Windows Server 2025 / So überprüfen Sie AD-Replikation und FSMO-Rolleninhaber

Zur Prüfung der Active Directory-Domänendienste (AD DS) untersuchen Sie die Replikation mit Repadmin und ermitteln gesondert die Inhaber der fünf FSMO-Rollen (Flexible Single Master Operations). Die Replikation verteilt Verzeichnisänderungen; die Betriebsmasterrollen bündeln bestimmte Aufgaben jeweils bei einem Domänencontroller. Weder das Hinzufügen von DC2 noch das Ausschalten von DC1 überträgt dessen Rollen automatisch.

Replikationsproblem eingrenzen

Vorausgesetzt werden DC1 und DC2 als bereits heraufgestufte Domänencontroller in ad.example.test mit funktionierender interner DNS-Auflösung. Sie replizieren Domänen-, Konfigurations- und Schemapartitionen sowie die DNS-Anwendungspartitionen, an deren Replikationsbereich sie teilnehmen. Teilnehmer und Zeitabläufe können sich je Partition unterscheiden. Dateien auf FS1 und DHCP-Leases werden dadurch nicht zwischen den Controllern kopiert.

Bei abweichenden Objekten notieren Sie zunächst den abgefragten Controller, das Attribut, den Wert und den Zeitpunkt der Änderung. Die reversible Beschreibungsprüfung aus der Anleitung zum Hinzufügen von DC2 hilft, wenn Sie den Controller jeweils ausdrücklich auswählen und den ursprünglichen Wert anschließend wiederherstellen. Vergleichen Sie die Beobachtung mit Microsofts Diagnose von Replikationsfehlern. Eine einzelne Abfrage unmittelbar nach einer Änderung unterscheidet noch nicht zwischen ausstehender Weitergabe und dauerhaftem Fehler.

Replikation lesend prüfen

Öffnen Sie auf DC1 oder DC2 Windows PowerShell als Administrator mit einem für die Verzeichnisabfragen berechtigten Konto. Auf einem Verwaltungsrechner müssen die Remoteserver-Verwaltungstools (RSAT) für AD DS einschließlich Repadmin und des Moduls ActiveDirectory installiert sein; Domänenzugriff und passende DNS-Einstellungen sind ebenfalls erforderlich. Beginnen Sie mit diesen lesenden Abfragen, ohne Synchronisationen zu erzwingen oder Replikationsverbindungen zu ändern.

repadmin /replsummary
repadmin /showrepl DC1
repadmin /showrepl DC2
Get-ADReplicationFailure -Target 'ad.example.test' -Scope Domain

Bei repadmin /replsummary betrachten Sie fehlgeschlagene Versuche im Verhältnis zu den Gesamtversuchen und die längste Zeit seit erfolgreicher Replikation. Eine Null ohne aktuelle Versuche und Zeitbezug ist kein vollständiger Zustandsnachweis. /showrepl DC1 und /showrepl DC2 zeigen die eingehende Replikation des jeweiligen Ziels: Prüfen Sie je Partition den Quellpartner, letzten Versuch, letzten Erfolg und Fehlercode. So untersuchen Sie beide Richtungen im Labor. Get-ADReplicationFailure sammelt aktuelle Fehler der Controller in der angegebenen Domäne. Keine zurückgegebenen Fehlerobjekte bei erfolgreicher Abfrage beweisen allein noch keine Übereinstimmung aller Daten.

War DC2 absichtlich für Wartung ausgeschaltet, dokumentieren Sie dies und prüfen nach seiner Rückkehr erneut die erfolgreiche Weitergabe. Ein gestarteter Server ist noch kein Nachweis behobener Replikationsfehler. Bei anhaltenden Problemen gleichen Sie Fehlercode und Zeitpunkt mit Partner-DNS, Netzwerk und Remoteprozeduraufruf (RPC), Uhrzeit, Authentifizierung, Diensten und Directory-Service-Ereignissen ab. Schalten Sie zur Diagnose nicht pauschal die Firewall ab. Ein lange isolierter Controller benötigt einen Wiederherstellungsplan, der Alter und Konsistenz seiner Verzeichnisdaten berücksichtigt.

Die fünf FSMO-Rollen einordnen

Zwei Rollen gelten für die gesamte Gesamtstruktur und drei für jede einzelne Domäne. Ein Controller darf mehrere Rollen halten, ist dadurch aber nicht der einzige Server für Benutzeranmeldungen. Die offizielle FSMO-Übersicht erläutert ihre Aufgaben:

Fällt ein Rolleninhaber aus, enden nicht alle Funktionen gleichzeitig. Ein Controller kann beispielsweise mit seinem vorhandenen RID-Vorrat noch Konten erzeugen, benötigt für einen neuen Vorrat aber den RID-Master. Schemaänderungen benötigen den Schemamaster. Dass einige Anmeldungen weiterhin funktionieren, ist daher weder ein Verfügbarkeitsnachweis für alle Rollen noch ein Grund, den Ausfall zu ignorieren.

Tatsächliche Rolleninhaber vergleichen

Die Eigentümerabfragen benötigen dieselben Werkzeuge und den richtigen Domänenkontext. Netdom query verwendet ohne ausdrückliche Domänenangabe die Domäne des Computers. Bei Get-ADForest und Get-ADDomain lässt sich der abgefragte Server festlegen. Diese Befehle lesen die Zuordnung und übertragen keine Rolle.

netdom query fsmo
Get-ADForest | Select-Object SchemaMaster,DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator,RIDMaster,InfrastructureMaster

Führen Sie die drei Abfragen im Kontext der Labordomäne aus. netdom query fsmo nennt die fünf Inhaber, Get-ADForest die beiden Rollen der Gesamtstruktur und Get-ADDomain die drei Domänenrollen. Wurde die neue Gesamtstruktur auf DC1 erstellt und wurden die Rollen nicht neu zugewiesen, liegen sie üblicherweise weiterhin dort. Erfassen Sie die tatsächlichen Namen statt eine automatische Verteilung auf DC2 anzunehmen. Zum Vergleich ergänzen Sie bei Get-ADForest und Get-ADDomain vor der Pipeline zunächst -Server DC1, danach -Server DC2. Bei Netdom verwenden Sie vor fsmo /domain:ad.example.test und /server:DC1 beziehungsweise /server:DC2. Notieren Sie Zeitpunkt und Abfragefehler. Unterschiede erfordern eine Prüfung von Replikation und Abfragekontext; die Inhaberliste bestätigt nicht, dass die genannten Server erreichbar oder betriebsbereit sind.

Übertragung und erzwungene Übernahme unterscheiden

Eine reguläre Übertragung eignet sich für geplante Wartung, wenn der bisherige Inhaber funktioniert und mit dem Ziel kommunizieren kann. Eine erzwungene Übernahme (Seizure) ist dagegen eine Wiederherstellungsentscheidung, wenn eine Übertragung nicht möglich ist und der bisherige Inhaber nicht ohne geeignete Wiederherstellung zurückkehren darf. Lesen Sie vor Änderungen den Ablauf von FSMO-Übertragung und -Übernahme sowie die Voraussetzungen für die Rollenverwaltung.

• Prüfen Sie vor einer Übertragung Rolle, Geltungsbereich, bisherigen Inhaber und Ziel, den Zustand beider Controller, die Replikation und die Sicherungen. Leserechte sind keine Übertragungsrechte: Domänenrollen erfordern Domänenadministratoren, der Domänennamenmaster Unternehmensadministratoren; für das Schema gelten die in der Anleitung genannten Anforderungen an Schema- und Unternehmensadministratoren.
• Prüfen Sie anschließend die Inhaber aus Sicht der beteiligten Controller, die erfolgreiche Replikation der betreffenden Partition und abhängige Funktionen. Eine geänderte Inhaberliste allein bestätigt noch keine Betriebsbereitschaft.
• Beim Wechsel des PDC-Emulators der Gesamtstruktur-Stammdomäne muss auch die autorisierte externe Zeitquelle und die weitere Zeithierarchie geprüft werden. Konfigurieren Sie nicht jeden Controller unabhängig als Zeitreferenz.
• Eine erzwungene Übernahme benötigt einen Plan für den bisherigen Inhaber und die Metadatenbereinigung. Beim RID-Master gelten zusätzliche Vorsichtsmaßnahmen gegen doppelte Bezeichner. Verbinden Sie den alten Server oder seine Sicherung nicht ohne das vorgesehene Wiederherstellungsverfahren erneut.

Am Ende dieser Übung haben Sie den Replikationszustand je Controller und Partition sowie die fünf tatsächlichen Rolleninhaber und deren Geltungsbereich dokumentiert. Bei Fehlern bewahren Sie Codes, Zeitpunkte und Kontext für die Diagnose auf. Die Abfragen verändern keine Konfiguration und benötigen keine Rücknahme; ein Controller-Ausfall, eine erzwungene Synchronisation oder eine Rollenübernahme ist für diese Prüfung nicht erforderlich.