bildergalerie
Bildergalerie mit 6 Bildern

Das Schema-Update wird mit dem Tool "adprep.exe" vorgenommen. Dieses befindet sich im Verzeichnis "support\adprep" der Windows Server 2019-Installations-DVD. Die Aktualisierung sollte am besten auf dem Schema-Master der Active-Directory-Umgebung durchgeführt werden. Die Aktualisierung des Schemas wird mit dem folgenden Befehl durchgeführt:

adprep /forestprep

Um die einzelnen Domänen vorzubereiten, wird der folgende Befehl verwendet:

adprep /domainprep

Die Vorbereitung für die Unterstützung von schreibgeschützten Domänencontrollern erfolgt mit:

adprep /rodcprep

Funktioniert die Aktualisierung nicht, gibt es auch hier Protokolle, die überprüft werden sollten. Auch diese befinden sich im Verzeichnis "C:\Windows\debug":

  • adprep\<datetime>\adprep.log
  • adprep\<datetime>\csv.log
  • adprep\<datetime>\dspecup.log
  • adprep\<datetime>\ldif.log*
Active Directory im Fokus
Bildergalerie mit 55 Bildern

(ID:48298300)

Weiterführende Inhalte