Windows Server 2025 / Erste Active Directory-Domäne und Gesamtstruktur erstellen

Für die erste Domäne unter Windows Server 2025 installieren Sie die Active Directory-Domänendienste (AD DS, Active Directory Domain Services) und stufen DC1 zum ersten Domänencontroller einer neuen Gesamtstruktur herauf. Diese Übung erstellt ad.example.test in einem isolierten Netz. Eine neue Gesamtstruktur ist hier Teil des Laborentwurfs; verwenden Sie diese Auswahl nicht, um einen Controller zu einer bereits vorhandenen Organisationsdomäne hinzuzufügen.

Prüfen Sie die Voraussetzungen der neuen Gesamtstruktur

Arbeiten Sie an der VM-Konsole von DC1 mit einem lokalen Administratorkonto und halten Sie den Konsolenzugriff auch während des Neustarts bereit. Prüfen Sie Rechnername, statische IP-Adresse, Updates und Uhrzeit sowie das isolierte Netz 172.24.50.0/24; /24 entspricht 255.255.255.0. Wenn DC1 bereits DNS bereitstellt, muss der lokale DNS-Server 172.24.50.10 funktionieren. Ohne vorhandene DNS-Rolle kann diese bei der Heraufstufung installiert werden; kontrollieren Sie anschließend die Einstellungen. Die Übungszone lab.example.test bleibt vom neuen Domänennamen getrennt. Die Erklärung von Gesamtstruktur, Domäne und OU hilft bei der Entwurfsprüfung.

Legen Sie ein eindeutiges, ausreichend starkes Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus (DSRM, Directory Services Restore Mode) fest und verwahren Sie es sicher. Dieses Kennwort dient Wiederherstellungsaufgaben und ist nicht das gewöhnliche Domänen-Anmeldekennwort. Es muss die geltenden Kennwortanforderungen erfüllen und gehört weder in Klartextskripte noch in Protokolle oder Bildschirmaufnahmen. Die Beschreibung der AD DS-Assistentenseiten erläutert die Felder. Klären Sie Namensraum und sichere Aufbewahrung vor Beginn.

Installieren Sie AD DS und starten Sie die Heraufstufung

1. Öffnen Sie auf DC1 Server-Manager → Verwalten → Rollen und Features hinzufügen. Wählen Sie die rollenbasierte oder featurebasierte Installation und bestätigen Sie DC1 als Zielserver.
2. Wählen Sie Active Directory-Domänendienste, bestätigen Sie Features hinzufügen für die benötigten Werkzeuge und kontrollieren Sie die Auswahl. Starten Sie die Installation und prüfen Sie deren erfolgreichen Abschluss.
3. Wählen Sie in der Nachinstallationsbenachrichtigung Server zu einem Domänencontroller heraufstufen. Damit startet der Konfigurationsassistent; die Rolle allein hat noch keine Domäne angelegt.
4. Wählen Sie unter Bereitstellungskonfiguration Neue Gesamtstruktur hinzufügen und tragen Sie ad.example.test als Stammdomänennamen ein. Prüfen Sie Schreibweise und Laborziel vor dem Fortfahren.

Die Rolleninstallation stellt Dateien und Werkzeuge bereit; erst die Heraufstufung erstellt den Domänencontroller. Microsoft beschreibt beide Wege im Leitfaden zur AD DS-Installation. Wählen Sie entweder den Assistenten oder die folgende PowerShell-Alternative und erstellen Sie die Gesamtstruktur nicht erneut nach einer bereits abgeschlossenen Heraufstufung. DC2 wird später als zusätzlicher Controller zur vorhandenen Domäne hinzugefügt, ohne eine zweite Gesamtstruktur zu erstellen.

