Domain-Controller zu einer bestehenden Domäne hinzufügen: Prüfungen, PowerShell und Nachweise

Ein zusätzlicher Domain-Controller verbessert Ausfallsicherheit und Skalierbarkeit. Werden Vorabprüfungen oder Verifizierungen übersprungen, drohen jedoch Replikationsfehler, Probleme mit dem Domain Name System (DNS) und Fehler bei den Gruppenrichtlinien. Solche Probleme treten häufig auf, wenn Teams einen Domain-Controller zu einer bestehenden Domäne hinzufügen, ohne Zustand und Abhängigkeiten vorher zu prüfen.

Für MSPs und IT-Teams ist ein geprüfter Ablauf entscheidend, um einen Domain-Controller zu einer bestehenden Domäne hinzuzufügen. Dieser Leitfaden liefert ein klares Runbook mit GUI, PowerShell und weiteren Methoden, das sich an Best Practices orientiert.

Domain-Controller zu einer bestehenden Domäne hinzufügen: Schritt für Schritt

Ein neuer Domain-Controller erhöht die Redundanz und sichert die Verfügbarkeit des Verzeichnisses, sofern die Voraussetzungen vorab geprüft wurden. Bevor Sie einen Domain-Controller hinzufügen, müssen folgende Anforderungen erfüllt sein:

📌 Voraussetzungen:

• Sie benötigen administrativen Zugriff auf den Zielserver und die Active Directory (AD)-Domäne sowie Berechtigungen, um neue Domain-Controller (DCs) im Standort anzulegen.
• Für diesen Schritt müssen AD und Domain Name System (DNS) reibungslos funktionieren.
• Erforderlich ist eine korrekte Zeitsynchronisierung, die gegen eine autoritative Network-Time-Protocol-Quelle (NTP) geprüft wurde, insbesondere für den PDC-Emulator (Primärer Domaincontroller) und den neuen Host.
• Zwischen den Domain-Controllern müssen die folgenden Netzwerkports geöffnet sein:
  • Active Directory Domain Services (AD DS)
  • DNS
  • Distributed File System Replication (DFSR)
  • Remote Procedure Call (RPC)
  • Server Message Block (SMB)
• Der Server muss folgendermaßen vorbereitet sein:
  • Eine statische IP-Adresse
  • DNS verweist auf vorhandene Domain-Controller
  • Aktualisiertes Betriebssystem
  • Antiviren-Ausnahmen für AD DS und das Systemvolume (SYSVOL) sind eingeplant.

Schritt 1: Rollen planen und Zustandsprüfungen durchführen

Dieser Schritt ermöglicht eine saubere Planung. So lässt sich sicherstellen, dass sich der neue Domain-Controller nahtlos in Ihren Betrieb einfügt und eine vorhersehbare Replikation sowie Authentifizierung in der gesamten Umgebung unterstützt.

📌 Anwendungsfälle:

• Prüft die Bereitschaft, bevor Sie einen Domain-Controller zu einer bestehenden Domäne hinzufügen.
• Verhindert, dass bei der Heraufstufung Replikations- oder DNS-Probleme entstehen.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf die vorhandenen Domain-Controller und die Berechtigung, Replikations- und DNS-Konfigurationen zu prüfen.
• Erforderlich sind Administratorrechte, um Diagnosebefehle auf den aktuellen Servern auszuführen.

Schritte:

• Entscheiden Sie, ob der neue Domain-Controller DNS hosten und als globaler Katalog fungieren soll, und legen Sie fest, zu welchem Standort er gehört.
• Bestätigen Sie die AD-Standortzuordnungen, den Replikationszustand und die DNS-Funktionalität, bevor Sie fortfahren.
• Führen Sie die folgenden Befehle in PowerShell aus: dcdiag /v, repadmin /replsummary, und prüfen Sie die SRV-Einträge sowie die Zeitsynchronisierung auf allen Domain-Controllern.
• Beheben Sie alle festgestellten Fehler, bevor Sie mit der Installation fortfahren.

Schritt 2: Domain-Controller installieren und heraufstufen

Durch die Heraufstufung wird der Server zu einem aktiven Teil der Domäne und für die Replikation mit den vorhandenen Controllern vorbereitet.

📌 Anwendungsfälle:

• Dieser Schritt bietet eine zuverlässige Methode, um einen Domain-Controller per PowerShell oder GUI hinzuzufügen.
• Er stellt sicher, dass der neue Server mit den richtigen Rollen und Replikationseinstellungen in die Domäne aufgenommen wird.

📌 Voraussetzungen:

• Sie benötigen Administrator-Anmeldeinformationen für den Zielserver und die bestehende Domäne.
• Erforderlich sind die AD-DS-Rolle und die Verwaltungstools auf dem Server.

Schritte:

• Installieren Sie die AD-DS-Binärdateien und die benötigten Verwaltungstools.
• Weg über die GUI: Server-Manager > Verwalten > Rollen und Features hinzufügen > Active Directory Domain Services > Server zu einem Domänencontroller heraufstufen.
• Alternativ können Sie PowerShell nutzen:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName contoso.com -InstallDns:$true -SiteName „SiteA“ -Credential (Get-Credential)

• Halten Sie alle Ausgaben und Zusammenfassungen der Voraussetzungsprüfungen als Nachweis fest.

Schritt 3: Zustand, Standort und Replikation prüfen

Dieser Schritt umfasst die Prüfungen nach der Installation. Sie bestätigen damit, dass der neue Domain-Controller korrekt arbeitet und mit der restlichen Umgebung synchronisiert ist.

📌 Anwendungsfälle:

• Bestätigt Replikation, DNS und Standortzuordnung, nachdem Sie einen neuen Domain-Controller zur bestehenden Domäne hinzugefügt haben.
• Erkennt und behebt Probleme eindeutig, bevor sie Anmeldungen oder die Verarbeitung von Gruppenrichtlinien beeinträchtigen.

📌 Voraussetzungen:

• Sie benötigen Administratorrechte auf allen Domain-Controllern, um Zustands- und Replikationsbefehle auszuführen.
• Erforderlich ist der Zugriff auf Active Directory-Standorte und -Dienste, um Standortkonfiguration und Replikation zu bestätigen.

Schritte:

1. Prüfen Sie nach dem Neustart, ob der neue Domain-Controller korrekt repliziert und in DNS sichtbar ist.
2. Bestätigen Sie die DNS-Registrierung so:
   1. Führen Sie nslookup <new-dc-hostname> aus, um zu prüfen, ob der A-Eintrag aufgelöst wird.
   2. Führen Sie nslookup -type=srv \_ldap.\_tcp.<your-domain> aus, um sicherzustellen, dass der LDAP-SRV-Eintrag gelistet ist.
3. Prüfen Sie den Replikationszustand mit diesen Schritten:
   1. Führen Sie repadmin /showrepl aus, um zu bestätigen, dass Replikationspartnerschaften bestehen und keine Fehler auftreten. Achten Sie darauf, dass der Zeitpunkt unter „Last Success“ aktuell ist.
   2. Führen Sie dcdiag /c /v für einen umfassenden Zustandstest aus und achten Sie dabei auf Fehler.
   3. Führen Sie nltest /dclist:<domain> aus, um den neuen DC in der Liste der Domain-Controller zu sehen.
4. Validieren Sie die kritischen Freigaben mit net share und bestätigen Sie, dass die Freigaben SYSVOL und NETLOGON vorhanden sind.
5. Prüfen Sie Standort und Topologie so:
   1. Öffnen Sie Active Directory-Standorte und -Dienste und bestätigen Sie, dass das neue DC-Objekt im richtigen Standort liegt.
   2. Prüfen Sie, ob die NTDS-Einstellungen unter dem Serverobjekt die erwarteten Verbindungsobjekte der Replikationspartner anzeigen.

Schritt 4: Hardening durchführen und Auswirkungen auf Clients testen

Das Hardening des neuen Domain-Controllers schützt kritische Dienste und stellt sicher, dass sich Endbenutzer:innen anmelden, Richtlinien anwenden und wie erwartet auf Ressourcen zugreifen können.

📌 Anwendungsfälle:

• Validiert Konfigurationen und Sicherheit nach der Bereitstellung gemäß den Best Practices für Domain-Controller.
• Dieser Schritt hilft zu bestätigen, dass Clients und Gruppenrichtlinienobjekte (GPOs) nach der Inbetriebnahme des neuen Controllers normal funktionieren.

📌 Voraussetzungen:

• Sie benötigen lokalen oder remoten administrativen Zugriff auf den neuen Domain-Controller.
• Erforderlich sind Testkonten oder Clientsysteme im selben Standort zur Verifizierung.

Schritte:

• Validieren Sie die Zeitsynchronisierung mit dem PDC-Emulator (Primärer Domaincontroller).
• Richten Sie Antiviren-Ausnahmen für die Verzeichnisse NTDS und SYSVOL ein, um Replikationsverzögerungen zu vermeiden.
• Nehmen Sie den Domain-Controller in die Backup-Aufträge auf und bestätigen Sie ein erfolgreiches Backup des Systemstatus.
• Führen Sie Tests an Workstations für Anmeldung, Kerberos-Authentifizierung und Verarbeitung von Gruppenrichtlinien mit gpupdate /force durch und prüfen Sie die Ereignisprotokolle auf Fehler.

Schritt 5: Ergebnisse prüfen und dokumentieren

Die Dokumentation der Ergebnisse stellt sicher, dass der Domain-Controller die betrieblichen Standards erfüllt und nach der Bereitstellung stabil bleibt. Das hilft auch bei künftigen Audits und Qualitätsprüfungen, insbesondere wenn Sie Ihren gesamten Prozess weiter verfeinern.

📌 Anwendungsfälle:

• Bestätigt den langfristigen Replikationszustand, nachdem Sie einen Domain-Controller zur bestehenden Domäne hinzugefügt haben.
• Erstellt eine Aufzeichnung von Konfigurationen, Validierungen und Korrekturen für Audits oder Peer-Reviews.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf Überwachungsdaten und Befehlsausgaben aus den vorherigen Prüfschritten.
• Erforderlich ist Ihre interne QA-Checkliste oder Ihr Dokumentationsstandard für Domänenänderungen.

Schritte:

• Prüfen Sie die Replikationsstabilität mit geplanten Kontrollen für Distributed File System Replication (DFSR) und halten Sie Aktualisierungen fest.
• Fassen Sie Erkenntnisse, behobene Probleme und Befehlsausgaben in einem strukturierten Änderungsprotokoll zusammen.
• Bestätigen Sie, dass alle Ergebnisse zu Zustand, Replikation und Standortvalidierung die internen QA-Kriterien erfüllen, bevor das Projekt abgeschlossen wird.

Schritt 6: Artefakte und Rollback-Notizen sichern

Das Sichern von Artefakten und Rollback-Details liefert auditfähige Erfolgsnachweise und stellt sicher, dass Sie Änderungen bei Bedarf gefahrlos zurücknehmen können.

📌 Anwendungsfälle:

• Dokumentiert Nachweise zur Bereitstellung für das Hinzufügen eines Domain-Controllers zu einer bestehenden Domäne gemäß der Richtlinie für das Änderungsmanagement.
• So ist ein Rollback möglich, falls später eine Herabstufung oder Behebung nötig wird.

📌 Voraussetzungen:

• Sie benötigen Administratorrechte, um Protokolle, PowerShell-Transkripte und Ereignisdaten vom neuen Domain-Controller zu exportieren.
• Erforderlich ist der Zugriff auf den Arbeitsbereich für Änderungsmanagement oder Dokumentation in Ihrem Unternehmen.

Schritt:

• Exportieren Sie Befehlsausgaben vor und nach der Heraufstufung, Ereigniszusammenfassungen und PowerShell-Transkripte in ein Nachweispaket.
• Dokumentieren Sie einen Rollback-Pfad mit Uninstall-ADDSDomainController und führen Sie die Schritte zur Metadatenbereinigung aus, falls eine Herabstufung erforderlich wird.
• Speichern Sie alle Artefakte in Ihrem Arbeitsbereich für das Änderungsmanagement, für Audits, spätere Nachschlagezwecke oder die Validierung durch Kund:innen.

⚠️ Worauf Sie achten sollten

Best Practices für den Domain-Controller in einer bestehenden Domäne

Beispiel für einen Automatisierungsansatz zur Verifizierung und Nachweissicherung bei der Heraufstufung eines Domain-Controllers

Mit einem PowerShell-Skript können Sie grundlegende Zustandsprüfungen automatisieren und während sowie nach der Heraufstufung eines Domain-Controllers Nachweise sammeln. Wichtige Zustandsprüfungen sind etwa:

• dcdiag /c für den allgemeinen AD-Zustand
• Repadmin /replsummary für den Replikationsstatus
• nslookup -type=srv \_ldap.\_tcp.<domain> zur Bestätigung der DNS-Registrierung
• dfsrdiag oder Abfragen des DFSR-Ereignisprotokolls zur Prüfung der SYSVOL-Replikation
• * w32tm /query /status für die Zeitsynchronisierung

Die Ausgaben all dieser Befehle können Sie auf dem Server speichern. Anschließend packen Sie den Ordner in ein ZIP-Archiv und hängen es als Nachweispaket an Ihr Änderungsprotokoll an.

Nach der Heraufstufung können Sie das Skript so planen, dass es in den ersten 24 Stunden stündlich erneut läuft. So überwachen Sie Replikation, DNS und DFSR-Zustand problemlos.

Domain-Controller und Bereitstellung verifizieren und dokumentieren

Wenn Sie jeden Schritt verifizieren und dokumentieren, wird die Bereitstellung des Domain-Controllers zu einem sicheren und planbaren Prozess. Es empfiehlt sich, zuerst Zustandstests durchzuführen, bei der Heraufstufung klare Parameter zu verwenden und Replikation sowie SYSVOL zu validieren. So arbeitet der neue Controller vorhersehbar und unterstützt Authentifizierung, DNS und Gruppenrichtlinien ohne Unterbrechungen.

Verwandte Themen:

• So fügen Sie unter Windows 10 einen PC zu einer Domäne hinzu
• Fully Qualified Domain Name (FQDN): Was das ist und wozu er dient
• So entfernen Sie einen PC aus einer lokalen Active Directory-Domäne
• So stellen Sie remote eine Verbindung zu Active Directory her und verwalten Benutzer:innen
• So installieren Sie Active Directory-Benutzer und -Computer (ADUC)