Windows Server 2025 / Come aggiungere un secondo controller di dominio

Per aggiungere un secondo controller di dominio in Windows Server 2025, installare i Servizi di dominio Active Directory (AD DS) su DC2 e promuoverlo nel dominio ad.example.test esistente. Il controller aggiuntivo replica i dati della directory e fornisce autenticazione, senza creare una nuova foresta. Verificare replica AD, DNS, SYSVOL e NETLOGON prima di modificare il DNS dei client.

Preparare DC2 per il dominio esistente

DC1 deve già fornire correttamente ad.example.test e DNS all’indirizzo 172.24.50.10. Preparare una nuova VM Windows Server 2025 chiamata DC2 con IP statico 172.24.50.11/24 nella stessa rete isolata; /24 corrisponde alla maschera 255.255.255.0. Prima della promozione usare DNS 172.24.50.10 e verificare l’accesso amministrativo dalla console. Non affidarsi soltanto al DNS locale ancora da configurare, né usare DNS pubblici per individuare il dominio. Le raccomandazioni DNS per i controller di dominio indicano di usare un DNS di dominio già funzionante durante l’aggiunta e di verificare la replica prima di dipendere dal proprio DNS.

• Verificare AD e DNS su DC1, disponibilità dei backup e procedura di ripristino. Un controller aggiuntivo non è un backup.
• Controllare nome DC2 e IP 172.24.50.11 univoci, rete isolata condivisa, ora e aggiornamenti.
• Preparare l’amministrazione locale del server per installare il ruolo e un account di dominio autorizzato alla promozione, normalmente membro di Domain Admins per un DC aggiuntivo. Riservare questo account alla gestione.
• Verificare il traffico AD necessario tra le due VM, inclusi DNS, autenticazione e replica. Una query DNS o un ping riusciti non provano tutti i protocolli; controllare regole e ambito del firewall senza disattivarlo.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Eseguire queste interrogazioni da DC2. La prima interroga esplicitamente 172.24.50.10 per il record di servizio e deve restituire il controller previsto, per esempio dc1.ad.example.test. Nltest deve individuare un controller per ad.example.test tramite la configurazione del server. Risolvere errori di rilevamento e comunicazione prima di ripetere le credenziali. Questa procedura usa un server nuovo: clonare DC1 e rinominarlo non è equivalente. Controllare i livelli di funzionalità effettivi e la compatibilità di Windows Server 2025 con il dominio. Non innalzare una foresta di produzione senza un piano per riprodurre il laboratorio.

Aggiungere il controller al dominio esistente

1. Su DC2 aprire Server Manager → Gestisci → Aggiungi ruoli e funzionalità. Scegliere l’installazione basata su ruoli, confermare DC2 come destinazione e installare Servizi di dominio Active Directory con gli strumenti richiesti.
2. Controllare il completamento dell’installazione del ruolo e scegliere Promuovi questo server a controller di dominio nella notifica successiva. Il ruolo installato da solo non configura il controller.
3. In Configurazione distribuzione selezionare Aggiungi un controller di dominio a un dominio esistente. Non creare una foresta o un dominio nuovo.
4. Specificare ad.example.test e credenziali autorizzate, controllando dominio e account. L’account locale di DC2 da solo non concede diritti su AD.
5. Controllare DNS, catalogo globale (GC, Global Catalog) e sito previsto. Il laboratorio usa un DC scrivibile con DNS e catalogo globale, senza scegliere un controller di dominio di sola lettura (RODC, Read-Only Domain Controller).
6. Inserire e confermare la password della modalità ripristino servizi directory (DSRM) di DC2, conservarla in sicurezza e verificare percorsi di database, log e SYSVOL senza volumi ReFS per questi dati. Valutare avvisi e risolvere errori di prerequisiti prima di installare, mantenendo la console per il riavvio.

Il sito deve corrispondere alla progettazione di subnet e siti Active Directory. Un piccolo laboratorio può mostrare Default-First-Site-Name, ma questo nome non è una regola per la produzione. Senza -SiteName la scelta dipende dalla subnet associata e, in assenza di associazione, dal sito dell’origine di replica. La documentazione di Install-ADDSDomainController descrive il comportamento. Verificare sito scelto e connettività, senza creare una topologia diversa soltanto per eliminare un avviso.

Usare PowerShell prima della promozione

Il blocco seguente è un’alternativa alla procedura grafica, da usare solo se DC2 non è già stato promosso. Aprire Windows PowerShell come amministratore su DC2. La prima riga installa ruolo e strumenti; se è stato soltanto installato il ruolo tramite interfaccia, questa parte è già completa. Get-Credential richiede un account di dominio autorizzato alla promozione. Install-ADDSDomainController aggiunge DC2 al dominio indicato e installa DNS. La password della modalità ripristino servizi directory (DSRM, Directory Services Restore Mode) viene richiesta separatamente per DC2. Ha una funzione diversa dall’accesso al dominio e non va inserita in chiaro in script o schermate:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Un server appena installato può fornire credenziali di dominio durante la promozione anche se non è stato prima aggiunto come membro. Leggere e confermare le richieste nella console, comprese password DSRM e conferma, mantenendo l’accesso alla VM. Il comando omette -NoRebootOnCompletion, quindi al termine dell’installazione è previsto un riavvio. Accedere poi con l’amministratore di dominio previsto e controllare il DNS effettivo della scheda. Non ripetere la promozione solo perché la sessione si è disconnessa. Conservare un DNS DC1 funzionante durante la verifica della replica in entrata e in uscita, prima di affidare DC2 al proprio DNS.

Verificare replica, DNS e SYSVOL

Vedere DC2 in un elenco non dimostra che tutti i dati siano convergenti. Eseguire il blocco in una console amministrativa con privilegi elevati su DC2, con moduli e strumenti AD installati. Get-ADDomainController mostra controller, indirizzi, siti e stato di catalogo globale. Repadmin riepiloga errori e mostra i partner di replica in entrata di DC2; dcdiag indirizza il test DNS a DC2. L’ultima riga interroga condivisioni locali e deve quindi essere eseguita realmente su DC2, non su un diverso computer di amministrazione:

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Controllare dc1.ad.example.test e dc2.ad.example.test con indirizzi e siti previsti. In repadmin /replsummary esaminare errori, tempo dall’ultima replica e tentativi effettivi: zero errori senza successi recenti non basta. In /showrepl DC2 controllare partner e ciascuna partizione attesa. Ripetere la riga repadmin /showrepl DC2 sostituendo DC2 con DC1, verificandone i partner e le partizioni in entrata prima di considerare confermate entrambe le direzioni.

Get-SmbShare deve elencare SYSVOL e NETLOGON su DC2. Da CLIENT1 ripetere due volte la prima interrogazione SRV dell’articolo, cambiando solo -Server: prima 172.24.50.10, poi 172.24.50.11. Dopo la convergenza, entrambi i DNS devono risolvere coerentemente i servizi del dominio. Controllare destinazioni ed errori, distinguendo il DNS interrogato dalla destinazione SRV. La zona di laboratorio lab.example.test basata su file non viene copiata automaticamente tramite AD. Le zone integrate in Active Directory replicano secondo il proprio ambito: verificare tipo e ambito di ogni zona prima di aspettarsi gli stessi dati sui due DNS.

Analizzare ogni test DCDiag fallito e gli eventi correlati in Directory Service, DNS Server e DFS Replication. Distinguere l’inizializzazione dopo il riavvio dagli errori persistenti: se mancano SYSVOL o NETLOGON, DC2 non è ancora pronto. Controllare nome del partner, connessione, ora, autorizzazioni e stato della replica, correggere la causa e ripetere lo stesso test. Non sostituire la diagnosi con protezioni disattivate o con l’eliminazione e ricreazione del controller.

Per verificare un cambiamento nei dati usare solo un oggetto dedicato al laboratorio, per esempio labuser1 dell’esercitazione su utenti e OU. In dsa.msc selezionare esplicitamente DC1 tramite Cambia controller di dominio (Change Domain Controller). Aprire le proprietà dell’utente e annotare l’intero valore iniziale di Descrizione, anche se vuoto. Salvare una descrizione temporanea riconoscibile, selezionare esplicitamente DC2 e riaprire lo stesso oggetto per verificare il nuovo valore. Ripristinare poi il valore originale tramite DC1 e controllare che anche il ripristino compaia su DC2. Non modificare account operativi né considerare un solo attributo una prova di tutte le partizioni. Se non converge, registrare ora, server ed errore e consultare la diagnosi degli errori di replica per le dipendenze.

Modificare il DNS del client dopo la verifica

Solo dopo aver verificato DNS e replica di DC2, provare un singolo client o membro. Dalla console CLIENT1 annotare indirizzi e modalità DNS precedenti. Per una prova manuale aprire ncpa.cpl → Proprietà della scheda di laboratorio → Protocollo Internet versione 4 (TCP/IPv4), impostare DNS preferito 172.24.50.10 e alternativo 172.24.50.11, mantenendo IP, maschera e gateway. Riprovare rilevamento del dominio, risoluzione dei nomi e accesso di labuser1. In caso di errore ripristinare valori e modalità annotati; se il DNS proveniva automaticamente da DHCP, tornare all’impostazione automatica. Non modificare le opzioni DHCP per tutti i client prima di questa prova e non aggiungere DNS pubblici all’elenco interno.

Un secondo DC non replica automaticamente lease DHCP, file di FS1 o tutte le zone DNS. L’aggiunta non trasferisce da sola neppure i ruoli a master singolo flessibile (FSMO, Flexible Single Master Operations), la cui gestione richiede decisioni separate. Due VM sullo stesso host condividono il rischio di guasto dell’host e non sostituiscono un backup. Conservare entrambi i controller per le esercitazioni successive. Per rimuovere DC2 controllare prima DNS di client e server, replica, catalogo globale, ruoli e altre dipendenze, quindi procedere con un declassamento pianificato. Eliminare la VM non rimuove correttamente il controller dal dominio.