Zo voegt u een domein controller toe aan een bestaand domein: controles, PowerShell en bewijs

Een extra domein controller verbetert de weerbaarheid en de schaalbaarheid. Slaat u de voorbereidende controles of de verificatie over, dan kunt u te maken krijgen met replicatiefouten, problemen met Domain Name System (DNS) en mislukte Group Policy-verwerking. Die problemen duiken vaak op wanneer teams een domein controller aan een bestaand domein proberen toe te voegen zonder de gezondheid of de afhankelijkheden te valideren.

Voor MSP’s en IT-teams is het essentieel om een geverifieerd proces te volgen om een domein controller toe te voegen aan een bestaand domein. Deze gids biedt een helder draaiboek via de GUI, PowerShell en andere methoden die aansluiten op de beste praktijken.

Stappen om een domein controller toe te voegen aan een bestaand domein

Een nieuwe domein controller vergroot de redundantie en zorgt voor beschikbaarheid van de directory, mits u de vereisten eerst controleert. Voordat u een domein controller toevoegt, moet u aan de volgende voorwaarden voldoen:

📌 Vereisten:

• U hebt beheerderstoegang nodig tot de doelserver en het Active Directory (AD)-domein, plus rechten om nieuwe domain controllers (DC’s) in de site aan te maken.
• Deze stap vereist een AD- en Domain Name System (DNS)-omgeving die probleemloos werkt.
• Hiervoor is een nauwkeurige tijdsynchronisatie nodig die is geverifieerd tegen een gezaghebbende Network Time Protocol (NTP)-bron, zeker voor de PDC-emulator (Primary Domain Controller) en de nieuwe host.
• Hiervoor moeten de volgende netwerkpoorten open staan tussen domain controllers:
  • Active Directory Domain Services (AD DS)
  • DNS
  • Distributed File System Replication (DFSR)
  • Remote Procedure Call (RPC)
  • Server Message Block (SMB)
• De server moet zijn voorbereid met het volgende:
  • Een statisch IP-adres
  • DNS die naar bestaande domain controllers verwijst
  • Een bijgewerkt besturingssysteem (OS)
  • Antivirusuitsluitingen die zijn gepland voor AD DS en het System Volume (SYSVOL).

Stap 1: rollen plannen en gezondheidscontroles uitvoeren

Deze stap stelt u in staat om goed te plannen. Zo zorgt u ervoor dat de nieuwe domein controller naadloos in uw omgeving past en dat replicatie en authenticatie voorspelbaar blijven verlopen.

📌 Toepassingen:

• Valideert de gereedheid voordat u een domein controller toevoegt aan een bestaand domein.
• Voorkomt dat u tijdens de promotie replicatie- of DNS-problemen introduceert.

📌 Vereisten:

• U hebt toegang nodig tot bestaande domain controllers en rechten om replicatie- en DNS-configuraties in te zien.
• Hiervoor hebt u beheerdersrechten nodig om diagnostische opdrachten op de huidige servers uit te voeren.

Acties:

• Bepaal of de nieuwe domein controller DNS gaat hosten, als Global Catalog gaat fungeren en tot welke site hij behoort.
• Controleer de AD-sitetoewijzingen, de replicatiegezondheid en de DNS-werking voordat u verdergaat.
• Voer de volgende opdrachten uit in PowerShell: dcdiag /v, repadmin /replsummary en controleer de SRV-records en de tijdsynchronisatie op alle domain controllers.
• Los alle gevonden fouten op voordat u doorgaat met de installatie.

Stap 2: de domein controller installeren en promoveren

Door de server te promoveren, maakt u hem een actief onderdeel van het domein en bereidt u hem voor op replicatie met bestaande controllers.

📌 Toepassingen:

• Deze stap biedt een betrouwbare manier om een domein controller toe te voegen via PowerShell of de GUI.
• Zo treedt de nieuwe server toe tot het domein met de juiste rollen en replicatie-instellingen.

📌 Vereisten:

• U hebt beheerdersreferenties nodig voor zowel de doelserver als het bestaande domein.
• Hiervoor moeten de AD DS-rol en de beheerprogramma’s op de server zijn geïnstalleerd.

