Daim

Doch, die "Altlast"-Domäne heißt schlicht 'NETZWERK'. Jetzt soll es ein neuer FQDN werden -> intranet.kirche-ort.de.

Aha, dass hatten wir ja schon. Stichwort: Single-Label DNS-Domänenname.

Lt. dem faq-o-matic.net steht der Wechsel in eine einheitlichen Modus das dort als Vorraussetzung, damit ADMT überhaupt arbeiten kann.

Das wüßte ich aber, denn den Artikel habe ja ich geschrieben.

Es muss sich lediglich die ZIEL-Domäne im einheitlichen Modus befinden.

Wenn ich dort "2" eintrage und bestätige, bekomme ich die Fehlermeldeung: "Der FSMO-Funktionsbesitz konnte nicht überprüft werden da die zugehörige verzeichnispartition nicht mit mind. einem Replikationspartner repliziert wurde." (?)

Hattest du ADPREP ausgeführt? Falls ja, dann warte einen Tag.

Es könnte aber auch ein Problem mit dem DNS bestehen bzw. es besteht ein Replikationsproblem.

Siehe:

Erforderliche Erstsynchronisierung für Windows 2000 Server- und Windows Server 2003-Domänencontroller, die Inhaber von Betriebsmasterfunktionen sind

Überprüfe das Eventlog und führe DCDIAG sowie NetDIAG durch und kontrolliere was alles als FAILED angezeigt wird.

Diese Einstellung findet sich beim Quellserver nicht.

Doch, tut es. Dann schaust du an der falschen Stelle ;) .

Warum ist das bloß immer alles so komplex...?

Weil es dann ja jeder könnte ;) .

Also, nachdem ich das Junction-Problem gelöst habe wurde der SYSVOL-Ordner leider immer noch nicht repliziert.

Es sollten also nun auf jedem DC die Junction Points existieren.

Muss ich den Link [Lingering Objects (veraltete Objekte)] unbedingt ausführen??

Nein, das hat mit dem SYSVOL Problem nichts zu tun.

Das ist ein anderes Problem.

on "c:\winnt\sysvol\staging\domain". The exception message was: Zugriff verweigert

ERROR: Junction Point missing on "\\w2ksrv2\c$\winnt\sysvol\sysvol"

ERROR: Junction Point missing on "\\w2ksrv2\c$\winnt\sysvol\staging areas"

Dann überprüfe doch mal mit dem Dritt-Anbieter Tool (oder Linkd bzw. cmd), ob die Junction Points auf dem 2000er DC tatsächlich existieren. Denn die Meldung im FRSDiag ist nicht immer korrekt.

In diesem Artikel werden die Junction points angezeigt:

Best Practices for Sysvol Maintenance

Kann ich LINKD auch auf dem 2000er ausführen?

Ja.

Oder muss ich da ein Tool eines Drittanbieters nutzen?

Nein, "muss" nicht. Da hast du eben eine GUI und nicht die böse Kommandozeile ;) .

Was kann ich denn da noch machen???

Die bereits geposteten Artikel erneut durchgehen. Dort steckt definitiv die Lösung.

Du kannst noch diese Artikel durchgehen:

How to relocate the SYSVOL tree on a domain controller that is running Windows 2000 Server or Windows Server 2003

Morphed folders appear in the SYSVOL Group Policy folder after you use Group Policy Object Editor to view a GPO on a Windows Server 2003-based domain controller

Using the BurFlags registry key to reinitialize File Replication Service replica sets

01. Es besteht über einen Switch eine psysikalische LAN-Verbindung zwischen den beiden Servern (*.9 und *.10) bzw. Domänen ('domäne' und 'intranet.domäne-ort.de')

Ich hoffe doch sehr, dass die eine Domäne nicht einen einfachen Namen, als lediglich "Domäne" hat,

sondern einen echten FQDN mit mindestens einem Punkt dazwischen (z.B. Domäne.TLD).

05. Wechsel des "alten Server" in den einheitlichen 2003er-Modus wird immer angzeigt "Es konnte nicht gewechselt werden, da der Verzeichnisdienst ausgelastet ist."

