FSMO-Rollen in Active Directory verschieben und im Ausfall übernehmen
Für den geplanten Fall gibt es die Übertragung, für den Ausfall die Übernahme. Beide laufen über denselben Befehl und unterscheiden sich in einem Schalter, aber die Folgen könnten kaum verschiedener sein.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Niemand weiß, wo die Rollen liegen, bis der Server weg ist
Die Betriebsmasterrollen wandern bei der ersten Heraufstufung auf den ersten Domänencontroller und bleiben dort, bis jemand eingreift. In vielen Häusern hat nie jemand eingegriffen. Das fällt jahrelang nicht auf, weil die Rollen im Normalbetrieb kaum in Erscheinung treten. Erst wenn dieser eine Server abgebaut, ersetzt oder plötzlich nicht mehr erreichbar ist, wird die Frage dringend, und dann ist wenig Zeit für Grundlagen.
Die zweite Schwierigkeit ist die Verwechslung von Übertragung und Übernahme. Beide bewegen dieselben Rollen und laufen über denselben Befehl, aber sie sind grundverschieden. Bei einer Übertragung sprechen alter und neuer Halter miteinander, der alte gibt die Rolle ab, und der Vorgang lässt sich jederzeit wieder zurückdrehen. Bei einer Übernahme wird der neue Halter einfach eingetragen, ohne dass der alte gefragt wird. Damit gibt es kurzzeitig zwei Server, die sich für zuständig halten, und das ist genau die Situation, die diese Rollen verhindern sollen.
Die dritte Falle betrifft den Umgang mit dem alten Halter. Nach einer Übernahme darf der alte Server nicht einfach wieder ans Netz. Er hält sich weiterhin für den Rolleninhaber, und je nach Rolle entstehen daraus Folgen, die von unschöner Protokollierung bis zu doppelt vergebenen Sicherheitskennungen reichen. Der richtige Weg führt über das Bereinigen der Metadaten dieses Servers im Verzeichnis und einen Neuaufbau, nicht über einen Neustart und die Hoffnung, dass es sich einrenkt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Aufruf, der beide Vorgänge abdeckt
Übertragung und Übernahme laufen über denselben Befehl. Die Rollen werden als Liste übergeben, der Zielserver steht vorn, und ein einziger Schalter entscheidet darüber, ob der bisherige Halter gefragt wird oder nicht. Jeder Bestandteil beantwortet eine eigene Frage.
Der Aufbau
Move-ADDirectoryServerOperationMasterRole -Identity DC02 -OperationMasterRole SchemaMaster,DomainNamingMaster,PDCEmulator,RIDMaster,InfrastructureMaster -Force - 01 Ein Befehl für beide Vorgänge
Move-ADDirectoryServerOperationMasterRoleDieser Aufruf bewegt eine oder mehrere Betriebsmasterrollen auf einen Verzeichnisserver. Anders als der Weg über Ntdsutil lässt er sich laut Microsoft von jedem in die Domäne aufgenommenen Rechner aus ausführen, auf dem das Active-Directory-Modul für PowerShell verfügbar ist. Das ist der eigentliche Vorteil: Man muss sich weder auf dem alten noch auf dem neuen Rolleninhaber anmelden, was den Vorgang zentral steuerbar macht. Mit schreibgeschützten Domänencontrollern und mit Momentaufnahmen arbeitet der Aufruf nicht.
- 02 Der Server, der die Rollen bekommt
-Identity DC02Hier steht der Zielserver, also derjenige, der die Rollen anschließend hält. Zulässig sind der Name des Serverobjekts, der eindeutige Name des NTDS-Settings-Objekts oder des Serverobjekts sowie die zugehörigen GUIDs. Microsoft nennt dazu einen bekannten Fehler: Wird ein vollständig qualifizierter Domänenname direkt als Wert angegeben, schlägt der Aufruf fehl. Der Ausweg besteht darin, den Domänencontroller vorher mit Get-ADDomainController zu holen und das Ergebnis zu übergeben.
