Windows Server 2025 / Einen zweiten Domänencontroller hinzufügen

Für einen zweiten Domänencontroller unter Windows Server 2025 installieren Sie die Active Directory-Domänendienste (AD DS) auf DC2 und stufen ihn innerhalb der vorhandenen Domäne ad.example.test herauf. Der zusätzliche Controller repliziert Verzeichnisdaten und bietet Authentifizierungsdienste; er erstellt keine neue Gesamtstruktur. Prüfen Sie AD-Replikation, DNS sowie SYSVOL und NETLOGON, bevor Sie die DNS-Konfiguration der Clients ändern.

Bereiten Sie DC2 für die vorhandene Domäne vor

DC1 muss ad.example.test und DNS unter 172.24.50.10 bereits zuverlässig bereitstellen. Installieren Sie eine neue Windows Server 2025-VM mit Namen DC2 und statischer IP 172.24.50.11/24 im gemeinsamen isolierten Netz; /24 entspricht 255.255.255.0. Tragen Sie vor der Heraufstufung 172.24.50.10 als DNS ein und prüfen Sie den Administratorzugang an der VM-Konsole. Verwenden Sie nicht ausschließlich den erst noch aufzubauenden lokalen DNS oder einen öffentlichen DNS zur Domänensuche. Die Empfehlungen zur DNS-Clientkonfiguration von Domänencontrollern verlangen während der Aufnahme einen funktionierenden Domänen-DNS und geprüfte Replikation, bevor sich der neue DC auf seinen eigenen DNS verlässt.

• Prüfen Sie AD und DNS auf DC1 sowie verfügbare Sicherungen und den Wiederherstellungsweg. Ein zusätzlicher Controller ist keine Datensicherung.
• Kontrollieren Sie eindeutigen Namen DC2, unbenutzte IP 172.24.50.11, gemeinsames isoliertes Netz sowie Uhrzeit und Updates.
• Bereiten Sie lokale Serveradministration für die Rolleninstallation und ein zur Heraufstufung berechtigtes Domänenkonto vor, üblicherweise ein Mitglied von Domain Admins bei einem zusätzlichen DC. Verwenden Sie das Konto nur für diese Verwaltungsaufgabe.
• Prüfen Sie den benötigten AD-Verkehr zwischen beiden VMs, einschließlich DNS, Authentifizierung und Replikation. Ein erfolgreicher Ping oder eine DNS-Abfrage prüft nicht alle Protokolle. Kontrollieren Sie Firewallregeln und Geltungsbereich, statt die Firewall abzuschalten.

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
nltest /dsgetdc:ad.example.test

Führen Sie diese Abfragen auf DC2 aus. Die erste fragt ausdrücklich 172.24.50.10 nach dem Dienstregister und soll den erwarteten Controller, beispielsweise dc1.ad.example.test, liefern. Nltest soll anhand der Serverkonfiguration einen Controller für ad.example.test finden. Beheben Sie Such- oder Verbindungsfehler vor erneuter Kennworteingabe. Diese Übung installiert einen neuen Server; DC1 zu klonen und lediglich umzubenennen ist kein Ersatz. Prüfen Sie die tatsächlichen Funktionsebenen und die Kompatibilität von Windows Server 2025 mit der Domäne. Heben Sie eine produktive Gesamtstruktur nicht ohne Planung an, um ein Labor nachzubilden.

Fügen Sie den Controller zur vorhandenen Domäne hinzu

1. Öffnen Sie auf DC2 Server-Manager → Verwalten → Rollen und Features hinzufügen. Wählen Sie die rollenbasierte Installation und DC2 als Ziel und installieren Sie Active Directory-Domänendienste mit den benötigten Werkzeugen.
2. Prüfen Sie den Abschluss der Rolleninstallation und wählen Sie in der Nachinstallationsbenachrichtigung Server zu einem Domänencontroller heraufstufen. Die Rolle allein richtet noch keinen Controller ein.
3. Wählen Sie unter Bereitstellungskonfiguration Domänencontroller zu einer vorhandenen Domäne hinzufügen. Erstellen Sie weder eine neue Gesamtstruktur noch eine neue Domäne.
4. Geben Sie ad.example.test und berechtigte Zugangsdaten an und prüfen Sie Domäne und Konto. Das lokale DC2-Konto gewährt allein keine Rechte in AD.
5. Kontrollieren Sie DNS-Server, globalen Katalog (GC, Global Catalog) und vorgesehenen Standort. Das Labor verwendet einen beschreibbaren DC mit DNS und globalem Katalog, keinen schreibgeschützten Domänencontroller (RODC, Read-Only Domain Controller).
6. Geben Sie das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus (DSRM) von DC2 ein und bestätigen Sie es. Verwahren Sie es sicher und prüfen Sie Pfade für Datenbank, Protokolle und SYSVOL ohne ReFS für diese Daten. Bewerten Sie Warnungen und beheben Sie Voraussetzungenfehler vor Installation und Neustart; halten Sie die Konsole bereit.