Acties:

• Installeer de AD DS-binaries en de benodigde beheerprogramma’s.
• Route in de GUI: Serverbeheer > Beheren > Functies en onderdelen toevoegen > Active Directory Domain Services > Deze server tot domeincontroller promoveren.
• U kunt hiervoor ook PowerShell gebruiken:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName contoso.com -InstallDns:$true -SiteName "SiteA" -Credential (Get-Credential)

• Leg alle uitvoer en samenvattingen van de controles op vereisten vast als bewijs

Stap 3: gezondheid, site en replicatie verifiëren

Deze stap behandelt de controles na de installatie. Daarmee bevestigt u dat de nieuwe domein controller correct werkt en synchroon loopt met de rest van de omgeving.

📌 Toepassingen:

• Bevestigt de replicatie, DNS en siteplaatsing nadat u een nieuwe domein controller aan het bestaande domein hebt toegevoegd.
• Spoort problemen duidelijk op en lost ze op voordat ze aanmeldingen of de verwerking van Group Policy raken.

📌 Vereisten:

• U hebt beheerdersrechten nodig op alle domain controllers om gezondheids- en replicatieopdrachten uit te voeren.
• Hiervoor hebt u toegang nodig tot Active Directory-sites en -services om de siteconfiguratie en de replicatie te bevestigen.

Acties:

1. Controleer na de reboot of de nieuwe domein controller goed repliceert en zichtbaar is in DNS.
2. Bevestig de DNS-registratie op deze manier:
   1. Voer nslookup <new-dc-hostname> uit om te controleren of het A-record wordt omgezet.
   2. Voer nslookup -type=srv \_ldap.\_tcp.<your-domain> uit om te controleren of het LDAP SRV-record vermeld staat.
3. Controleer de replicatiegezondheid met de volgende stappen:
   1. Voer repadmin /showrepl uit om te bevestigen dat de replicatiepartnerschappen tot stand zijn gekomen en dat er geen fouten zijn. Controleer of het tijdstip bij Last Success recent is.
   2. Voer dcdiag /c /v uit voor een brede gezondheidstest en let daarbij op eventuele fouten.
   3. Voer nltest /dclist:<domain> uit om de nieuwe DC in de lijst met domain controllers te zien.
4. Valideer de kritieke shares door net share uit te voeren en te bevestigen dat de SYSVOL- en NETLOGON-shares aanwezig zijn.
5. Controleer de site en de topologie met de volgende stappen:
   1. Open Active Directory-sites en -services en bevestig dat het nieuwe DC-object in de juiste site is geplaatst.
   2. Controleer of de NTDS-instellingen onder het serverobject de verwachte verbindingsobjecten van de replicatiepartners tonen.

Stap 4: verharden en de impact op clients testen

Door de nieuwe domein controller te verharden, beschermt u kritieke services en controleert u of eindgebruikers kunnen aanmelden, beleid kunnen toepassen en toegang hebben tot resources zoals verwacht.

📌 Toepassingen:

• Valideert de configuraties en de beveiliging na uitrol volgens de beste praktijken voor domain controllers.
• Deze stap helpt bevestigen dat clients en Group Policy Objects (GPO’s) normaal blijven werken zodra de nieuwe controller live gaat.

📌 Vereisten:

• U hebt lokale of externe beheerderstoegang nodig tot de nieuwe domein controller.
• Hiervoor hebt u testaccounts of clientsystemen in dezelfde site nodig ter verificatie.

Acties:

• Valideer de tijdsynchronisatie met de PDC-emulator (Primary Domain Controller).
• Stel antivirusuitsluitingen in voor de NTDS- en SYSVOL-mappen om replicatievertraging te voorkomen.
• Voeg de domein controller toe aan de back-uptaken en bevestig een geslaagde back-up van de systeemstatus.
• Voer tests uit op een werkplek voor aanmelden, Kerberos-authenticatie en de verwerking van Group Policy met gpupdate /force en bekijk het gebeurtenissenlogboek op fouten.

Stap 5: resultaten beoordelen en documenteren

Door de resultaten te documenteren, zorgt u ervoor dat de domein controller aan de operationele standaarden voldoet en stabiel blijft na de uitrol. Dat helpt ook bij toekomstige audits en kwaliteitscontroles, vooral wanneer u uw hele proces verder aanscherpt.

📌 Toepassingen:

• Dit bevestigt de replicatiegezondheid op lange termijn nadat u een domein controller aan het bestaande domein hebt toegevoegd.
• Legt configuraties, validaties en oplossingen vast voor audits of collegiale toetsing.

📌 Vereisten:

• U hebt toegang nodig tot monitoringgegevens en de opdrachtuitvoer uit de eerdere verificatiestappen.
• Hiervoor hebt u uw interne QA-checklist of documentatiestandaard voor domeinwijzigingen nodig.

Acties:

• Controleer de replicatiestabiliteit met geplande controles voor Distributed File System Replication (DFSR) en leg de updates vast.
• Vat de bevindingen, opgeloste problemen en opdrachtuitvoer samen in een gestructureerd wijzigingsrapport.
• Bevestig dat alle resultaten van de gezondheids-, replicatie- en sitevalidatie aan de interne QA-criteria voldoen voordat u het project afsluit.

Stap 6: artefacten en terugdraai-aantekeningen vastleggen

Het vastleggen van artefacten en terugdraaidetails levert auditklaar bewijs van succes en zorgt ervoor dat u wijzigingen zo nodig veilig kunt terugdraaien.

📌 Toepassingen:

• Legt het uitrolbewijs vast voor het toevoegen van een domein controller aan een bestaand domein, in overeenstemming met het wijzigingsbeheerbeleid.
• Zo bent u klaar om terug te draaien als later degradatie of herstel nodig is.

📌 Vereisten:

• U hebt beheerdersrechten nodig om logboeken, PowerShell-transcripties en gebeurtenisgegevens van de nieuwe domein controller te exporteren.
• Hiervoor hebt u toegang nodig tot de wijzigingsbeheer- of documentatieomgeving van uw organisatie.

Actie:

• Exporteer de opdrachtuitvoer van vóór en na de promotie, de gebeurtenissamenvattingen en de PowerShell-transcripties naar een bewijspakket.
• Documenteer een terugdraaiprocedure met Uninstall-ADDSDomainController en voer de stappen voor metadataopschoning uit als degradatie nodig blijkt.
• Bewaar alle artefacten in uw wijzigingsbeheeromgeving voor audits, toekomstige naslag of validatie door de klant.

⚠️ Waar u op moet letten

Beste praktijken voor de domein controller in een bestaand domein

Voorbeeld van automatisering bij verificatie en bewijsvoering rond de promotie van een domein controller

U kunt een PowerShell-script gebruiken om basiscontroles te automatiseren en bewijs te verzamelen tijdens en na de promotie van een domein controller. U kunt belangrijke gezondheidscontroles uitvoeren, zoals:

• dcdiag /c voor de algemene gezondheid van AD
• Repadmin /replsummary voor de replicatiestatus
• nslookup -type=srv \_ldap.\_tcp.<domain> om de DNS-registratie te bevestigen
• dfsrdiag of query’s op het DFSR-gebeurtenissenlogboek om de SYSVOL-replicatie te controleren
• * w32tm /query /status voor de tijdsynchronisatie

U kunt de uitvoer van alle bovengenoemde opdrachten op de server opslaan. Daarna kunt u de map zippen en als bewijspakket aan uw wijzigingsrapport koppelen.

Na de promotie kunt u het script het eerste etmaal elk uur opnieuw laten draaien. Zo houdt u de replicatie, DNS en DFSR-gezondheid moeiteloos in de gaten.

De domein controller en de uitrol verifiëren en documenteren

Door elke stap te verifiëren en te documenteren, wordt de uitrol van een domein controller een veilig en voorspelbaar proces. Het is verstandig om eerst gezondheidstests uit te voeren, tijdens de promotie heldere parameters te gebruiken en de replicatie en SYSVOL te valideren. Zo werkt de nieuwe controller voorspelbaar en ondersteunt hij authenticatie, DNS en Group Policy zonder verstoring.

Gerelateerde onderwerpen:

• Een pc toevoegen aan een domein in Windows 10
• Fully Qualified Domain Name (FQDN): wat het is & wat het doet
• Een pc verwijderen uit een lokaal Active Directory-domein
• Op afstand verbinding maken met Active Directory en gebruikers beheren
• Active Directory (AD) Users and Computers (ADUC) installeren