Warum möchtest du denn die "alte" Domäne in den einheitlichen Modus bringen?

Entscheidend ist doch die Ziel-Domäne für die Migration mit ADMT.

Abgesehen davon, würde ich etwas warten und das heraufstufen erneut versuchen.

Du kannst auch versuchen, den Domänen- bzw. Gesamtstrukturfunktionsmodus durch bearbeiten (mit LDP.exe oder ADSIEdit.msc)

des Attributs msDS-Behavior-Version heraufzustufen.

Für den Gesamtstrukturfunktionsmodus ist im Attribut "msDS-Behavior-Version", dass sich im folgenden Pfad befindet

<CN=Partitions,CN=Configuration,DC=Root-Domäne,DC=TLD> als Wert 2 einzutragen.

Für den Domänenfunktionsmodus ist im Attribut "msDS-Behavior-Version", dass sich im folgenden Pfad befindet

<DC=DeineDomäne,DC=Root-Domäne,DC=TLD> als Wert 2 einzutragen.

eine Frage wäre da noch, is der Ablauf beim SBS R2 identisch?

Ja, denn das R2 ist kein neues Betriebssystem in dem Sinne. R2 ist keinerlei Update der Betriebssystemkomponenten.

R2 müßte man eher "Feature-Pack" nennen. Denn in R2 steckt ein Windows Server 2003 mit Service Pack 1 oder 2.

Mit dem Befehl "LINKD %windir%\sysvol\sysvol" erhalte ich auf dem 2003er folgende Meldung:

 

C:\WINDOWS\sysvol\sysvol is not linked to another directory.

Ja, es fehlen die Junction Points die noch gesetzt werden müssen. Beachte den unten stehenden Artikel.

Du kannst dir die Junction Points z.B. auch mit diesem Tool setzen:

Junction Link Magic

Das Tool Linkd reicht dazu aber auch aus.

Linkd %Systemroot%\SYSVOL\SYSVOL\<DNS-Domänenname> C:\windows\sysvol\domain

Linkd %Systemroot%\SYSVOL\staging areas\<DNS-Domänenname> C:\WINDOWS\SYSVOL\staging\domain

Siehe:

http://support.microsoft.com/kb/315457/en-us

Soll ich das auch wirklich machen wenn ich diese ID gar nicht im Eventvwr erhalte??

Ja, dass kannst du machen. Denn damit machst du nichts anderes, als einen non-authority Restore vom SYSVOL durchzuführen. Du musst nur sicherstellen welcher DC das vollständige SYSVOL-Verzeichnis enthält (samt Junction Points) und stellst in der Registry auf diesem DC dann den Key BURFLAGS D4. Auf den anderen DCs setzt du dann den Key BURFLAGS D2. Das ist aber alles in dem Artikel beschrieben.

NTDS Replication 03.12.2007 10:21:33 Error 1388 Ein anderer Domänencontroller (DC) hat versucht, auf diesen DC ein Objekt zu replizieren, das in der lokalen Active Directory-Datenbank nicht vorhanden ist. Quelldomänencontroller (transportspezifische Netzwerkadresse): b1f2f3bf-b4c1-4d05-b19a-4370cc4d7dab._msdcs.domain.local Objekt: DC="89 CNF:d0977df6-7597-4c87-9145-d00bab8c881c",DC=192.168.192.in-addr.arpa,CN=MicrosoftDNS,CN=System,DC=domain,DC=local Objekt-GUID: d0977df6-7597-4c87-9145-d00bab8c881c Verzeichnispartition: DC=domain,DC=local Ziel-USN der letzten Eigenschaft: 0

Hier befindet sich noch ein veraltetes Objekt im AD.

Das Objekt kannst du mit LDP oder ADSIEdit dann löschen.

Lies dir dazu diesen Artikel durch:

Yusuf`s Directory - Blog - Lingering Objects (veraltete Objekte)

Checking Overall Disk Space and SYSVOL structure (note: integrity is not checked)...

ERROR: Junction Point missing on "\\w2ksrv3alt\c$\windows\sysvol\sysvol"

ERROR: Junction Point missing on "\\w2ksrv3alt\c$\windows\sysvol\staging areas"

......... failed 2

Beachte dazu meinen Link in meiner ersten Antwort.