Der Standort muss zur Subnetz- und Standortplanung in Active Directory passen. Ein kleines Labor kann Default-First-Site-Name anzeigen; dieser Name ist keine Vorgabe für den Produktivbetrieb. Ohne -SiteName hängt die Auswahl vom zugeordneten Subnetz ab, andernfalls vom Standort der Replikationsquelle. Die Referenz zu Install-ADDSDomainController beschreibt dieses Verhalten. Prüfen Sie ausgewählten Standort und Verbindung, statt zur Beseitigung einer Warnung ungeplant eine weitere Topologie anzulegen.

Verwenden Sie alternativ PowerShell vor der Heraufstufung

Der folgende Block ist eine Alternative zum Assistenten und gilt nur, solange DC2 noch nicht heraufgestuft wurde. Öffnen Sie Windows PowerShell auf DC2 als Administrator. Die erste Zeile installiert Rolle und Verwaltungstools; nach einer reinen Rolleninstallation über die Oberfläche ist dieser Teil bereits erledigt. Get-Credential fragt ein zur Heraufstufung berechtigtes Domänenkonto ab. Install-ADDSDomainController fügt DC2 zur genannten Domäne hinzu und installiert DNS. Das Kennwort für den Verzeichnisdienst-Wiederherstellungsmodus (DSRM, Directory Services Restore Mode) wird für DC2 separat abgefragt. Es dient einem anderen Zweck als die Domänenanmeldung und gehört nicht im Klartext in Skripte oder Bildschirmaufnahmen:

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
$promotionCredential = Get-Credential
Install-ADDSDomainController -DomainName 'ad.example.test' -InstallDns -Credential $promotionCredential

Ein frisch installierter Server kann während der Heraufstufung Domänenzugangsdaten verwenden, auch wenn er zuvor noch kein Mitgliedsserver war. Lesen und bestätigen Sie die Konsolenabfragen einschließlich DSRM-Kennwort und Bestätigung und halten Sie die VM-Konsole erreichbar. Ohne -NoRebootOnCompletion folgt am Ende der Installation ein Neustart. Melden Sie sich anschließend mit dem vorgesehenen Domänenadministratorkonto an und kontrollieren Sie die wirklichen DNS-Einstellungen des Adapters. Wiederholen Sie die Heraufstufung nicht wegen einer getrennten Sitzung. Behalten Sie einen funktionierenden DC1-DNS bei, während Sie ein- und ausgehende Replikation prüfen, bevor DC2 sich auf den eigenen DNS verlässt.

Prüfen Sie Replikation, DNS und SYSVOL

Dass DC2 in einer Liste erscheint, bestätigt noch keine vollständige Datenkonvergenz. Führen Sie den Block in einer erhöhten administrativen Konsole auf DC2 mit installierten AD-Modulen und Werkzeugen aus. Get-ADDomainController zeigt Controller, IP-Adressen, Standorte und Katalogstatus. Repadmin fasst Fehler zusammen und zeigt eingehende Replikationspartner von DC2; dcdiag richtet den DNS-Test auf DC2. Die letzte Zeile fragt lokale Freigaben ab und muss daher tatsächlich auf DC2 ausgeführt werden, nicht auf einem anderen Verwaltungscomputer:

Get-ADDomainController -Filter * | Select-Object HostName,IPv4Address,Site,IsGlobalCatalog
repadmin /replsummary
repadmin /showrepl DC2
dcdiag /s:DC2 /test:dns
Get-SmbShare -Name SYSVOL,NETLOGON

Prüfen Sie dc1.ad.example.test und dc2.ad.example.test mit den vorgesehenen Adressen und Standorten. Betrachten Sie bei repadmin /replsummary Fehler, Zeit seit der letzten Replikation und tatsächliche Versuche: Null Fehler allein beweist ohne aktuelle erfolgreiche Replikation wenig. Untersuchen Sie bei /showrepl DC2 Partner und jede erwartete Partition. Wiederholen Sie die Zeile repadmin /showrepl DC2 mit DC1 anstelle von DC2, um auch dessen eingehende Partner und Partitionen zu prüfen, bevor Sie beide Richtungen als bestätigt ansehen.

