androxin
Goto Top

AD von 2003 auf 2008R2 vollständig umziehen

Moin, moin.

Ich habe die folgende, halbwegs funktionierende, produktive Active Directory Konfiguration geerbt:

- Domänenfunktionsebene: Windows Server 2003
- Windows Server 2003 (DC)
- SBS 2011 (GC) (DNS, DHCP, Exchange, Sharepoint, WSUS)

Ursprünglich lief das AD auf dem 2003er Server. Dann ist der SBS dazu gekommen und das AD wurde leider nicht vollständig umgezogen.
In Anbetracht des 2003er Supportendes und den aktuell bestehenden Problemen (Replizierung der GPOs funktioniert nicht), würde ich das ganze gerne einmal glatt ziehen.

Kann ich das Schema auf dem DC einfach mit adprep /forestprep und adprep /domainprep hochziehen, anschließend den SBS zum DC heraufstufen und den 2003er Server vom Netz nehmen?

Was für Fallsticke könnten mich dabei erwarten?

Da ich den Umzug nicht in einer Laborumgebung testen kann, bräuchte ich noch einmal einen Tipp, wie man die Struktur am besten vor der Aktion sichert. Reicht da die normale Windows Server Sicherung aus?

Vielen Dank schon einmal.

Content-Key: 257903

Url: https://administrator.de/contentid/257903

Printed on: April 18, 2024 at 10:04 o'clock

Member: BBfreak
BBfreak Dec 17, 2014 at 11:18:57 (UTC)
Goto Top
Hallo Androxin,

ein SBS 2011 ohne Domain-Controller-Rolle wäre mir neu. Eigentlich will der alle FSMO-Rollen haben bei der Installation. Ich würde das also nochmal kontrollieren.

Ist dieser im DNS nicht in der lokalen Domain als:
(identisch mit übergeordnetem Ordner) Host (A) Eintrag eingetragen?
Unter DomainDNnsZones eingetragen?
Unter _tcp mit _kerberos und _ldap eingetragen?
Ist die Rolle "Active Directory-Domänendienste" installiert?

Wenn ja, ist das ein Domain-Controller.

Ansonsten würde ich die Rolle installieren und den SBS zum DC machen und die FSMO-Rollen vom 2003-Server migrieren. Dann Server 2003 ausschalten und sehen das alles klappt. Dann irgenwann wieder einschalten und dort die Domain-Controller-Funktionen deinstallieren damit die Einträge vom 2003 auch aus dem DNS etc. entfernt werden.

Das ActiveDirectory kannst Du mit dem Befehl WBADMIN manuell in eine Datei sichern.

Lg
BBfreak
Member: Androxin
Androxin Dec 17, 2014 updated at 11:54:07 (UTC)
Goto Top
Zitat von @BBfreak:

Ist dieser im DNS nicht in der lokalen Domain als:
(identisch mit übergeordnetem Ordner) Host (A) Eintrag eingetragen?
Unter DomainDNnsZones eingetragen?
Unter _tcp mit _kerberos und _ldap eingetragen?
Ist die Rolle "Active Directory-Domänendienste" installiert?

Wenn ja, ist das ein Domain-Controller.

Das trifft alles zu.

Aber warum ist der dann hier als GC aufgeführt?
78c000f7a69263cb126cb3f050248db2

Edit:
Der 2003er ist ja gar nicht "Online"...
Member: BBfreak
Solution BBfreak Dec 17, 2014, updated at Dec 18, 2014 at 12:18:03 (UTC)
Goto Top
Klingt so, als wenn der DNS-Server nicht aktiv ist aus dem SBS.

Mach von nem Client mal nslookup DeineDomäne.local IPvomSBS.
Bsp. nslookup contoso.local 192.168.0.1
Da müsste er sich und den anderen Server ja selbst auflösen.

Was sagt die DNS-Verwaltung. Einstellungen in der Domänen-Zone?

