Windows Server 2025 / Ajouter un second contrôleur de domaine

Un second contrôleur de domaine rejoint le domaine Active Directory (AD) existant et réplique ses données. Configurez DC2 pour utiliser le DNS fonctionnel de DC1, promouvez-le dans ad.example.test, puis vérifiez la réplication, le DNS et SYSVOL avant de modifier les paramètres des clients.

Préparez DC2 pour le domaine existant

DC1 doit déjà fournir correctement le domaine ad.example.test. Préparez une nouvelle machine virtuelle Windows Server 2025 nommée DC2 avec l'adresse statique 172.24.50.11/24. Avant sa promotion, définissez 172.24.50.10, l'adresse de DC1, comme serveur DNS de DC2.

• Vérifiez l'état de DC1 et la disponibilité d'une sauvegarde exploitable.
• Confirmez le nom et l'adresse IP uniques de DC2, l'heure et les mises à jour.
• Disposez des droits d'administration locale et des autorisations nécessaires à la promotion dans le domaine.
• Vérifiez que les communications nécessaires à AD sont autorisées entre les deux machines virtuelles.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Exécutez ces tests de découverte depuis DC2. Ne dupliquez pas simplement la machine virtuelle DC1 pour la renommer : cette procédure prépare un nouveau serveur. Vérifiez la compatibilité du niveau fonctionnel ; ne relevez pas celui de la forêt sans planification.

Ajoutez un contrôleur au domaine existant

1. Sur DC2, installez les Services de domaine Active Directory (AD DS) et leurs outils.
2. Dans le Gestionnaire de serveur, ouvrez l'assistant de promotion depuis la notification après installation.
3. Sélectionnez Ajouter un contrôleur de domaine à un domaine existant, et non Ajouter une nouvelle forêt.
4. Indiquez ad.example.test et un compte de domaine autorisé à promouvoir DC2.
5. Vérifiez les options DNS et catalogue global ainsi que le site AD prévu ; ce laboratoire utilise un contrôleur en écriture, et non un contrôleur de domaine en lecture seule (RODC).
6. Définissez le mot de passe du mode de restauration des services d'annuaire (DSRM) propre à DC2, contrôlez les chemins et les prérequis, puis installez et redémarrez.

Le site AD choisi doit correspondre au plan des sites et sous-réseaux. Ce laboratoire peut n'avoir que le site par défaut ; ne généralisez pas ce choix à un réseau de production. Consultez Install-ADDSDomainController.

Utilisez l'alternative PowerShell si le serveur n'est pas encore promu

Exécutez ces commandes sur DC2 si le serveur n'est pas déjà promu. Saisissez les identifiants du domaine et le mot de passe DSRM lorsque les invites apparaissent, sans les placer en clair dans le script. Ces deux secrets remplissent des rôles différents :

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Un serveur neuf peut fournir des identifiants de domaine au moment de la promotion même s'il n'était pas déjà membre du domaine. Après le redémarrage, vérifiez l'accès à la console avec le compte administrateur de domaine prévu.

Vérifiez la réplication, le DNS et SYSVOL

La présence de DC2 dans une liste ne prouve pas que la réplication est terminée. Dans une session administrative autorisée, examinez les partenaires, les partitions, la dernière réplication réussie et les erreurs :

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Exécutez la vérification des partages SYSVOL et NETLOGON sur DC2. Depuis CLIENT1, interrogez séparément les serveurs DNS 172.24.50.10 et 172.24.50.11 pour le même enregistrement SRV du domaine. Une zone DNS de laboratoire stockée dans un fichier, telle que lab.example.test, ne se réplique pas automatiquement via AD comme une zone intégrée à AD.

Pour vérifier les données, modifiez la description d'un objet de test sur DC1, lisez-la sur DC2, puis restaurez la valeur initiale. Ne modifiez pas un compte de production pour cet essai. Consultez les diagnostics des échecs de réplication pour examiner les dépendances et les erreurs.

Mettez à jour le DNS du client uniquement après validation

Une fois le DNS de DC2 validé, testez un client ou serveur membre avec les deux résolveurs internes. Vérifiez la découverte du domaine, l'ouverture de session et la résolution de noms avant de modifier les options DHCP ou les réglages de tout le parc.

Un second contrôleur ne réplique pas automatiquement les baux DHCP ni les fichiers, et toutes les zones DNS ne sont pas forcément intégrées à AD. La promotion ne transfère pas non plus les rôles FSMO. Deux machines virtuelles sur le même hôte restent exposées à sa panne. Si vous devez retirer DC2, vérifiez les dépendances et rétrogradez-le correctement ; ne supprimez pas simplement sa machine virtuelle. Conservez les deux contrôleurs pour les exercices suivants.