Get-SmbShare muss SYSVOL und NETLOGON auf DC2 auflisten. Wiederholen Sie auf CLIENT1 die erste SRV-Abfrage aus diesem Artikel zweimal und ändern Sie nur -Server: zunächst 172.24.50.10, dann 172.24.50.11. Nach abgeschlossener Replikation müssen beide DNS die Domänendienste konsistent auflösen. Prüfen Sie Ziele und Fehler und verwechseln Sie den befragten DNS-Server nicht mit dem SRV-Ziel. Die dateibasierte Übungszone lab.example.test wird nicht automatisch durch AD kopiert. AD-integrierte Zonen replizieren gemäß ihrem Bereich; kontrollieren Sie Zonentyp und Replikationsbereich, bevor Sie identische Daten auf beiden DNS erwarten.

Werten Sie jeden fehlgeschlagenen DCDiag-Test und passende Ereignisse von Directory Service, DNS Server und DFS Replication aus. Unterscheiden Sie Initialisierung nach dem Neustart von bleibenden Fehlern. Fehlen SYSVOL oder NETLOGON, ist DC2 noch nicht bereit. Prüfen Sie Partnernamen, Verbindung, Uhrzeit, Berechtigungen und Replikationszustand, beheben Sie die Ursache und wiederholen Sie denselben Test. Ersetzen Sie diese Prüfung nicht durch abgeschaltete Schutzmechanismen oder erneutes Löschen und Erstellen des Controllers.

Verwenden Sie für einen Datentest nur ein eigenes Laborobjekt, etwa labuser1 aus der Übung zu Benutzern und OUs. Wählen Sie in dsa.msc über Domänencontroller ändern (Change Domain Controller) ausdrücklich DC1 aus. Öffnen Sie die Benutzereigenschaften und notieren Sie den vollständigen ursprünglichen Wert von Beschreibung, auch einen leeren Wert. Speichern Sie eine erkennbare temporäre Beschreibung, wählen Sie ausdrücklich DC2 und öffnen Sie dasselbe Objekt erneut. Prüfen Sie den übernommenen Wert, stellen Sie danach über DC1 die ursprüngliche Beschreibung wieder her und kontrollieren Sie auch diese Rückänderung auf DC2. Ändern Sie keine produktiven Konten und bewerten Sie eine einzelne Eigenschaft nicht als Prüfung aller Partitionen. Bei fehlender Konvergenz notieren Sie Zeitpunkt, Server und Fehler; die Diagnose von AD-Replikationsfehlern hilft bei den Abhängigkeiten.

Ändern Sie Client-DNS erst nach der Prüfung

Testen Sie erst nach erfolgreicher DNS- und Replikationsprüfung einen einzelnen Client oder Mitgliedsserver. Notieren Sie an der CLIENT1-Konsole bisherige DNS-Adressen und Bezugsmodus. Für einen manuellen Test öffnen Sie ncpa.cpl → Eigenschaften des Laboradapters → Internetprotokoll Version 4 (TCP/IPv4). Tragen Sie 172.24.50.10 als bevorzugten und 172.24.50.11 als alternativen DNS ein und lassen Sie IP, Maske und Gateway unverändert. Prüfen Sie Domänensuche, Namensauflösung und Anmeldung von labuser1 erneut. Bei Fehlern stellen Sie die notierten Werte und den vorherigen DNS-Modus wieder her; war dieser automatisch über DHCP, wechseln Sie zurück zu automatisch. Ändern Sie vor diesem Test keine DHCP-Optionen für alle Clients und ergänzen Sie keine öffentlichen DNS in der internen Liste.

Ein zweiter DC repliziert weder DHCP-Leases noch FS1-Dateien oder sämtliche DNS-Zonen automatisch. Er übernimmt auch nicht allein durch seine Installation die Rollen für flexible Einzelmastervorgänge (FSMO, Flexible Single Master Operations); deren Verwaltung ist eine eigene Aufgabe. Zwei VMs auf demselben Host teilen dessen Ausfallrisiko und ersetzen keine Datensicherung. Behalten Sie beide Controller für weitere Übungen. Prüfen Sie vor dem Entfernen von DC2 Client- und Server-DNS, Replikation, globalen Katalog, Rollen und weitere Abhängigkeiten und führen Sie eine geplante Herabstufung durch. Das Löschen der VM entfernt den Controller nicht ordnungsgemäß aus der Domäne.