Status: Wid ausgeführt?
Replikation: Auf alle DNS-Server in der Domäne?
SOA auf den SBS-Server ziehen?

Es gab da schon einmal ein ähnliches Problem: GC und DC auf SBS-2011

Lg
BBfreak
Member: Androxin
Androxin Dec 17, 2014 updated at 14:01:58 (UTC)
Goto Top
Zitat von @BBfreak:

Ist dieser im DNS nicht in der lokalen Domain als:

Habe das "nicht" überlesen. Die Einträge im DNS zeigen alle auf den SBS.

Zitat von @BBfreak:

Klingt so, als wenn der DNS-Server nicht aktiv ist aus dem SBS.

Was sagt die DNS-Verwaltung. Einstellungen in der Domänen-Zone?

Status: Wid ausgeführt?
Replikation: Auf alle DNS-Server in der Domäne?
SOA auf den SBS-Server ziehen?


Der DNS-Server läuft und tut das was er soll. Ein nlsookup von einem Client zeigt die IP des SBS und die des 2003er Servers an. Passt also.
Beim Start des SBS meckert die DNS Rolle 4 mal
....Der DNS-Server wartet darauf, dass von den Active Directory-Domänendiensten angezeigt wird, dass die Erstsynchronisierung des Verzeichnisses durchgeführt wurde. Der DNS-Serverdienst kann erst nach der Erstsynchronisierung gestartet werde.....
fängt sich dann aber und der Dienst startet normal.

SBS:
Im SOA ist der SBS als Primary hinterlegt.

2k3:
Im SOA ist der 2003er Server als Primary hinterlegt.
Sollte nicht eigentlich bei beiden Server der SBS hinterlegt sein?

Die Einträge in der Lookupzone stimmen jedenfalls bei beiden Servern.


Es gab da schon einmal ein ähnliches Problem: GC und DC auf SBS-2011
Vielen Dank für den Hinweis. Habe mir den Thread durchgelesen. Etwas wirklich brauchbares war ja nicht dabei. face-wink


Bei den GPOs habe ich übrigens das Problem, dass die geänderten Einstellungen nicht in das SYSVOL Verzeichnis auf den 2003er Server kopiert werden. Die liegen nur im SYSVOL vom SBS. In diesem Zustand können die Clients die GPOs nicht aktualisieren. Erst wenn man die Policies händisch kopiert können sich die Clients wieder updaten.

Falls es hilft:

netdom query fsmo:
Schemamaster               SBS.xyz.local
Domänennamen-Master        SBS.xyz.local
PDC                        SBS.xyz.local
RID-Pool-Manager           SBS.xyz.local
Infrastrukturmaster        SBS.xyz.local

Im ADSI-Editor sieht auch alles normal aus.
Der SBS ist als "fSMORoleOwner" hinterlegt.

Vor längerer Zeit hatte ich noch das folgendes Problem, über das ich überhaupt erst auf die bestehende Verbindung aufmerksam wurde:
Ich habe auf dem 2003er Server einem Mitarbeiter temporär Remotedesktopzugriffsberechtigung erteilt. Nur auf diesem Server, direkt in den Remoteeinstellungen. Dieser Mitarbeiter war dann, wie gewünscht, der einzige in der Liste der berechtigten Nutzer.
Leider hat sich diese Änderung auf das AD ausgewirkt. In der Sicherheitsgruppe "Remotedesktopbenutzer" war nur noch dieser eine Mitarbeiter. Alle anderen Mitglieder (Domänen-Admins, Administrator, ...) fehlten anschließend.
Member: BBfreak
Solution BBfreak Dec 17, 2014, updated at Dec 18, 2014 at 12:17:50 (UTC)
Goto Top
huhu. das mit dem "nicht" ist auch meine Schuld. Ich hatte die Liste erst mit doppelter-Verneinung aufgebaut. Das dann aber nicht sorgsam geändert.

Also eigentlich müsste es im DNS immer zwei Einträge geben. Einmal zum SBS und einmal zum SRV2003. Also zwei mal _kerberos etc. Damit ein Dienst beide Server findet und ggf. sollte der eine nicht antworten den anderen kontaktieren kann.

Die Replication zwischen den Servern scheint def. nich zu funktionieren. Unterschiedliche SysVol-Ordner und unterschiedliche Einträge in den DNS-Zonen. Jeder nennt sich im DNS als SOA-Master zuständig...

Die beiden Server brauchen da jeweils ihre eigene Suppe.

Sind die Domänen-User den auf beiden Systemen gleich? Oder legst du jeden User auch zwei mal an? Verwalten die überhaupt die gleiche Domäne?
Member: Androxin
Androxin Dec 17, 2014 updated at 14:24:44 (UTC)
Goto Top
Zitat von @BBfreak:

Also eigentlich müsste es im DNS immer zwei Einträge geben. Einmal zum SBS und einmal zum SRV2003. Also zwei mal
_kerberos etc. Damit ein Dienst beide Server findet und ggf. sollte der eine nicht antworten den anderen kontaktieren kann.

Gibt es auch. Auf beiden Servern. Es ist so wie du es beschreibst.

Die Replication zwischen den Servern scheint def. nich zu funktionieren. Unterschiedliche SysVol-Ordner und unterschiedliche
Einträge in den DNS-Zonen. Jeder nennt sich im DNS als SOA-Master zuständig...

Die beiden Server brauchen da jeweils ihre eigene Suppe.
Jain. Jeder nennt sich zwar SOA-Master, die eigentlichen DNS Records sind aber identisch und werden korrekt synchronisiert.


Sind die Domänen-User den auf beiden Systemen gleich? Oder legst du jeden User auch zwei mal an? Verwalten die überhaupt
die gleiche Domäne?

Die User, Gruppen etc. sind bei bei den System gleich. Die werden auch automatisch synchronisiert.
Ja, die verwalten die gleiche Domäne. face-wink
Member: BBfreak
BBfreak Dec 17, 2014 at 16:08:00 (UTC)
Goto Top
Gibt die Ereignissanzeige noch mehr her?

meistens gibt es da noch alle Stunde eins mit: Folgende Domaincontroller wurden gefunden mit einer Auflistung zusammen mit Zahlenkombi.

Ist auf dem SBS das IPv6 deaktiviert?
Member: Androxin
Androxin Dec 17, 2014 at 16:25:48 (UTC)
Goto Top
Zitat von @BBfreak:

Gibt die Ereignissanzeige noch mehr her?

Leider nicht. Abgesehen von
NTDS (732) NTDSA: Die Onlinedefragmentierung hat einen vollständigen Durchlauf der Datenbank 'C:\Windows\ntds\ntds.dit' abgeschlossen und dabei 0 Seiten freigegeben. Dieser Durchlauf begann am 17.12.2014 und benötigte insgesamt 1 Sekunden und 1 Aufrufe in 1 Tagen für die Ausführung. Seit ihrer Erstellung wurde die Datenbank 2147 Mal in 2147 Tagen vollständig defragmentiert.
und einer Meldung bzgl. einer nicht SSL LDAP Verbindung gibt es keine AD betreffenden Einträge.


Ist auf dem SBS das IPv6 deaktiviert?
Halb. Der Netzwerkadapter ist aktiviert, allerdings wurde keine statische Adresse eingetragen. Im DHCP gibt es keinen IPv6 Adressbereich. Die SBS Dienste wie "Companyweb" haben AAAA DNS Records.
Member: BBfreak
Solution BBfreak Dec 18, 2014 updated at 12:17:37 (UTC)
Goto Top
hmm. So langsam habe ich auch keine Idee mehr...

