Domain-Controller mit Install From Media (IFM) einrichten

Beginnend mit Windows Server 2008 hat Microsoft mit Ntdsutil eine weitere Methode namens IFM zur Erstellung von Installations­medien für neue DCs eingeführt. Sie ermöglicht das Laden der Active Directory-Objekte von einem Datenträger, anstatt diese über das Netzwerk zu schicken.

IFM ersetzt Behelfslösungen, bei denen der neue Domänen-Controller zuerst vor Ort die Repliken erhält und dann in das Ziel­netzwerk gebracht wird. Ein solcher DC, der von der Active Directory-Replikations­topologie getrennt wird, kann zu Problemen führen.

Alle Änderungen im AD, die nach dem Speichern der IFM-Daten erfolgen, müssen natürlich an den entfernten Standort synchronisiert werden. Deren Umfang ist im Vergleich zur Replikation der gesamten AD-Datenbank jedoch minimal.

Sekundären RODC in Server 2019/2022 installieren

An entfernten Standorten ist die Installation eines Read-only-DC (RODC) die bevorzugte Option. Er bietet dort einige Sicherheits- und Leistungs­vorteile. So werden auf einem RODC nur die Anmelde­informationen von Benutzern gespeichert, die sich tatsächlich gegen ihn authentifizieren.

Wenn Sie mit IFM die Installations­medien für einen RODC erstellen, dann werden die gecachten Kennwörter entfernt. Als IFM-Quelle für einen RODC kommen sowohl ein beschreibbarer DC als auch ein anderer RODC in Frage.

Man kann auch den SYSVOL-Ordner in das Installations­medium aufnehmen. Allerdings muss als Voraussetzung dafür der Abgleich der SYSVOL zwischen DCs über die DFS-Replikation erfolgen.

Das Einrichten eines DC mittels IFM besteht aus drei Schritten:

• IFM-Medien erstellen
• Neuen DC installieren
• AD-Objekte aus den IFM-Backup importieren

Um die IFM-Medien zu erstellen, geben Sie auf dem Quellsystem die folgenden Befehle an einer administrativen Eingabeauf­forderung ein:

ntdsutil

activate instance ntds

ifm

help

Bei der Hilfe von ntdsutil interessieren wir uns für die RODC-spezifischen Befehle. Hier erkennt man, dass sich der IFM-Mediensatz für einen RODC mit oder ohne SYSVOL erstellen lässt.

Um die IFM-Medien zu erstellen, geben Sie die gewünschte Option und den Pfad zu dem Ordner ein, in Sie den Mediensatz speichern wollen. Das folgende Beispiel übernimmt auch das SYSVOL:

Create Sysvol RODC c:\ifm

Bei einem RODC sehen Sie einen Active Directory-Ordner und einen SYSVOL-Ordner, wenn Sie diesen einschließen möchten. Bei einem beschreib­baren Domänen-Controller wird auch ein Registrierungs­ordner angezeigt.

Das IFM-Medienset kopiert man nun in einen Ordner auf dem neuen RODC-Server, bevor man diesen zu einem Domänen-Controller macht.

Rolle Active Directory Domain Services hinzufügen

Im nächsten Schritt installiert man die Rolle AD DS, in unserem Beispiel über den Wizard im Server Manager.

Hier hakt man unter Serverrollen die Option Active Directory Domänendienste an.

Anschließend klickt man auf Add Features, um erforderliche Features für die AD DS hinzuzufügen.

Im danach angezeigten Bildschirm für die Feature-Installation ist nichts zu tun, hier können Sie daher einfach auf Weiter klicken.

Nach den Informationen zu den AD DS erscheint die Übersicht der bisherigen Auswahl, die man mit Klick auf Installieren bestätigen muss.

Das Hinzufügen der Rolle stuft den Server aber noch nicht zu einem DC hoch.

Server zu einem Domain-Controller promoten

Nach dem Klick auf das Flaggen­symbol rechts oben im Server Manager sieht man den Hinweis Promote this server to a domain controller. Diesem Link folgt man nun für Konfiguration des DC.

Nachdem wir einen RODC zu einer existierenden AD-Struktur hinzufügen, wählen wir hier die Option Add a domain controller to an existing domain.

Aus den Optionen für Domänen-Controller wählen Sie die gewünschten Funktionen und den Standort aus. Hier aktivieren wir Read only domain controller (RODC).

Im nächsten Dialog stehen die RODC-Optionen zur Auswahl. Hier gibt man unter anderem an, für welche Konten das Passwort zum RODC repliziert werden soll.

Auf dem Bildschirm Additional Options wählen Sie Install from media und geben den Pfad an, unter dem sie den Mediensatz gespeichert haben. Sie können ihn mit Verify auch auf seine Integrität prüfen. Klicken Sie auf Weiter.

Als Nächstes geben Sie die Speicherorte für die AD DS-Datenbank, der Log-Dateien und von SYSVOL an bzw. akzeptieren deren Vorgabewerte.

Beachten Sie den Hinweis "directory information will be copied primarily from", der in der Zusammenfassung erscheint. Er bestätigt, dass die Daten von IFM für den RODC verwendet werden.

Anschließend folgt die Prüfung der Voraus­setzungen. Sie werden eine Warnung über die Kompatibilität mit Windows NT 4.0 erhalten, aber den Check insgesamt erfolgreich passieren. Klicken Sie auf Installieren, um den Vorgang abzu­schließen.

Nach dem Promoten des Servers zu einem RODC ist ein Reboot fällig.

Zusammenfassung

Die IFM-Option (Install from Media) ermöglicht es Unternehmen, den Großteil des Replikations­verkehrs zu vermeiden, wenn sie einen zusätzlichen Domänen-Controller in Betrieb nehmen. Dies ist besonders nützlich für Außenstellen, die nur über ein WAN angeschlossen sind.

IFM importiert die AD-Objekte beim Heraufstufen des Servers zu einem Domänen-Controller, anstatt das gesamte Directory über das Netzwerk zu replizieren. Zusätzlich lässt sich damit auch das SYSVOL-Verzeichnis auf den neuen RODC übertragen.