- 03 Die Liste der zu bewegenden Rollen
-OperationMasterRoleDieser Parameter nimmt eine oder mehrere Rollen entgegen, mehrere davon als Liste mit Komma und ohne Leerzeichen. Zulässig sind ausschließlich die fünf dokumentierten Werte, wahlweise auch als Zahl von null bis vier. Es ist ausdrücklich erlaubt, nur einzelne Rollen zu bewegen, und im Alltag ist das der Normalfall: Beim geplanten Abbau eines Domänencontrollers wandern oft nur die Rollen, die er tatsächlich hält.
- 04 Die beiden Rollen der Gesamtstruktur
SchemaMaster,DomainNamingMasterDer Schemamaster ist der einzige Domänencontroller, der Änderungen am Verzeichnisschema verarbeitet, und es gibt ihn je Gesamtstruktur genau einmal. Der Domänennamenmaster ist als Einziger dafür zuständig, Domänen hinzuzufügen oder zu entfernen und Querverweise auf Domänen in fremden Verzeichnissen zu pflegen. Domänencontroller sprechen ihn außerdem an, wenn neue Anwendungsverzeichnispartitionen entstehen, etwa wenn ein DNS-Server für die Standardpartitionen eingetragen wird.
- 05 Die drei Rollen der Domäne
PDCEmulator,RIDMaster,InfrastructureMasterDer PDC-Emulator ist der Zeitanker der Domäne und die Stelle, an der Kontosperrung und fehlgeschlagene Kennwortprüfungen zusammenlaufen. Der RID-Master verteilt Blöcke relativer Kennungen an die übrigen Domänencontroller: Fällt der Vorrat eines Servers unter einen Schwellenwert, fordert er neue an, und der RID-Master liefert sie aus dem noch nicht vergebenen Bestand. Der Infrastrukturmaster pflegt Verweise auf Objekte anderer Domänen, indem er deren Sicherheitskennung und eindeutigen Namen aktuell hält.
- 06 Der Schalter, der aus einer Übertragung eine Übernahme macht
-ForceOhne diesen Schalter ist der Aufruf eine Übertragung, und Microsoft bezeichnet das ausdrücklich als die empfohlene Vorgehensweise. Mit dem Schalter wird daraus eine Übernahme, und zwar für Rollen, deren Übertragung du zuvor bereits erfolglos versucht hast. Die Beschreibung nennt einen wichtigen Zwischenschritt: Auch mit dem Schalter wird zuerst eine geordnete Übertragung versucht und erst dann übernommen, wenn diese nicht möglich ist. Setz ihn deshalb nie vorsorglich, sondern erst nach einem gescheiterten Versuch ohne ihn.
Wenn es nicht funktioniert
Das siehst du
Der Aufruf schlägt mit einer Meldung fehl, dass der Verzeichnisserver nicht gefunden wurde, obwohl der Name eindeutig richtig ist.
Warum
Sehr wahrscheinlich wurde der vollständig qualifizierte Domänenname direkt als Wert für den Zielserver angegeben. Microsoft nennt das als bekannten Fehler des Aufrufs. Erwartet werden der Name des Serverobjekts, der eindeutige Name des NTDS-Settings-Objekts oder des Serverobjekts oder eine der zugehörigen GUIDs.
Was hilft
Hol den Domänencontroller zuerst mit Get-ADDomainController und übergib das Ergebnis als Objekt an den Parameter für den Zielserver. Alternativ funktioniert der kurze Servername. Prüf zusätzlich, ob du gegen den richtigen Verzeichnisdienst arbeitest, denn ohne ausdrückliche Angabe wird die Domäne des Rechners verwendet, auf dem PowerShell läuft.
Das siehst du
Nach der Übernahme der Rollen erscheinen im Ereignisprotokoll Warnungen zu domänenübergreifenden Objektverweisen, und Verweise auf Benutzer aus anderen Domänen bleiben veraltet.
Warum
Der Infrastrukturmaster liegt jetzt auf einem Domänencontroller, der gleichzeitig Global-Catalog-Server ist. Microsoft beschreibt genau diesen Fall: In dieser Konstellation aktualisiert der Infrastrukturmaster keine Objektinformationen mehr, weil er keine Verweise auf Objekte enthält, die er nicht selbst hält. Es folgt eine entsprechende Warnung im Ereignisprotokoll dieses Servers.