Soland der Haken bei IPv6 aktiviert ist reicht das. Ich hatte das mal aus Gewohnheit deaktiviert und hatte dann ähnliche Probleme, dass der Server sich selbst nicht mehr als DC erkannt hat.

Die NTDS Meldung ist normal...

Leg mal ne Datei in den SysVol-Ordner. Evtl. meckert er dann wenn er die nicht gesynct bekommt und man kann damit dann weiterarbeiten...
Member: Androxin
Androxin Dec 18, 2014 at 10:29:05 (UTC)
Goto Top
Zitat von @BBfreak:

Leg mal ne Datei in den SysVol-Ordner. Evtl. meckert er dann wenn er die nicht gesynct bekommt und man kann damit dann
weiterarbeiten...

Du hast voll ins Schwarze getroffen.

Auf dem SBS gibt es im Ereignislog folgende Meldung:
Der Dateireplikationsdienst kann die Replikation von *2003* nach *SBS* für c:\windows\sysvol\domain mit DNS-Namen *2003.contoso.local* nicht aktivieren. Es wird ein neuer Versuch gestartet. 
 Mögliche Ursachen für diese Warnung sind: 
 
 [1] Der DNS-Name *2003.contoso.local* von diesem Computer konnte nicht ausgewertet werden. 
 [2] Der Dateireplikationsdienst wird auf *2003.contoso.local* nicht ausgeführt. 
 [3] Die Topologieinformationen in den Active Directory-Domänendiensten dieses Replikats wurden noch nicht auf allen Domänencontrollern repliziert. 
 
 Diese Ereignisprotokollmeldung wird einmal pro Verbindung angezeigt. Nachdem der Fehler behoben wurde, wird eine andere Ereignisprotokollmeldung angezeigt, die bestätigt, dass die Verbindung hergestellt wurde.

Punkt 1 kann ausgeschlossen werden. Die Auflösung funktioniert. Kommen noch 2 und 3 in frage.

Bei Punkt 2 bin ich fündig geworden. Der Dienst läuft zwar, schreibt aber Fehler in das Ereignislog.

13552:
Der Dateireplikationsdienst kann diesen Computer dem folgenden Replikatsatz nicht hinzufügen: 
    "DOMAIN SYSTEM VOLUME (SYSVOL SHARE)" 
 
Mögliche Ursachen sind: 
  --  ein ungültiger Stammpfad, 
  --  ein fehlendes Verzeichnis, 
  --  ein fehlender Datenträger oder 
  --  ein Dateisystem auf dem Datenträger, das NTFS 5.0 nicht unterstützt. 
 
Die folgenden Informationen können bei der Problembehebung hilfreich sein: 
DNS-Name des Computers: "*2003.contoso.local*" 
Mitgliedname des Replikatsatzes: "*2003*" 
Stammpfad des Replikatsatzes: "c:\windows\sysvol\domain" 
Replikatstagingverzeichnis: "c:\windows\sysvol\staging\domain" 
Pfad des Replikatarbeitsverzeichnisses: "c:\windows\ntfrs\jet" 
Windows-Fehlerstatuscode: "" 
Fehlerstatuscode des Replikationsdienstes: "FrsErrorMismatchedJournalId" 
 
Andere Ereignisprotokollmeldungen bieten weitere Problemlösungen. Beheben Sie den Fehler, dann wird der Dienst zu einem späteren Zeitpunkt versuchen, die Replikation automatisch zu starten.

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.