Prüfen Sie Funktionsebenen, DNS und Wiederherstellung

1. Prüfen Sie unter Domänencontrolleroptionen die Domänen- und Gesamtstrukturfunktionsebene. Für dieses neue Labor können Sie beide auf 2025 setzen, wenn DC1 und alle vorgesehenen Controller Windows Server 2025 verwenden. Notieren Sie die Auswahl.
2. Behalten Sie für diesen Entwurf DNS bei und prüfen Sie den globalen Katalog (GC, Global Catalog). Der erste DC einer Gesamtstruktur muss globaler Katalog sein und kann kein schreibgeschützter Domänencontroller (RODC, Read-Only Domain Controller) sein.
3. Geben Sie das vorbereitete DSRM-Kennwort ein und bestätigen Sie es. Verwahren Sie es nach Ihrem sicheren Verfahren, ohne es in den Übungsbericht zu kopieren.
4. Bewerten Sie eine DNS-Delegierungswarnung anhand der wirklichen übergeordneten Zone. Für dieses isolierte .test-Labor gibt es keinen verwalteten externen übergeordneten DNS-Server; eine entsprechende Warnung kann deshalb erwartbar sein. Andere DNS- oder Voraussetzungsfehler müssen weiterhin geklärt werden.
5. Prüfen Sie den NetBIOS-Namen AD und die Pfade für Datenbank, Protokolle und SYSVOL. Ohne abweichenden Speicherentwurf können die vorgeschlagenen lokalen Pfade bleiben. Notieren Sie sie und verwenden Sie für diese Daten kein ReFS-Volume.
6. Kontrollieren Sie die Optionen und lassen Sie die Voraussetzungen prüfen. Beheben Sie installationsverhindernde Fehler und bewerten Sie jede Warnung, bevor Sie installieren. Halten Sie die Konsole für den Neustart bereit.

Funktionsebenen legen verfügbare AD-Funktionen und unterstützte Versionen der Domänencontroller fest; sie bestimmen nicht die Betriebssystemversion von CLIENT1. Für Domänen- und Gesamtstrukturfunktionsebene 2025 müssen sämtliche DCs Windows Server 2025 verwenden. Prüfen Sie dazu die Kompatibilitätsübersicht der Funktionsebenen. Soll ein Windows Server 2025-DC zu einer bestehenden Domäne hinzukommen, benötigt diese mindestens die Domänenfunktionsebene 2016. Der Leitfaden zum Anheben der Funktionsebenen erklärt Voraussetzungen und Prüfungen. Heben Sie ein produktives Verzeichnis nicht nur an, um diese Übung nachzubilden.

Alternativ öffnen Sie Windows PowerShell als Administrator auf DC1 und verwenden den folgenden Block ausschließlich für die neue Laborgesamtstruktur. Die erste Zeile installiert Rolle und Verwaltungstools; nach einer reinen Rolleninstallation im Assistenten ist dieser Schritt bereits erledigt, die Heraufstufung jedoch noch nicht. Die zweite Zeile erstellt die Gesamtstruktur und fragt das DSRM-Kennwort ab, ohne es im Befehl zu speichern. Da -DomainMode und -ForestMode fehlen, sagt dieses Beispiel keinen bestimmten Standardwert zu. Wenn Sie beide Ebenen gezielt auf 2025 setzen möchten, prüfen Sie vorher die Hilfe der installierten Version und die Voraussetzungen oder wählen Sie sie ausdrücklich im Assistenten. Die Referenz zu Install-ADDSForest erläutert die Parameter:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

Lesen Sie die Kennwort- und Bestätigungsabfragen an der Konsole, bevor Sie zustimmen. Ohne -NoRebootOnCompletion ist am Ende ein Neustart vorgesehen. Verwechseln Sie die erfolgreiche Rolleninstallation nicht mit der abgeschlossenen Domänenbereitstellung und führen Sie nach der Wiederanmeldung Install-ADDSForest nicht erneut aus. Prüfen Sie stattdessen die erstellte Domäne und ihre tatsächlichen Funktionsebenen.