Was hilft
Verschieb den Infrastrukturmaster auf einen Domänencontroller der Domäne, der kein Global-Catalog-Server ist. Sind ohnehin alle Domänencontroller der Domäne Global-Catalog-Server, ist die Lage unkritisch und die Platzierung gleichgültig. Dasselbe gilt, wenn das optionale Merkmal Recycle Bin eingeschaltet ist, denn dann pflegt jeder Domänencontroller diese Verweise selbst.
Das siehst du
Ein Domänencontroller kann keine neuen Benutzer oder Computer mehr anlegen und meldet, dass keine Kennungen mehr verfügbar sind.
Warum
Der Vorrat an relativen Kennungen dieses Servers ist aufgebraucht, und der RID-Master der Domäne ist nicht erreichbar oder nicht aktiv. Jeder Domänencontroller bekommt einen Block solcher Kennungen zugeteilt und fordert Nachschub an, sobald sein Vorrat unter einen Schwellenwert fällt. Bleibt die Anforderung unbeantwortet, endet das Anlegen neuer Sicherheitsprinzipale.
Was hilft
Prüf zuerst, ob der RID-Master erreichbar ist und ob er den Domänennamenskontext seit dem Start des Verzeichnisdienstes erfolgreich eingehend repliziert hat, denn ohne diese Replikation ist die Rolle nicht aktiv. Ist der Server dauerhaft ausgefallen, übernimm die Rolle mit dem Schalter für die Übernahme und bereinige anschließend die Metadaten des alten Halters.
Das siehst du
Nach der Übernahme wird der alte Rolleninhaber wieder eingeschaltet, und die Umgebung verhält sich unberechenbar.
Warum
Es gibt jetzt zwei Server, die sich für denselben Betriebsmaster halten. Genau diese Situation sollen die Rollen verhindern, denn für die betroffenen Aufgaben gibt es kein sinnvolles Verfahren, um widersprüchliche Änderungen aufzulösen. Beim RID-Master ist das besonders unangenehm, weil doppelt vergebene Kennungsblöcke zu Sicherheitskennungen führen können, die zweimal existieren.
Was hilft
Nimm den alten Halter sofort wieder vom Netz. Entfern seine Metadaten aus dem Verzeichnis, bevor der Server in irgendeiner Form zurückkehrt, und bau ihn danach neu auf, statt den vorhandenen Stand weiterzuverwenden. Eine Übernahme ist eine Entscheidung gegen den alten Server, und dieser Teil gehört zum Vorgang dazu.
Das siehst du
Die Übertragung läuft ohne Fehlermeldung durch, aber die Rolle wirkt auf dem neuen Server noch nicht.
Warum
Vier der fünf Rollen sind erst aktiv, wenn ihr Inhaber den zugehörigen Namenskontext seit dem Start des Verzeichnisdienstes erfolgreich eingehend repliziert hat: der Schemamaster den Schemakontext, der Domänennamenmaster den Konfigurationskontext, RID-Master und Infrastrukturmaster den Domänenkontext. Ein frisch gestarteter oder in der Replikation zurückhängender Server erfüllt das nicht.
Was hilft
Prüf die eingehende Replikation des Zielservers für den betreffenden Namenskontext und warte, bis sie durchgelaufen ist. Der Bericht über repadmin zeigt je Namenskontext den letzten Erfolgszeitpunkt. Der PDC-Emulator ist hier die Ausnahme: Er ist aktiv, sobald das entsprechende Attribut am Kopf des Domänennamenskontexts auf ihn zeigt, ohne eigene Replikationsbedingung.
Vom Ausfall zur richtigen Entscheidung
- 01 Kommt der bisherige Halter absehbar zurück? Dann warten statt übernehmen.
- 02 Ist er dauerhaft weg? Dann Übernahme, und danach Metadaten bereinigen.
- 03 Welche der elf Rolleninhaber sind überhaupt betroffen, Gesamtstruktur oder Domäne?
