Mobile-Menu

Active Directory bleibt erhalten und wird moderner Windows Server 2025 kommt mit neuem Active Directory

Von Thomas Joos 4 min Lesedauer

Microsoft zeigt mit Windows Server 2025, dass das klassische Active Directory noch lange nicht zum alten Eisen gehört und auch nicht vollständig durch Clouddienste wie Entra ID ersetzt wird. Die neueste Version bringt einige Neuerungen mit sich, die wir in diesem Beitrag vorstellen.

Windows Server 2025 bringt ein modernes Active Directory mit erweiterten Sicherheits- und Performance-Funktionen – ideal für zukunftssichere IT-Infrastrukturen.(Bild: Bipul Kumar - stock.adobe.com)
Windows Server 2025 bringt ein modernes Active Directory mit erweiterten Sicherheits- und Performance-Funktionen – ideal für zukunftssichere IT-Infrastrukturen.
(Bild: Bipul Kumar - stock.adobe.com)

Erstmalig seit Windows Server 2016 kommt Active Directory in Windows Server 2025 mit einem neuen Betriebsmodus: "Windows Server 2025". Während Windows Server 2022 noch mit dem alten AD-Betriebsmodus "Windows Server 2016" arbeitet, kann Windows Server 2025 jetzt auf neue Active-Directory-Funktionen zugreifen. Auf diese gehen wir in diesem Beitrag ein.

Gemischte Active Directory-Umgebungen

Windows Server 2025 lässt sich mit älteren Windows-Versionen gemeinsam betreiben, auch mit ältere Domänencontrollern. Sobald der Betriebsmodus aber auf "Windows Server 2025" umgestellt ist, dürfen nur noch Domänencontroller mit Windows Server 2025 zum Einsatz kommen. Der Modus spielt für Mitgliedsserver aber keine Rolle. Hier lassen sich auch ältere Versionen einsetzen, wenn der Modus auf "Windows Server 2025" gestellt ist.

Bildergalerie

Es ist übrigens mit Windows Server 2025 möglich, virtuelle Domänencontroller ab Windows Server 2012 R2 und neuer direkt zu Windows Server 2025 zu aktualisieren. Das geht auch mit physischen Servern, ergibt mangels Zertifizierung aber meistens keinen Sinn. Bei der Aktualisierung von VMs ist die direkte Aktualisierung aber oft der einfachere und effektivere Weg. Das geht mit Mitgliedsservern und Domänencontroller jetzt sehr viel einfacher als bisher.

Obwohl NTLM (Windows New Technology LAN Manager) in Sachen Authentifizierung in Windows Server 2025 noch enthalten ist, verliert es an Bedeutung. Es kann über Gruppenrichtlinien deaktiviert werden:

Pfad: Computerkonfiguration -> Richtlinien -> Administrative Vorlagen -> Netzwerk -> LanMan-Arbeitsstation

Alternativ kann NTLM über die PowerShell deaktiviert werden:

Set-SMbClientConfiguration -BlockNTLM $true

Wie die Einstellung gesetzt ist, lässt sich wiederum mit dem folgenden Befehl anzeigen:

Get-SMbClientConfiguration | select BlockNTLM

Neue Schemaversionen in Windows Server 2025

Neben der neuen Funktionsebene für Domänen und Gesamtstrukturen kommt Windows Server 2025 auch noch mit der neuen Funktionsebene-Version 10 (Windows Server 2025). Bis Windows Server 2016 war hier noch die Version 7 aktuell. Die Versionen 8 und 9 waren dann für Windows Server 2019 und Windows Server 2022 vorgesehen, aber hier gab es nicht genügend Neuerunge, und so nutzen auch Windows Server 2019/2022 noch die Version 7 (Windows Server 2016) für die Funktionsebenen.

Das Active Directory-Schema hat in Windows Server 2025 die neue Version 91, die aber weiter ansteigen kann. Anzeigen lässt sich diese in der PowerShell mit:

Get-ADObject (Get-ADRootDSE).schemaNamingContext -property objectversion

Das sind die neuen Funktionen in AD 2025

Datenbankseiten in Active Directory können im neuen Betriebsmodus "Windows Server 2025" bis zu 32k groß werden, anstatt 8k, wie bisher. Das ist ein wichtiger Faktor in großen Netzwerken, um mehr Mitglieder in Gruppen aufzunehmen und in einzelnen Objekten mehr Daten zu speichern. Außerdem unterstützen die Datenbankseiten 64-Bit Long Value IDs (LLIDs). Hier gilt es allerdings zu beachten, dass Windows Server 2025 die großen Datenbankseiten nur aktiviert, wenn der Domänencontroller neu installiert ist. Wurde ein vorhandener Domänencontroller zu Windows Server 2025 aktualisiert, bleiben die Seiten bei einer Größe von 8k. Es ist aber möglich die Größe nachträglich zu ändern, wenn der Betriebsmodus auf "Windows Server 2025" umgestellt wurde.

Zusätzlich stehen neue Leistungsindikatoren zur Überwachung von Domänencontrollern zur Verfügung:

  • Local Security Authority (LSA) Lookups
  • DC Locator
  • LDAP Client

Diese Indikatoren ermöglichen eine verbesserte Überwachung von AD-Umgebungen, insbesondere bei hoher Auslastung.

Die neuen Features in Windows Server 2025 aktivieren

Die Aktivierung der neuen AD-Funktionen von Windows Server 2025 erfolgt am schnellsten über ein PowerShell-Skript. Am Beispiel der Domäne "jooslab.de" sieht das Skript folgendermaßen aus:

$params = @{ Identity = 'Database 32k pages feature' Scope = 'ForestOrConfigurationSet' Target = 'jooslab.de'}Enable-ADOptionalFeature @params

Die Ausführung lässt sich mit dem folgenden Befehl überprüfen:

Get-ADOptionalFeature -Filter {Name -eq "Database 32k pages feature"}

Hier sollte bei EnabledScopes die Active Directory-Umgebung zu sehen sein. Ist das Feld leer, dann sind 32k-Seiten in der AD-Datenbank nicht aktiv. Ob die AD-Datenbank in der Lage ist 32k-Seiten zu nutzen, lässt sich in der PowerShell mit dem folgenden Befehl prüfen:

Get-ADObject -LDAPFilter "(ObjectClass=nTDSDSA)" `-SearchBase "CN=Configuration,DC=contoso,DC=com" `-properties msDS-JetDBPageSize |Format-List distinguishedName, msDs-JetDBPageSize

Hier sollte 32768 bei msDs-JetDBPageSize zu sehen sein.

Windows Server 2025 kann besser mit NUMA umgehen und wird sicherer

Windows Server 2025 verbessert die Unterstützung für NUMA (Non-Uniform Memory Access), wodurch alle NUMA-Gruppen genutzt werden können. Dies verbessert vor allem die Speicherlatenz und Reaktionszeiten in großen Umgebungen.

Zusätzlich erhöht Microsoft die Sicherheit von Active Directory:

  • LDAP nutzt nun TLS 1.3 für LDAP over TLS
  • LDAP-Sealing schützt LDAP Payload-Daten durch Verschlüsselung
  • Passwortänderungen erfolgen über SAM-RPC mit AES-Verschlüsselung
  • Remote-Änderungen von Passwörtern für geschützte Konten können verboten werden
  • Kerberos unterstützt AES SHA256/384

Die Konfiguration erfolgt über die Gruppenrichtlinien unter Administrative Vorlagen -> System -> Sicherheitskontenverwaltung.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50305781)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte