Mobile-Menu

AD bereinigen, Fehler beheben und Anmeldungen beschleunigen Migrationen in Active Directory: Veraltete Domänencontroller entfernen

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH

Im Rahmen von Migration bzw. der Aktualisierung von Domänencontrollern in Active Directory ist es unerlässlich, nicht mehr vorhandene DCs aus dem Active Directory zu entfernen. Das vermeidet unnötige Fehler bspw. wegen fehlerhaften Namensauflösungen und beschleunigt die Anmeldung von Usern.

Werden Domänencontroller durch neue Server ersetzt, sollten nicht mehr benötigte alte Domänencontroller aus der AD-Umgebung entfernt werden. Wir zeigen, wie das geht.(Bild: © dizain - stock.adobe.com)
Werden Domänencontroller durch neue Server ersetzt, sollten nicht mehr benötigte alte Domänencontroller aus der AD-Umgebung entfernt werden. Wir zeigen, wie das geht.
(Bild: © dizain - stock.adobe.com)

Bei Migrationen kommt es über kurz oder lang meist auch dazu, dass Domänencontroller durch neue Server ersetzt werden. Wenn die Migration abgeschlossen ist, sollten nicht mehr benötigte Domänencontroller aus der Umgebung entfernt werden. Der erste Weg dazu ist das Herabstufen eines Domänencontrollers. Davon ist das Betriebssystem nicht betroffen und es gehen auch keine Daten verloren, außer natürlich die lokale Active-Directory-Datenbank die beim Herabstufen entfernt wird.

Domänencontroller herabstufen richtig vorbereiten

Wenn ein Domänencontroller nicht mehr benötigt wird, kann er einfach herabgestuft werden. Er bleibt dabei Mitgliedsserver in der Organisation. Wichtig ist, im Vorfeld dafür zu sorgen, dass der Server an keiner anderen Stelle als DNS-Server oder sogar direkt als Domänencontroller eingetragen ist. Das kann zum Beispiel bei DHCP der Fall sein. Wenn DHCP auf dem Server aktiv ist, kann der Server nach dem Herabstufen aber als DHCP-Server weiterlaufen, da er als Mitgliedsserver in der Domäne weiterlaufen kann.

Bildergalerie
Bildergalerie mit 5 Bildern

Außerdem sollten im Vorfeld alle FSMO-Rollen auf andere Domänencontroller übertragen werden. Wie das geht, zeigen wir im Beitrag „10 Tipps für FSMO-Rollen und den globalen Katalog in Active Directory“. Darüber hinaus sind die Informationen dieses Beitrags wichtig: „Erfolgreiches Troubleshooting in Active Directory“. Ein weiterer, in diesem Zusammenhang lesenswerter Beitrag ist „Herabstufen eines Domänencontrollers“.

Wenn es sich bei dem Server um einen globalen Katalog handelt, sollte der Server spätestens vor der Herabstufung nicht mehr als globaler Katalog genutzt werden. Das geht im Snap-In „Active Directory-Standorte- und -Dienste“ unter „Sites/<Standort des Servers>/<Servername>/Eigenschaften“ bei „NTDS-Settings“ und dem Entfernen des Hakens bei „Globaler Katalog“. Starten lässt sich das Snap-In über „dssite.msc“.

Generell ist es sinnvoll vor dem Herabstufen eines Domänencontrollers den DNS-Server über den Server-Manager, die PowerShell oder das Windows Admin Center zu deinstallieren. Wichtig ist in diesem Zusammenhang, dass in den Netzwerkeinstellungen des Servers nicht er selbst als DNS-Server eingetragen ist.

Domänencontroller in der PowerShell herabstufen

Das Herabstufen eines Domänencontrollers in der PowerShell erfolgt mit dem folgenden Befehl:

Uninstall-ADDSDomainController -LocalAdministratorPassword (Read-Host -Prompt "Kennwort" -AsSecureString)

Im Rahmen der Deinstallation entfernt der Befehl keine Serverdienste, sondern der ehemalige Domänencontroller verbleibt als Mitgliedsserver in der Domäne. Der Befehl entfernt nur Active Directory. Hat ein Domänencontroller keine Verbindung mehr mit der Domäne, lässt er sich dennoch als alleinstehender Server betreiben. In diesem Fall kommt noch der Parameter „-Force“ zum Einsatz. Dann kann sich der Server aber auch bei erneuter Verbindung mit der Domäne nicht mehr an der Domäne anmelden, er ist bei der Verwendung von „-Force“ ein alleinstehender Server.

Soll nicht die PowerShell zum Einsatz kommen, lässt sich auch der Server-Manager verwenden und die Rolle der Active-Directory-Domänendienste entfernen. Dabei kann der Server ebenfalls heruntergestuft werden. Der Vorgang lässt sich mit einem Assistenten durchführen.

Active Directory und DNS bereinigen

Teilweise wurde ein Domänencontroller bereits neu installiert, seine Daten stehen aber noch im Active Directory. In diesem Fall sollte das Active Directory auf einem anderen Domänencontroller bereinigt werden. Wir zeigen diese Vorgehensweise im Beitrag „Aufräumen im Active Directory“.

Wichtig ist in diesem Fall, dass der Domänencontroller in der OU „Domain Controllers“ bei Active Directory-Benutzer und -Computer ebenfalls gelöscht wird. Außerdem sollte auch in diesem Fall überprüft werden, ob der entfernte Domänencontroller noch als FSMO-Rolleninhaber dient oder als DNS-Server in den Eigenschaften der DNS-Zone eingetragen ist. Dies sollte schnellstmöglich berichtigt werden.

In den Eigenschaften der DNS-Zone sollte außerdem bei „Autoritätsursprung“ sichergestellt sein, dass als primärer DNS-Server ein Domänencontroller eingetragen ist, der bereits zu einer neuen Serverversion aktualisiert wurde. Hier sollte der entfernte Domänencontroller nicht mehr enthalten sein – auch nicht auf der Registerkarte „Namensserver“. Wenn Reverse-Lookup-Zonen oder auch andere Zonen vorhanden sind, sind die gleichen Überprüfungen auch für diese Zonen wichtig.

Nachdem der Domänencontroller deinstalliert ist, sollte er auch bei „Active-Directory-Standorte und -Dienste“ unter dem Standort bei „Servers“ nicht mehr auftauchen. Ist das dennoch der Fall, lässt er sich über das Kontextmenü an dieser Stelle löschen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Direkte Aktualisierung kann bei VMs sinnvoller sein als eine Neuinstallation

Die Bereinigungen von Active Directory machen natürlich nur dann Sinn, wenn ein neuer Domänencontroller installiert wird, und der alte nicht mehr notwendig ist. Wenn die Domänencontroller aber virtualisiert sind, ist es oft besser, diese direkt zu Windows Server 2022 zu aktualisieren, da in diesem Fall die Hardware keine Rolle spielt. Eine direkte Aktualisierung ist für Windows Server 2016/2019 möglich. Das geht technisch zwar auch mit Windows Server 2012/2012 R2, ist aber kein unterstütztes Szenario. In diesem Fall kann es daher wiederum besser sein, einen neuen Domänencontroller zu installieren und den veralteten zu entfernen.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:49791651)

Weiterführende Inhalte