Windows Server 2025 / Adicionar um segundo controlador de domínio

Um segundo controlador de domínio ingressa no domínio Active Directory (AD) existente e replica seus dados. Configure o DC2 para usar o DNS funcional do DC1, promova-o em ad.example.test e verifique replicação, DNS e SYSVOL antes de alterar as configurações dos clientes.

Prepare o DC2 para o domínio existente

O DC1 já deve atender corretamente o domínio ad.example.test. Prepare uma nova máquina virtual Windows Server 2025 chamada DC2 com endereço estático 172.24.50.11/24. Antes da promoção, configure 172.24.50.10, o endereço do DC1, como DNS do DC2.

• Verifique a integridade do DC1 e a disponibilidade de um backup utilizável.
• Confirme o nome e o IP exclusivos do DC2, o horário e as atualizações.
• Garanta direitos de administração local e permissão para promover o servidor no domínio.
• Confira a comunicação exigida pelo AD entre as duas máquinas virtuais do laboratório.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Execute os testes de descoberta no DC2. Não duplique simplesmente a VM do DC1 para renomeá-la: este procedimento começa com um servidor novo. Confirme a compatibilidade do nível funcional; não eleve o nível da floresta sem planejamento.

Adicione um controlador ao domínio existente

1. No DC2, instale os Serviços de Domínio do Active Directory (AD DS) e suas ferramentas.
2. No Gerenciador do Servidor, abra o assistente de promoção pela notificação após a instalação.
3. Escolha Adicionar um controlador de domínio a um domínio existente, não Adicionar uma nova floresta.
4. Informe ad.example.test e uma conta de domínio autorizada a promover o DC2.
5. Confira as opções de DNS e catálogo global e o site AD planejado; este laboratório usa um controlador gravável, não um controlador de domínio somente leitura (RODC).
6. Defina a senha do Modo de Restauração dos Serviços de Diretório (DSRM) específica do DC2, confira caminhos e pré-requisitos, instale e reinicie.

O site AD escolhido deve corresponder ao planejamento de sites e sub-redes. Este laboratório pode usar apenas o site padrão; não generalize isso para produção. Consulte Install-ADDSDomainController.

Use a alternativa do PowerShell se ainda não tiver sido promovido

Execute esses comandos no DC2 somente se ele ainda não foi promovido. Informe a credencial de domínio e a senha DSRM nas solicitações interativas, sem colocá-las em texto simples no código. São segredos com finalidades diferentes:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Um servidor novo pode fornecer credenciais do domínio durante a promoção mesmo sem ter ingressado anteriormente como membro. Depois da reinicialização, confira o acesso ao console com a conta administradora de domínio prevista.

Verifique replicação, DNS e SYSVOL

Ver o DC2 em uma lista não comprova a conclusão da replicação. Em uma sessão administrativa autorizada, examine parceiros, partições, a última replicação bem-sucedida e os erros:

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Execute a verificação dos compartilhamentos SYSVOL e NETLOGON no DC2. No CLIENT1, consulte separadamente os servidores DNS 172.24.50.10 e 172.24.50.11 para o mesmo registro SRV do domínio. Uma zona de laboratório armazenada em arquivo, como lab.example.test, não se replica automaticamente pelo AD como uma zona integrada ao AD.

Para conferir os dados, altere a descrição de um objeto de teste no DC1, leia-a pelo DC2 e restaure o valor original. Não modifique contas de produção nesse teste. Consulte os diagnósticos de falhas de replicação para investigar dependências e erros.

Atualize o DNS do cliente apenas após a validação

Depois de validar o DNS do DC2, teste um cliente ou servidor membro com os dois resolvedores internos. Confira descoberta do domínio, login e resolução de nomes antes de mudar as opções DHCP ou a configuração de todos os dispositivos.

Um segundo controlador não replica automaticamente concessões DHCP nem arquivos, e nem todas as zonas DNS estão integradas ao AD. A promoção também não transfere funções FSMO. Duas VMs no mesmo host continuam sujeitas à falha desse host. Para remover o DC2, confira as dependências e rebaixe-o corretamente; não exclua apenas a VM. Mantenha os dois controladores para os exercícios seguintes.