Servus,

dann versuche dich mal an diesem Artikel:

Yusuf`s Directory - Blog - Dateireplikationsfehler mit der ID 13568

*duck*

Auweiiaa... soo tief kannst du dich garnicht ducken, ich erwische dich trotzdem...

habs vergessen zu erwähnen der alte Server ist ein 2003 Standard aber der neue Server isn SBS .

Dann ist die Vorgehensweise ähnlich. Nur ist es nun zwingend notwendig, dass wenn du den SBS in die bestehende Domäne hinzugefügt hast, dieser unbedingt die FSMO-Rollen tragen und zeitgleich auch GC sein muss.

Ansonsten bleibt die Vorgehensweise fast gleich.

Beachte lediglich die folgenden Artikel:

How to install Small Business Server 2003 in an existing Active Directory domain

Yusuf`s Directory - Blog - Das Active Directory Preparation Tool - ADPREP

Yusuf`s Directory - Blog - Die Besonderheiten eines Small Business Server`s (SBS)

Also der alte Server soll komplett rausfliegen und der neue Server soll anstelle des alten Arbeiten, deswegen meinte ich mit neuinstallieren mit neuer Domäne.

Das habe ich auch so verstanden. Daher fügst du den neuen Server als zusätzlichen in die bestehende Domäne hunzu, installierst darauf das DNS (wobei sich die FLZ im AD befinden sollte), verschiebst die FSMO-Rollen und aktivierst noch den GC.

Dank der AD-Replikation werden die Benutzer- sowie Computerkonten auf den neuen DC repliziert und somit können sich dann die Benutzer, an diesem DC authentifizieren.

Wenn du dann alle weiteren Dienste auf dem neuen Server übernommen hast, kannst du den alten DC mit DCPROMO aus der Domäne entfernen.

Was noch alles zu beachten wäre, erfährst du hier:

Yusuf`s Directory - Blog - Den einzigen Domänencontroller austauschen

Anmelden natürlich an dem neuen DC und nicht wieder an den alten.

Ist klar, dass funktioniert auch genau so. Sobald du den neuen Server in die Domäne hinzugefügt und das DNS installiert hast, authentifiziert dieser ebenfalls die Benutzer.

Salut,

Werden sich die User -wenn ich den alten Server vom Netz nehme- sich "einfach so" wieder anmelden können, OHNE das ich vorher die Workstations aus der alten Domäne entfernt habe und in die neue eingefügt habe (weil Domänenname ja identisch) anmelden können?

selbstverständlich können sich die Benutzer weiterhin anmelden, sonst würde das keinen Sinn ergeben.

Oder müss ich tatsächlich alle Workstation aus der alten DOmäne herausnehmen und in die neue einfügen?

Quark. Du erstellst keine neue Domäne, sondern fügst lediglich der bestehenden Domäne einen weiteren DC hinzu.

Was es dazu alles zu beachten gilt, erfährst du aus diesem Artikel:

Yusuf`s Directory - Blog - Einen zusätzlichen DC in die Domäne hinzufügen

Falls es sich bei dem neuen Server um den ersten Windows Server 2003 --> R2 <-- handelt, musst du vorher das ADPREP mit dem Parameter /FORESTPREP von der zweiten R2-CD auf deinem Schema-Master ausführen.

Yusuf`s Directory - Blog - Schemaupdate beim Windows Server 2003 R2

Ich vermute mal das es da irgendwelche ID´s gibt die das verhindern werden aber wollte trotzdem nochmal nachfragen.

Da wird nichts verhindert.

Oder ist diese Konzept grundsätlich nicht zu empfehlen. Wer hat Erfahrungen mit dieser Konstellation?

Doch, es ist in Ordnung. Du solltest lediglich zusehen, Windows Server 2003 DCs im Einsatz zu haben. Denn erst dann kannst du in den Gesamtstrukturfunktionsmodus Windwows Server 2003 stufen um somit von den Vorteilen, die dir dieser Modus bietet (Replikation, LVR, etc.) zu profitieren.