Prüfen Sie die Domänendienste nach dem Neustart

Melden Sie sich nach dem Neustart an der DC1-Konsole mit dem vorgesehenen Domänenadministratorkonto an. AD\Administrator ist nur ein Beispiel, wenn dieses Konto tatsächlich so heißt; verwenden Sie bei lokalisiertem oder umbenanntem Konto dessen tatsächlichen Namen. Öffnen Sie Windows PowerShell auf DC1 mit Administratorrechten und führen Sie dort die folgenden Abfragen und den Diagnosetest aus, nicht auf CLIENT1:

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Whoami soll das vorgesehene Domänenkonto ausgeben. DNSRoot und RootDomain müssen ad.example.test sowie NetBIOSName den Wert AD zeigen. DomainMode und ForestMode geben die tatsächlich eingerichteten Ebenen wieder; vergleichen Sie sie mit Ihrem Entwurf, statt sie allein aus Windows Server 2025 abzuleiten. Diese Konfigurationsabfragen ersetzen weder den Domänenbeitritt von CLIENT1 noch dessen Zugriffstest auf Ressourcen.

Prüfen Sie die DNS-Zonen und das abgefragte Dienstregister: Die SRV-Antwort muss auf den vorgesehenen Domänencontroller verweisen, beispielsweise dc1.ad.example.test. SYSVOL und NETLOGON müssen als Freigaben vorhanden sein. Die alte Zone lab.example.test allein belegt keine AD-Bereitstellung. Werten Sie DCDiag anhand der einzelnen fehlgeschlagenen Prüfung aus. Unterscheiden Sie die Initialisierung nach dem Neustart von bleibenden Fehlern, prüfen Sie zugehörige Ereignisse und wiederholen Sie denselben Test nach Behebung der Ursache. Ein wiederholt fehlschlagender Test darf nicht pauschal als erfolgreiche Initialisierung gelten.

Passen Sie das bestehende DHCP-Labor an die Domäne an

Nur wenn DC1 bereits DHCP bereitstellt, prüfen Sie mit der ersten Zeile die Autorisierung in Active Directory. Vergleichen Sie den Eintrag mit dc1.ad.example.test und 172.24.50.10. Führen Sie Add-DhcpServerInDC in der zweiten Zeile nur aus, wenn die passende Autorisierung fehlt und Sie die erforderliche Berechtigung besitzen. Bei vorhandenem Eintrag überspringen Sie diese Zeile. Die Anleitung zur DHCP-Autorisierung beschreibt das Verfahren. Die dritte Zeile betrifft ausschließlich den bereits vorhandenen Bereich 172.24.50.0; führen Sie die drei Zeilen nicht bedingungslos als Gesamtvorgang aus:

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

Prüfen Sie zunächst, ob der Bereich existiert und welche Optionen er enthält. Setzen Sie erst dann DNS 172.24.50.10 und das Suffix ad.example.test entsprechend dem neuen Domänenentwurf. Erneuern Sie an der CLIENT1-Konsole die DHCP-Konfiguration des tatsächlichen Laboradapters und kontrollieren Sie DHCP-Server, DNS-Server und Suffix mit ipconfig /all. Bei DHCP bleiben sowohl IP- als auch DNS-Bezug automatisch; erneuern Sie nicht versehentlich Adapter anderer Netze. Das empfangene Suffix bewirkt keinen Domänenbeitritt. Beitritt und Domänenanmeldung werden getrennt geprüft.

Machen Sie eine Heraufstufung nicht durch Löschen der VM oder vorheriges Entfernen der Rollendateien rückgängig. Klären Sie, ob DC1 der letzte Domänencontroller ist und welche Konten, DNS-Zonen, DHCP-Bereiche und Clients von ihm abhängen. Herabstufung und Wiederherstellung benötigen einen eigenen Plan mit diesen Abhängigkeiten und den nötigen Zugangsdaten. Behalten Sie die Domäne für die weiteren Übungen. Bei einem Installationsfehler halten Sie zuerst Schritt und Fehlermeldung fest, bevor Sie die Gesamtstrukturerstellung erneut versuchen.