13555:
Der Dateireplikationsdienst befindet sich im Fehlerzustand. Dateien werden nicht von oder zu einem oder allen Replikatsätzen auf diesem Computer repliziert, bevor nicht die folgenden Wiederherstellungsmaßnahmen durchgeführt wurden: 
 
 Wiederherstellungsmaßnahmen: 
 
 [1] Der Fehlerzustand löst sich möglicherweise von selbst, wenn der Dienst angehalten und neu gestartet wird. Führen Sie Folgendes an der Befehlszeile aus: 
 
    net stop ntfrs 
    net start ntfrs 
 
Falls dies nicht zum Erfolg führt, sollten Sie wie folgt fortfahren: 
 
 [2] Active Directory-Domänencontroller, die keine DFS-Alternativen oder andere Replikatsätze mit aktivierter Replikation hosten: 
 
Falls mindestens ein weiterer Domänencontroller in der Domäne vorhanden ist, dann stellen Sie den "Systemzustand" von dem Domänencontroller von dessen Sicherungskopie wieder her (unter Verwendung von "ntbackup" oder einem anderen Sicherungswiederherstellungs-Programm) und kennzeichnen Sie ihn nicht- autorisierend. 
 
Falls es keine weiteren Domänencontroller in der Domäne gibt, dann stellen Sie den "Systemzustand" von dem Domänencontroller von dessen Sicherungskopie wieder her (unter Verwendung von "ntbackup" oder einem anderen Sicherungs- wiederherstellungs-Programm) und wählen Sie die erweiterten Optionen, so dass die Systemvolumes als primär gekennzeichnet werden. 
 
Falls es andere Domänencontroller in dieser Domäne gibt, aber ALLE diese Nachricht im Ereignisprotokoll enthalten, dann müssen Sie einen von ihnen als primären Domänencontroller wiederherstellen (dessen Daten überall hin repliziert  werden) und alle anderen als nicht-autorisierend. 
 
 
 [3] Active Directory-Domänencontroller, die DFS-Alternativen oder andere Replikatsätze mit aktivierter Replikation hosten: 
 
 (3-a) Falls die DFS-Alternativen auf diesem Domänencontroller über keine anderen Replikationspartner verfügen, dann müssen Sie die Daten auf der DFS- Freigage an eine sichere Stelle kopieren.  
 (3-b) Falls dieser Server der einzige Active Directory-Domänencontroller in der Domäne ist, dann müssen Sie, bevor Sie mit (3-c) fortfahren, sicher- stellen, dass der Server keine eingehenden oder ausgehenden Verbindungen zu anderen, ehemaligen Domänencontrollern, die keine Netzwerkverbindung mehr haben (und nie wieder haben werden) oder die neu, ohne Heraufstufung installiert sind, aufweist. Verwenden Sie das Snap-In "Standorte und Dienste", um Verbindungen zu löschen, und suchen Sie nach 
Standorte->NAME_DES_STANDORTS->Server->NAME_DES_SERVERS-> NTDS-Einstellungen->VERBINDUNGEN. 
 (3-c) Stellen Sie den "Systemzustand" von dem Domänencontroller von der  Sicherungskopie (unter Verwendung von "ntbackup" oder einem anderen Sicherungs- wiederherstellungsprogramm) wieder her, und kennzeichnen Sie ihn als nicht- autorisierend. 
 (3-d) Kopieren Sie die Daten von (3-a) zurück in das ursprüngliche Verzeichnis, nachdem die Systemvolumefreigabe veröffentlicht worden ist. 
 
 
 [4] Andere Windows-Server: 
 
 (4-a)  Falls eine der von diesem Server gehostete DFS-Alternativen oder anderen Replikatsätze über keine anderen Replikationspartner verfügt, dann müssen Sie die Daten unter der Freigabe oder des Replikationsstrukturstammes an eine sichere Stelle kopieren. 
 (4-b)  net stop ntfrs 
 (4-c)  rd /s /q  c:\windows\ntfrs\jet 
 (4-d)  net start ntfrs 
 (4-e)  Kopieren Sie die Daten von (4-a) zurück in das ursprüngliche Ver- zeichnis, nachdem der Dienst gestartet wurde (warten Sie vorsichtshalber 5 Minuten). 
 
Hinweis: Falls diese Fehlermeldung im Ereignisprotokoll aller Mitglieder eines bestimmten Replikatsatzes angezeigt wird, dürfen Sie die Schritte (4-a) bis (4-e) nur auf einem der Mitglieder ausführen.

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter http://go.microsoft.com/fwlink/events.asp.


Ich habe mir dann mal den Fehlerstatuscode "FrsErrorMismatchedJournalId" genauer angeschaut. Das Problem lies sich wie folgt lösen:

Auf dem 2003er Server in Regedit zu
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters
navigieren, dort einen "DWORD-Wert" mit dem Namen "Enable Journal Wrap Automatic Restore" und dem Wert "1" erstellen. Anschließend den "File Replication Service" bzw. "Dateireplikationsdienst" neu starten. Nach diversen "positiven" Warnungen und Infomeldungen ist die Welt diesbezüglich wieder in Ordnung.

Die Verzeichnisse \\...\netlogon\ und \sysvol\ werden wieder synchronisiert, es gibt keine Fehler mehr im Ereignislog und auf dem SBS ist der Status des alten DCs nicht mehr "Ausstehend" sondern "Online".

Soweit, so gut.


Allerdings wird beim SBS immer noch "GC" angezeigt.
Wie kann man prüfen, welcher der beiden DCs die "Hose" an hat?
Member: BBfreak
Solution BBfreak Dec 18, 2014 updated at 12:17:21 (UTC)
Goto Top
Aha ;)

Ich würd vermutlich erstmal was abwarten. Der Server prüft sich alle 15? Minuten selbst und sollte dann hoffentlich nicht mehr als GC sondern DC angezeigt werden.

Die Idee bei zwei Domain-Controllern ist ja, dass beide die Anfragen beantworten können. Die teilen sich somit eine Hose und sollten immer 1:1 gleich sein.

Es gibt nur den Master in den FSMO-Rollen. Sprich: Wenn FSMO=SBS2008 und der ist gerade offline, dann kann der 2003 Server keine Änderungen an der Domänen-Struktur vornehmen. Änderungen von User und Computer-Konten gehen noch aber die Aktualisierung auf nen neues AD-Schema nicht.

Beide Server müssten Dir die gleichen FSMO-Master anzeigen.
Und der SBS2008 müsste Dir als DC angezeigt werden.
Member: Androxin
Androxin Dec 18, 2014 at 11:37:30 (UTC)
Goto Top
Inzwischen ist der Status des alten DCs wieder "Ausstehend". Die Verzeichnissynchronisierung funktioniert aber weiterhin.
Was soll mir das denn jetzt schon wieder sagen?

Kann es sein, dass das "GC" und "DC" eher kosmetischer natur ist?
Member: BBfreak
Solution BBfreak Dec 18, 2014 updated at 12:17:18 (UTC)
Goto Top
Musst Du den Reg-Wert wieder zurück ändern?

GC ist wohl in Ordnung. Ein GlobalerKatalog-Server ist wohl dem DC Höher eingestuft und keine Zusatz-Info. Ich hätte irgendwie erwartet, dass dort GC-DC stehen müsste... aber in meinen Systemen steht dort auch nur GC.

Wenn Du den 2003Server eh löschen willst würd ich den nun mit dcpromo aus der domain entfernen. Die adprep-Befehle müssen bei der Installation vom SBS2008 schon durchgeführt worden sein. Nach dem dcpromo ist der Server noch Mitgleid in der Domäne. Sollten Clients den noch als DNS-Server nutzen würd ich die umstellen.
Member: Androxin
Androxin Dec 18, 2014 at 12:17:06 (UTC)
Goto Top
Ich habe den Reg-Wert erst einmal drin gelassen. Bei erneuten Restarts des Dienstes wurde nicht versucht irgendwelche Fehler zu beseitigen.
Da der Server eh rausfliegen soll, werde ich es jetzt dabei belassen, da ja prinzipiell alles funktioniert.
Sollte es nach dem DCPromo noch Fehler geben, werde ich diesen Thread wiederbeleben. face-wink