Verschieben der DC-Objekte in die DC-OU

[mcc 10]

Hallo zusammen,

 

unsere W2K8-Domäne enhält noch Altlasten, die es teils aus Supportgründen zu beseitigen gilt.

 

Zum Einen wäre dies eben der Punkt, dass die Domain Controller alle in einer bestimmten OU (nach Standort) abgelegt sind, welche nicht unterhalb der DC-OU ist sondern in einem anderen Zweig des AD.

 

Aufgrund dieser Webseite: Active Directory mistake: Moving domain controller objects into a child OU of the domain controller is unsupported | ITworld sind wir nun am Überlegen, ob wir die DCs besser in die dafür vorgesehene OU verschieben sollten.

 

Natürlich erhoffen wir uns dabei zusätzlich zu einer saubereren Umgebung auch das Verschwinden bzw. Verbessern bei teils sporadischen wiederkehrenden kleinen Fehlerchen im Alltag.

 

Die GPOs, allen voran die Default Domain Controllers GPO, sind sowohl an die Domain Controllers OU gelinkt als natürlich auch an die aktuellen OUs.

 

Die Frage hierzu ist vor allem: seht ihr bereits Risiken/Probleme, die vermutlich auftreten werden oder könnten?

 

Grüsse

Christian

[NorbertFe 1.805]

Die Frage hierzu ist vor allem: seht ihr bereits Risiken/Probleme, die vermutlich auftreten werden oder könnten?

 

Sollte unkritisch sein, solange die GPOs berücksichtigt werden.

 

Bye

Norbert

[olc 18]

Hi,

 

wie in dem Artikel auch zu lesen, ist das im Kern nicht wirklich supported. Selbst Sub-OUs in der Domain Controllers OU fallen schon darunter.

 

Man sollte auch nicht vergessen, daß unter Umständen DC Zertifikate auf die alte OU Struktur verweisen (DN etc.) oder ähnliche Themen. Da gibt es noch weit mehr Dinge, die zu Problemen führen können.

 

Solange Ihr es anders lösen könnt würde *ich persönlich* empfehlen, die DCs nicht zu verschieben.

 

Viele Grüße

olc

[NilsK 2.785]

Moin,

 

Solange Ihr es anders lösen könnt würde *ich persönlich* empfehlen, die DCs nicht zu verschieben.

 

nur um Missverständnisse auszuschließen: Deine Empfehlung lautet, die DCs nicht von den "falschen" in die "richtige" OU zurückzuschieben?

 

Was würdest du stattdessen tun? So lassen, wie es ist, oder DCs sauber neu installieren?

 

Gruß, Nils

[olc 18]

Moin,

 

ok, gut daß Du nachfragst, ich habe mich undeutlich ausgedrückt: Meine Empfehlung wäre die, die DCs erst gar nicht aus der Domänencontroller OU heraus zu nehmen.

 

Wenn es, wie beim TO passiert, nun doch schon der Fall ist, sollte man ganz genau prüfen, welche Abhängigkeiten in der aktuellen Konstellation existieren (etwa die genannten Zertifikate etc.) - und ggf. einzeln DCs nach Tests zurück zu verschieben, um bei Problemen sofort eingreifen zu können.

 

Es kann alles problemlos laufen, aber die Erfahrung zeigt, daß es in der Praxis diverse Abhängigkeiten vom OU-Standort gibt.

 

Viele Grüße

olc

[NilsK 2.785]

OK, danke für die Klarstellung!

 

Gruß, Nils