đĄ 1. Theorie & Praxiskonzept
Obwohl AD DS ein Multi-Master-Replikationsmodell nutzt, gibt es Aufgaben, die zur Vermeidung von Datenkonflikten nur von einem einzigen DC ausgefĂŒhrt werden dĂŒrfen: die 5 FSMO-Rollen (Flexible Single Master Operations). Zwei gelten fĂŒr den gesamten Forest (Schema Master, Domain Naming Master), drei fĂŒr jede einzelne DomĂ€ne (PDC Emulator, RID Master, Infrastructure Master).
Jeder Filialleiter (DC) darf VertrĂ€ge ausgeben (Passwörter Ă€ndern, Objekte anlegen). Aber das Handelsregister (Schema Master) fĂŒhrt nur ein einziges Hauptnotariat. Und neue Steuernummern-Blöcke (RIDs) vergibt zentral nur das Finanzamt (RID Master), damit keine Nummer doppelt existiert.
⥠2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster | Zeigt die beiden Forest-weiten FSMO-Rolleninhaber an. |
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster | Zeigt die drei domÀnenweiten FSMO-Rollen an. |
Move-ADDirectoryServerOperationMasterRole -Identity <TargetDC> -OperationMasterRole ... | ĂbertrĂ€gt (Transfer) eine FSMO-Rolle sauber auf einen anderen DC. |
Move-ADDirectoryServer... -Force | Erzwingt die Ăbernahme (Seize) bei einem dauerhaft zerstörten DC. |
â ïž 3. HĂ€ufige Stolperfallen & Best Practices
Der PDC-Emulator der Forest Root Domain MUSS mit einer verlÀsslichen externen NTP-Zeitquelle synchronisiert sein! Weicht die Zeit um mehr als 5 Minuten ab, schlÀgt Kerberos wegen Replay-Schutz fehl.
Wird eine FSMO-Rolle (auĂer evtl. PDC) mit -Force (Seize) ĂŒbernommen, darf der alte DC NIEMALS wieder online geschaltet werden! Er muss bereinigt (Metadata Cleanup) und neu installiert werden.
đ§ Diagnostischer Selbst-Check
ĂberprĂŒfe dein VerstĂ€ndnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: