Como adicionar um controlador de domínio a um domínio existente com verificações, PowerShell e evidências

Adicionar um controlador de domínio melhora a resiliência e a escalabilidade. Mas pular verificações prévias ou validações pode gerar erros de replicação, problemas de Domain Name System (DNS) e falhas na Política de Grupo. Esses problemas costumam aparecer quando as equipes tentam adicionar um controlador de domínio a um domínio existente sem validar a integridade ou as dependências.

Para MSPs e equipes de TI, é essencial seguir um processo validado para adicionar um controlador de domínio a um domínio existente. Este guia traz um runbook claro com a interface gráfica, o PowerShell e outros métodos alinhados às melhores práticas.

Passos para adicionar um controlador de domínio a um domínio existente

Um novo controlador de domínio aumenta a redundância e garante a disponibilidade do diretório, desde que os pré-requisitos sejam verificados antes. Antes de adicionar um controlador de domínio, é imprescindível atender aos seguintes requisitos:

📌 Pré-requisitos:

• Acesso administrativo ao servidor de destino e ao domínio do Active Directory (AD), além de permissões para criar novos controladores de domínio (DCs) no site.
• Um ambiente de AD e Domain Name System (DNS) funcionando sem problemas.
• Sincronização de horário precisa e verificada em relação a uma fonte autoritativa de Network Time Protocol (NTP), principalmente para o Primary Domain Controller (PDC) Emulator e para o novo host.
• As seguintes portas de rede abertas entre os controladores de domínio:
  • Active Directory Domain Services (AD DS)
  • DNS
  • Distributed File System Replication (DFSR)
  • Remote Procedure Call (RPC)
  • Server Message Block (SMB)
• O servidor precisa estar preparado com:
  • Um endereço IP estático
  • DNS apontando para os controladores de domínio existentes
  • Sistema operacional (SO) atualizado
  • Exclusões de antivírus planejadas para o AD DS e o System Volume (SYSVOL).

Passo 1: planeje as funções e execute verificações de integridade

Este passo permite planejar com calma. Ele garante que o novo controlador de domínio se integre sem atritos à operação, apoiando replicação e autenticação previsíveis em todo o ambiente.

📌 Casos de uso:

• Valida a prontidão antes de adicionar um controlador de domínio a um domínio existente.
• Evita introduzir problemas de replicação ou de DNS durante a promoção.

📌 Pré-requisitos:

• Acesso aos controladores de domínio existentes e permissão para revisar as configurações de replicação e DNS.
• Direitos de administrador para executar comandos de diagnóstico nos servidores atuais.

Ações:

• Decida se o novo controlador de domínio hospedará o DNS, atuará como Catálogo Global e defina a qual site ele pertence.
• Confirme os mapeamentos de sites do AD, a integridade da replicação e o funcionamento do DNS antes de prosseguir.
• Execute os seguintes comandos no PowerShell: dcdiag /v, repadmin /replsummary e verifique os registros SRV e a sincronização de horário em todos os controladores de domínio.
• Resolva todos os erros identificados antes de continuar a instalação.

Passo 2: instale e promova o controlador de domínio

A promoção do servidor o torna parte ativa do domínio e o prepara para replicar com os controladores existentes.

📌 Casos de uso:

• Oferece um método confiável para adicionar um controlador de domínio pelo PowerShell ou pela interface gráfica.
• Garante que o novo servidor entre no domínio com as funções e as configurações de replicação corretas.

📌 Pré-requisitos:

• Credenciais de administrador para o servidor de destino e para o domínio existente.
• A função AD DS e as ferramentas de gerenciamento instaladas no servidor.

Ações:

• Instale os binários do AD DS e as ferramentas de gerenciamento necessárias.
• Caminho na interface gráfica: Gerenciador do Servidor > Gerenciar > Adicionar Funções e Recursos > Serviços de Domínio Active Directory > Promover este servidor a controlador de domínio.
• Também dá para fazer isso pelo PowerShell:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName contoso.com -InstallDns:$true -SiteName "SiteA" -Credential (Get-Credential)

• Registre todas as saídas e os resumos das verificações de pré-requisitos como evidência

Passo 3: verifique integridade, site e replicação

Este passo cobre as verificações pós-instalação e ajuda a confirmar que o novo controlador de domínio funciona corretamente e está sincronizado com o restante do ambiente.

📌 Casos de uso:

• Confirma replicação, DNS e posicionamento no site depois de adicionar um novo controlador de domínio ao domínio existente.
• Detecta e resolve problemas antes que eles afetem logons ou o processamento da Política de Grupo.

📌 Pré-requisitos:

• Direitos administrativos em todos os controladores de domínio para executar comandos de integridade e replicação.
• Acesso a Sites e Serviços do Active Directory para confirmar a configuração do site e a replicação.

Ações:

1. Após a reinicialização, confirme que o novo controlador de domínio está replicando corretamente e visível no DNS.
2. Confirme o registro no DNS assim:
   1. Execute nslookup <new-dc-hostname> para verificar se o registro A é resolvido.
   2. Execute nslookup -type=srv \_ldap.\_tcp.<your-domain> para garantir que o registro SRV de LDAP esteja listado.
3. Verifique a integridade da replicação com os passos a seguir:
   1. Execute repadmin /showrepl para confirmar que as parcerias de replicação foram estabelecidas e não apresentam falhas. Verifique se o horário em Last Success é recente.
   2. Execute dcdiag /c /v para um teste amplo de integridade, prestando atenção em qualquer erro.
   3. Execute nltest /dclist:<domain> para ver o novo DC na lista de controladores de domínio.
4. Valide os compartilhamentos críticos executando net share para confirmar a presença dos compartilhamentos SYSVOL e NETLOGON.
5. Verifique o site e a topologia com os passos a seguir:
   1. Abra Sites e Serviços do Active Directory e confirme que o objeto do novo DC está no site correto.
   2. Verifique se as Configurações NTDS no objeto do servidor mostram os objetos de conexão esperados dos parceiros de replicação.