Beim 2003er Server geht das wohl auch, auch wenn er DC ist.

Korrekt, dass umbenennen einen DCs ist ab Windows Server 2003 möglich, ohne diesen vorher herunterstufen zu müssen.

Nur den Namen des alten 2000er Servers (dann SDC) bekomme ich wohl nicht geändert, solange er SDC ist.

Korrekt. Unter Windows 2000 musst du den DC vorher herunterstufen, den Namen ändern und anschließend wieder zum DC stufen. Merke: Es gibt keinen SDC. Ab 2000 sind es alles DCs ;) .

Fällt Euch dazu was ein.

Man könnte mit einem CNAME Eintrag im DNS arbeiten.

Ich persönlich halte aber davon nicht viel.

Vielleicht erst zum Memberserver runterstufen oder kurz aus der Domäne nehmen und dann wieder zum SDC ernennen?

Das wäre eher meine favorisierte Variante von deinen genannten.

Servus,

Sind die Anleitungen, die hier im Board oder z.B. auf Yusuf's Website zu finden sind, auch für den Umzug von 2000 auf 2003 uneingeschränkt gültig?

ich weiß nicht was du alles hier im Board gefunden hast,

aber die Anweisungen auf meiner Seite kannst du auch beim wechsel von 2000 auf 2003 anwenden.

Meistens wird nämlich nur der Hardwareumzug aber ohne Systemwechsel (2000->2003) beschrieben.

Also gut, dann beschreibe ich hier mal mit meinen Worten die Vorgehensweise und verlinke noch Artikel in denen im Prinzip das gleiche steht.

Zu allererst sollte ein /aktuelles/ sowie natürlich funktionierendes Backup

vom System State existieren.

Dann musst du im ersten Schritt das Active Directory-Schema aktualisieren bzw. auf Windows Server 2003 vorbereiten. Dazu führst du das Tool ADPREP von der Windows Server 2003 CD aus. Falls die neue Maschine ein Windows Server 2003 --> R2 <-- sein sollte, beachte bitte, dass du das ADPREP von der zweiten R2 CD verwendest. Denn das ADPREP bei R2 befindet sich auf beiden CDs.

Yusuf`s Directory - Blog - Schemaupdate beim Windows Server 2003 R2

Du führst das ADPREP mit dem Schalter /FORESTPREP auf deinem 2000er Schema-Master aus. Anschließend führst du ADPREP mit dem Schalter /DOMAINPREP auf dem Infrastruktur-Master in der Domäne aus, in der du den neuen Server hinzufügen möchtest.

Danach füge den neuen Server als "zusätzlichen Domänencontroller einer bereits existierenden Domäne" hinzu. Deine Forward Lookup Zone (FLZ) im DNS sollte auf deinem 2000er DC idealerweise AD-integriert gespeichert sein und "Nur sichere" Updates zulassen".

Wenn die Forward Lookup Zone im AD gespeichert ist, erleichtert dir die Replikation das Leben.

Yusuf`s Directory - Blog - Einen zusätzlichen DC in die Domäne hinzufügen

In den TCP/IP Einstellungen des neuen Servers trägst Du als ersten und einzigsten DNS den bestehenden 2000er DC ein. Erst wenn die Replikation stattgefunden hat, kannst du die DNS-Server Einstellung verändern.

Yusuf`s Directory - Blog - Welcher DNS-Server sollte eingetragen werden ?

Somit hast Du das AD und DNS auf Deinen neuen DC "gesichert".

Dann solltest Du die 5 FSMO-Rollen auf das neuere System verschieben:

Yusuf`s Directory - Blog - Die FSMO-Rollen verschieben

Zusätzlich solltest Du den neuen DC zum GC deklarieren.

Dieses kannst Du in dem Snap-In "Standorte- und Dienste" in dem jeweiligen Standort, auf Deinem Server - in den Eigenschaften der NTDS-Settings den Haken bei "Globaler Katalog" setzen.

Yusuf`s Directory - Blog - Globaler Katalog (Global Catalog - GC)

Was sonst noch alles zu beachten ist und wie du die einzelnen Dienste übernehmen kannst, erfährst du aus diesem Artikel:

Yusuf`s Directory - Blog - Den einzigen Domänencontroller austauschen

Sind außerdem Probleme im Betrieb zu erwarten, wenn man einen 2003er PDC zusammen mit einem 2000er SDC betreibt?

Nein, dass funktioniert.

... to be continued.

Servus,

Mich hat ein User gefragt, ob man nachvollziehen kann das jemand auf eine Datei auf dem Server zugegriffen hat.

wenn die Protokollierung vorher eingerichtet wurde, dann ja.

Achte in diesem Artikel aber, auf die rote Schrift:

Yusuf`s Directory - Blog - Dateizugriff überwachen

vielen Dank für deine Antwort. Hast du eventuell noch einen Link oder ein offizielles Dokument?

Da gibt es kein Dokument dafür, weil es eben von den bereits genannten Faktoren abhängig ist.

Ein Unternehmen pfeifft z.B. auf alles und sagt, ich stelle nur einen EDVler für 300 Mitarbeiter ein. Denn mehr lässt das Budget eben nicht zu.

Dementsprechend ist dann auch die EDV-Qualität (Wartezeit, kaum Weiterentwicklung des Netzwerks, kaum neue Technologien etc.).

Das bestimmt jedes Unternehmen für sich.

Servus,

das lässt sich so pauschal nicht beantworten.

Früher gab es mal die Faustregel 50:1, also für je 50 Benutzer, einen EDVler.

Aber mit der Zeit wandelt sich das und es kommt viel mehr auf die Struktur und die eingesetzten Werkzeuge an. Bei 30 Servern und 1200 Clients kann man das mit 5 Admins oder aber auch mit 20 Admins bewerkstelligen. Bei dem Szenario mit nur 5 Admins, dürfen die Jungs dann händisch keinen PCs mehr installieren. Entweder werden sie schon fertig geimaget vom Hersteller geliefert oder die PCs werden ausgepackt, ans Netz gestöpselt und der Rest kommt von alleine.

Es kommt viel darauf an, wieviel Geld ein Unternehmen in seine IT investiert.

Danke für Deine Hilfe, ich habe den Server jetzt, so hoffe ich, überall ausradiert.

Wenn du meiner Anweisung mit ADSIEdit oder dem Artikel gefolgt bist --> ja.

Du hast jetzt noch geschrieben, wenn der neue Server, der 2003 R2, als erster Server arbeiten soll, muss ich ADprep von der CD 2 ausführen,

Nein, soo habe ich das nicht geschrieben.

Wenn der neue Server, der erste Windows Server 2003 R2 Domänencontroller in der Gesamtstruktur ist/werden soll,

dann ist das ADPREP von der zweiten CD auf deinem bestehenden Schema-Master auszuführen.

aber entschuldige die Frage, auf welchem der 2 Server?

Das hatte ich dir aber geschrieben, du musst nur genau lesen ;) .

Idealeweise auf dem Schema-Master. Denn dabei erweiterst du das Schema.

Du kannst das zwar auf jedem DC ausführen, denn dieser baut dann eine Verindung zum Schema-Master auf, es wäre aber eine unangenehme Situation wenn mitten drin, die Verbindung abbricht. Daher sollten Schemaänderungen direkt auf dem bestehenden Schema-Master ausgeführt werden.

Oder muß ich zuvor noch etwas anderes beachten?

Nur meine Worte ;) .

Servus,

Ich hab mir gedacht ich mach das am Besten mittels VBS (jemand andere ideen?)

wie wäre es mit

dsquery user -name <username>

?

Servus,

die Leichen im AD wirst du mit NTDSUTIL oder ADSIEdit los.