- 04 Hält der Zielserver dieselben Namenskontexte und ist er aktuell repliziert?
- 05 Liegt der Infrastrukturmaster danach auf einem Global-Catalog-Server?
Was du über die fünf Rollen wissen musst, bevor du eine bewegst
Sechs Punkte reichen aus, um die Rollen im Alltag richtig zu platzieren und im Ernstfall ohne Zögern zu handeln. Der letzte ist der wichtigste, weil er über den Zustand der Umgebung nach der Übernahme entscheidet.
Zwei Rollen gelten für die Gesamtstruktur, drei für jede Domäne
Schemamaster und Domänennamenmaster gibt es je Gesamtstruktur genau einmal. RID-Master, PDC-Emulator und Infrastrukturmaster gibt es einmal je Domäne. In einer Gesamtstruktur mit drei Domänen existieren also elf Rolleninhaber. Wer bei der Bestandsaufnahme nur die Gesamtstruktur abfragt, übersieht neun davon.
Der PDC-Emulator ist die Rolle mit der größten Alltagswirkung
Er ist der Ankerpunkt der Zeithierarchie, und der PDC-Emulator der Wurzeldomäne sollte laut Microsoft seine Zeit von einer externen Quelle beziehen. Außerdem werden Kennwortänderungen bevorzugt zu ihm repliziert, fehlgeschlagene Anmeldungen wegen eines falschen Kennworts werden ihm vorgelegt, bevor die Fehlermeldung beim Benutzer ankommt, und die Kontosperrung wird dort verarbeitet. Fällt er aus, merken das die Benutzer als Erstes.
Der Infrastrukturmaster gehört nicht auf einen Global-Catalog-Server
Microsoft nennt dazu eine klare Regel: Läuft der Infrastrukturmaster auf einem Global-Catalog-Server, hört er auf, Objektinformationen zu aktualisieren, weil ihm dann die Verweise auf Objekte fehlen, die er nicht selbst hält. Domänenübergreifende Verweise werden dann nicht mehr gepflegt, und im Ereignisprotokoll des Servers erscheint eine entsprechende Warnung. Ausnahme: Sind alle Domänencontroller einer Domäne Global-Catalog-Server, spielt es keine Rolle mehr, wo diese Rolle liegt.
Mit aktiviertem Papierkorb hat der Infrastrukturmaster nichts mehr zu tun
Ist das optionale Merkmal Recycle Bin eingeschaltet, aktualisiert laut Microsoft jeder Domänencontroller seine domänenübergreifenden Objektverweise selbst, wenn das verwiesene Objekt verschoben, umbenannt oder gelöscht wird. Der Infrastrukturmasterrolle sind dann keine Aufgaben mehr zugeordnet, und es ist gleichgültig, welcher Domänencontroller sie hält. Das räumt eine der ältesten Platzierungsdiskussionen ab.
Vier der fünf Rollen brauchen frische Replikationsdaten
Microsoft beschreibt für Schemamaster, Domänennamenmaster, RID-Master und Infrastrukturmaster dieselbe Bedingung: Die Rolle ist nur aktiv, wenn ihr Inhaber den zugehörigen Namenskontext seit dem Start des Verzeichnisdienstes erfolgreich eingehend repliziert hat. Der PDC-Emulator ist die Ausnahme, er ist immer aktiv, sobald das entsprechende Attribut am Kopf des Domänennamenskontexts auf ihn zeigt.
Nach einer Übernahme ist der alte Halter erledigt
Eine Übernahme setzt voraus, dass der bisherige Inhaber nicht mehr zurückkommt. Der saubere Weg besteht darin, seine Metadaten aus dem Verzeichnis zu entfernen und ihn danach neu aufzubauen, statt ihn wieder ans Netz zu hängen. Plane diesen Rückbau gleich mit ein, denn ohne ihn hinterlässt jede Übernahme eine Umgebung mit einem Objekt, zu dem kein funktionierender Server mehr gehört.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum es diese fünf Rollen überhaupt gibt
Active Directory ist eine Datenbank, in die mehrere Domänencontroller gleichzeitig schreiben dürfen. Widersprüchliche Änderungen löst Windows dabei nach einer einfachen Regel auf: Die zuletzt geschriebene Änderung gewinnt, die übrigen werden verworfen. Für die meisten Attribute ist das eine brauchbare Lösung, weil die Folgen überschaubar bleiben. Für einige Vorgänge ist sie es nicht, weil ein verworfener Schreibvorgang dort eine dauerhafte Inkonsistenz hinterlässt.
Für diese Fälle geht Active Directory bewusst einen Schritt zurück in das Single-Master-Modell. Genau ein Domänencontroller darf die betreffende Änderung verarbeiten, und alle anderen leiten ihre Anfragen dorthin. Das ist dieselbe Idee wie beim primären Domänencontroller älterer Windows-Generationen, allerdings mit einem entscheidenden Unterschied: Die Zuständigkeit hängt nicht am Server, sondern lässt sich verschieben. Daraus ergibt sich der Name Flexible Single Master Operations, kurz FSMO: genau ein Zuständiger je Aufgabe, aber eine Zuständigkeit, die sich verschieben lässt.
Der praktische Nutzen dieser Trennung zeigt sich an einem Beispiel. Wenn zwei Domänencontroller gleichzeitig neue Benutzerkonten anlegen, brauchen beide dafür eindeutige relative Kennungen. Würde jeder Server sie selbst vergeben, entstünden früher oder später doppelte Sicherheitskennungen, und dieser Fehler ließe sich nicht mehr durch Replikation heilen. Deshalb verteilt eine einzige Stelle in jeder Domäne Blöcke solcher Kennungen an alle anderen, und jeder Server arbeitet danach aus seinem eigenen Vorrat.
Wo die Rollen sinnvollerweise liegen
Für den Regelfall gibt es eine schlichte Antwort: Die Rollen gehören auf Domänencontroller, die gut angebunden, gut überwacht und gesichert sind, und sie gehören nicht alle auf denselben Server, wenn die Umgebung groß genug für eine Verteilung ist. Wichtiger als jede Verteilungskunst ist allerdings, dass überhaupt jemand weiß, wo sie liegen. Eine gepflegte Notiz darüber spart im Ernstfall die halbe Zeit.
Zwei Platzierungsregeln sind dokumentiert und deshalb belastbar. Die erste betrifft den Infrastrukturmaster, der nicht auf einem Global-Catalog-Server liegen sollte, weil ihm dort die Grundlage für seine Arbeit fehlt. Diese Regel entfällt in zwei Fällen: wenn alle Domänencontroller der Domäne Global-Catalog-Server sind, und wenn das optionale Merkmal Recycle Bin eingeschaltet ist, weil dann jeder Domänencontroller die domänenübergreifenden Verweise selbst pflegt.
Die zweite Regel betrifft den PDC-Emulator der Wurzeldomäne. Er ist die Spitze der Zeithierarchie in der Gesamtstruktur und sollte laut Microsoft so eingerichtet werden, dass er seine Zeit von einer externen Quelle bezieht. Alle übrigen PDC-Emulatoren folgen der Domänenhierarchie bei der Wahl ihres Zeitpartners. Da Kerberos auf ausreichend genaue Uhren angewiesen ist, hängt an dieser einen Einstellung mehr, als ihr Umfang vermuten lässt.
Der Unterschied zwischen Übertragung und Übernahme
Eine Übertragung ist ein Gespräch zwischen zwei Servern. Der neue Halter fragt an, der alte gibt die Rolle ab, beide notieren den neuen Zustand, und die Änderung verteilt sich über die Replikation. Voraussetzung ist, dass der bisherige Inhaber erreichbar ist. Das ist der Normalfall bei jedem geplanten Abbau, bei jedem Serverwechsel und bei jeder Umverteilung, und Microsoft bezeichnet ihn ausdrücklich als die empfohlene Vorgehensweise.
Eine Übernahme ist kein Gespräch. Der neue Halter trägt sich ein, ohne dass der alte davon erfährt. Sie ist für den Fall gedacht, dass eine Übertragung bereits versucht wurde und nicht möglich war, also wenn der bisherige Inhaber dauerhaft ausgefallen ist. Bemerkenswert ist, dass auch der Aufruf mit dem entsprechenden Schalter zunächst eine geordnete Übertragung versucht und erst dann übernimmt, wenn diese nicht möglich ist. Das nimmt der Sache etwas von ihrer Härte, ändert aber nichts an der Konsequenz.
Diese Konsequenz lautet: Der alte Halter ist danach erledigt. Er hält sich weiterhin für zuständig, und je nach Rolle reicht die Wirkung von überflüssigen Protokolleinträgen bis zu doppelt vergebenen Kennungsblöcken. Der dokumentierte Weg führt deshalb über das Bereinigen der Metadaten dieses Servers im Verzeichnis, gefolgt von einem Neuaufbau. Wer diesen zweiten Teil auslässt, hat die Störung nicht behoben, sondern nur verschoben.
Was du im Alltag tatsächlich brauchst
Der erste Griff ist eine Bestandsaufnahme. Über PowerShell liefern die Abfragen zur Gesamtstruktur die beiden übergreifenden Rollen und die Abfragen zur Domäne die drei Rollen der jeweiligen Domäne. Wer mehrere Domänen betreibt, muss die zweite Abfrage für jede einzeln ausführen. Auf der Kommandozeile gibt es zusätzlich den kurzen Weg über netdom mit der Abfrage nach den Betriebsmastern, der alles auf einen Blick ausgibt.
Der zweite Griff ist die Übertragung beim geplanten Abbau. Bevor ein Domänencontroller heruntergestuft wird, sollten seine Rollen weg sein. Praktisch ist dabei, dass sich mehrere Rollen in einem Aufruf bewegen lassen und dass der Befehl von jedem Rechner mit den Verwaltungswerkzeugen aus funktioniert. Wer den Weg über Ntdsutil kennt, wird die Vereinfachung schätzen: Dort waren Übertragung und Übernahme jeweils nur auf einem bestimmten der beteiligten Server erlaubt.
Der dritte Griff ist die Vorbereitung für den Ernstfall, und der besteht nicht aus einem Befehl, sondern aus einer Seite Text. Notiere, welcher Server welche Rolle hält, welcher Server im Ausfall übernehmen soll und wer die Übernahme freigibt. Halte außerdem fest, dass der alte Halter danach nicht mehr ans Netz darf. Diese drei Sätze sind im Ernstfall mehr wert als jede Befehlszeile, weil die Befehlszeile jederzeit nachschlagbar ist und die Entscheidung nicht.
Dazu passende Kurse
Wenn bei euch niemand sicher sagen kann, wo die Rollen liegen, sind Kurse zu Betriebsmastern und Verzeichnisstruktur der schnellste Weg zu einer belastbaren Antwort.
Weil eine Übernahme immer unter Zeitdruck stattfindet, lohnen sich Trainings für den Ausfall einzelner Serverdienste vor dem ersten Ernstfall.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Wie finden wir heraus, welcher Server welche Rolle hält?
Können alle fünf Rollen auf einem Server liegen?
Was passiert, wenn ein Rolleninhaber für ein paar Stunden ausfällt?
Wann ist eine Übernahme statt einer Übertragung richtig?
Darf der alte Rolleninhaber nach einer Übernahme wieder ans Netz?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Rollen bewegen, bevor es der Ernstfall verlangt
Im Aufbaukurs zu den Active Directory Domänendiensten bei cmt überträgst und übernimmst du Betriebsmasterrollen an einer echten Umgebung und siehst dabei, woran ein Wechsel scheitert und wie der Rückbau des alten Halters aussieht.
Passt dazu
- Neuen Domain Controller in eine bestehende Domäne aufnehmen
- Active-Directory-Replikation hängt: mit repadmin und dcdiag zur Ursache
- Domänen- und Gesamtstruktur-Funktionsebene anheben: Voraussetzungen und Reihenfolge
- Active Directory absichern: Tier-Modell, privilegierte Konten und saubere Delegierung