Passo 4: reforce a segurança e teste o impacto nos clientes

Reforçar a segurança do novo controlador de domínio protege serviços críticos e confirma que os usuários finais conseguem fazer logon, aplicar políticas e acessar recursos normalmente.

📌 Casos de uso:

• Valida as configurações e a segurança pós-implantação de acordo com as melhores práticas para controladores de domínio.
• Ajuda a confirmar que clientes e Objetos de Política de Grupo (GPOs) vão operar normalmente depois que o novo controlador entrar em produção.

📌 Pré-requisitos:

• Acesso administrativo local ou remoto ao novo controlador de domínio.
• Contas de teste ou sistemas cliente no mesmo site para a verificação.

Ações:

• Valide a sincronização de horário com o Primary Domain Controller (PDC) Emulator.
• Aplique exclusões de antivírus para os diretórios NTDS e SYSVOL para evitar atrasos de replicação.
• Inclua o controlador de domínio nos jobs de backup e confirme um backup bem-sucedido do estado do sistema.
• Faça testes em estações de trabalho para logon, autenticação Kerberos e processamento da Política de Grupo com gpupdate /force e revise os logs de eventos em busca de erros.

Passo 5: revise e documente os resultados

Documentar os resultados garante que o controlador de domínio atenda aos padrões operacionais e permaneça estável depois da implantação. Isso também ajuda em auditorias e verificações de qualidade futuras, principalmente ao refinar todo o processo.

📌 Casos de uso:

• Confirma a integridade da replicação no longo prazo depois de adicionar um controlador de domínio ao domínio existente.
• Cria um registro de configurações, validações e correções para auditorias ou revisão por pares.

📌 Pré-requisitos:

• Acesso aos dados de monitoramento e às saídas dos comandos dos passos de verificação anteriores.
• A lista de verificação interna de QA ou o padrão de documentação para mudanças de domínio.

Ações:

• Verifique a estabilidade da replicação com checagens agendadas de Distributed File System Replication (DFSR) e registre as atualizações.
• Resuma as constatações, os problemas resolvidos e as saídas dos comandos em um registro de mudança estruturado.
• Confirme que todos os resultados de integridade, replicação e validação de site atendem aos critérios internos de QA antes de encerrar o projeto.

Passo 6: reúna artefatos e notas de reversão

Reunir artefatos e detalhes de reversão oferece prova auditável do sucesso e garante que você possa desfazer mudanças com segurança, se necessário.

📌 Casos de uso:

• Registra as evidências da implantação de como adicionar um controlador de domínio a um domínio existente em conformidade com a política de gerenciamento de mudanças.
• Garante prontidão para reversão caso seja preciso rebaixar o servidor ou fazer uma remediação depois.

📌 Pré-requisitos:

• Direitos administrativos para exportar logs, transcrições do PowerShell e dados de eventos do novo controlador de domínio.
• Acesso ao espaço de trabalho de gerenciamento de mudanças ou de documentação da sua organização.

Ação:

• Exporte as saídas dos comandos antes e depois da promoção, os resumos de eventos e as transcrições do PowerShell para um pacote de evidências.
• Documente um caminho de reversão usando Uninstall-ADDSDomainController e execute as etapas de limpeza de metadados caso o rebaixamento seja necessário.
• Guarde todos os artefatos no espaço de trabalho de gerenciamento de mudanças para auditorias, consultas futuras ou validação com o cliente.

⚠️ Pontos de atenção

Melhores práticas para o controlador de domínio em um domínio existente

Exemplo de ponto de automação para verificação e evidências da promoção do controlador de domínio

Você pode usar um script do PowerShell para automatizar verificações básicas de integridade e coletar evidências durante e depois da promoção do controlador de domínio. Dá para executar checagens importantes como:

• dcdiag /c para a integridade geral do AD
• Repadmin /replsummary para o status da replicação
• nslookup -type=srv \_ldap.\_tcp.<domain> para confirmar o registro no DNS
• dfsrdiag ou consultas aos logs de eventos do DFSR para checar a replicação do SYSVOL
• * w32tm /query /status para a sincronização de horário

Salve as saídas de todos os comandos acima no servidor. Depois, compacte a pasta e anexe ao registro de mudança como pacote de evidências.

Após a promoção, agende o script para rodar de novo a cada hora durante as primeiras 24 horas. Assim dá para monitorar a integridade da replicação, do DNS e do DFSR sem sobressaltos.

Verificação e documentação do controlador de domínio e da implantação

Verificar e documentar cada passo garante que a implantação do controlador de domínio seja um processo seguro e previsível. O ideal é executar os testes de integridade primeiro, usar parâmetros claros durante a promoção e validar a replicação e o SYSVOL. Isso faz o novo controlador operar de forma previsível e dar suporte a autenticação, DNS e Política de Grupo sem interrupções.

Temas relacionados:

• Como adicionar um PC a um domínio no Windows 10
• Fully Qualified Domain Name (FQDN): o que é e para que serve
• Como remover um PC de um domínio local do Active Directory
• Como se conectar ao Active Directory remotamente e gerenciar usuários
• Como instalar o Usuários e Computadores do Active Directory (ADUC)