Wie die einzelnen Schritte dazu aussehen, erfährst du aus diesem Artikel:

How to remove data in Active Directory after an unsuccessful domain controller demotion

Das ist ein weiterer Artikel:

Delete Failed DCs from Active Directory

Hier kannst Du Dir über NTDSUTIL einen Webcast anschauen:

7WTT TechNet Webcast: Active Directory - Wartung Ihres Verzeichnisdiensts mit NTDSUTIL (Level 200)

Du kannst den DC mit ADSIEdit auf folgende Variante entfernen:

- Öffne ADSIEdit und verbinde Dich mit der Domain-Partition

- Navigiere zum Contaier "OU=Domain Controllers" und lösche dort die

Einträge des nicht mehr existierenden DCs

- Ebenfalls in der Domain-Partition, löscht Du alle Einträge des DCs auf

folgendem Pfad "CN=Domain System Volume,CN=File Replication

Service,CN=System,DC=<DeineDomäne>,DC=<TLD>

- Dann verbindest Du Dich mit der Configuration-Partition im ADSIEdit und

entfernst alle Einträge des nicht mehr existierenden DCs (z.B.

CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=<DeineDomäne>,DC=<TLD>)

- Entferne alle Einträge vom DC, die im DNS und WINS existieren

Ist der neue Server, der erste Windows Server 2003 R2 in der Windows Server 2003 Gesamtstruktur,

so musst du das ADPREP von der zweiten R2-CD auf dem Schema-Master, mit dem Schalter /FORESTPREP ausführen.

Yusuf`s Directory - Blog - Schemaupdate beim Windows Server 2003 R2

Servus,

so oder so, denke ich, wird der Benutzer schneller sein als der Admin.

Denn egal welches System du anwendest, ruft der Benutzer dich sofort an, wenn er sich nicht anmelden kann. Der Benutzer versucht sich also anzumelden, hat zweimal das Kennwort falsch angegeben und beim dritten mal...zack gesperrt und schon hat er den Hörer in der Hand.

Bis du dann diese Sperrung wahrnimmst, hast du bereits den Benutzer am Apparat.

Mit Boardmitteln könntest du das so lösen:

- Du aktivierst die Richtlinie <Anmeldeereignisse überwachen> und lässt dir dann z.B. mit BLAT die entsprechende EventID bei einem gesperrten Benutzerkonto zumailen.

Beachte aber in diesem Link, die rote Schrift:

http://blog.dikmenoglu.de/PermaLink,guid,9970eff4-48e4-407c-9617-f4034d0e05d2.aspx

Ich behaupte aber, das sich das nicht lohnt.

Der Benutzer an dieser Stelle, gilt als Früh-Warnsystem an sich ;) .

Servus,

dann wäre die Low-Cost Variante (was eben die meisten wollen), der zweite Link den ducke gepostet hat.

Darf es "aufwändiger" sein, dann erstelle einen DHCP-Cluster.

...und heisst dann praktisch... geht nicht...?

Nein, dass heisst es nicht. Du kannst es im Alleingang "auf gut Glück" durchziehen.

Du stehst dann aber in FOLGEPROBLEMEN die in der Zukunft auftreten können, dann ohne Hilfe von seitens Microsoft da. Empfehlen würde ich dir das nicht.

Servus,

das umbenennen einer SBS-Domäne wird seitens Microsoft nicht supportet!

http://www.microsoft.com/technet/community/chats/trans/sbs/sbs0526.mspx

Einfach mal das Computerkonto zurücksetzen.

... und dann muss der Client erneut zur Domäne hinzugefügt werden ;) .

Servus,

Während meiner Recherchen über den W2k3 Server z.B. über Disk Quotas oder DFS, lese ich fast immer, dass W2k3 Server R2 zusätzliches anbietet.

wenn du den FSRM (File Server Ressurce Manager) oder das DFS-R nutzen möchtest, musst du R2 einsetzen.

Das bedeutet aber auch, dass eine weitere/neue Lizenz fällig ist oder es besteht Software Assurance.

Das SP2 hat nichts mit dem R2 zu tun bzw. das SP2 bringt nicht die R2 Funktionalität mit.

R2 ist keinerlei Update der Betriebssystemkomponenten.

R2 müßte man eher "Feature-Pack" nennen. Die erste CD von R2 ist ein Windows Server 2003 mit Service Pack 1.

Die zweite CD macht daraus ein "R2" indem Zusatzkomponenten

unter Systemsteuerung - Software eingetragen werden, die man dann für bestimmte Szenarien nachinstallieren kann.

Yusuf`s Directory - Blog - Schemaupdate beim Windows Server 2003 R2