AD OU Domain Controllers

[marin 10]

Hallo Zusammen

Habe eine W2K8 R2 Domäne, bestehend aus DC, Ex2012 (Member) und DB (Member). Hier wurde der DC aus der OU Doain Controllers in eine eigen OU verschoben. Habe einiges gelesen, z. Bsp: http://www.mcseboard.de/windows-server-forum-78/dc-ou-domaincontrollers-verschieben-120964.html

Nun meine Frage: Was passiert wenn ich den DC wieder in die DOmain Controllers OU Zurückschiebe? Kapiert das die AD Datenbank (kann mich da an viele ADSI Edit Einträge erinnern welche auf OU_ Lauten). Hat jemand schon mal so etwas gemacht?

[Dukel 468]

Die OU's haben vor allem etwas mit GPO's und Deligierung zu tun.

Mit der AD Datenbank hat das hier weniger etwas zu tun.

[NilsK 3.046]

Moin,

 

meines Wissens ist es nicht supported, wenn die DCs in einer anderen OU sind. Also zurückschieben und dann den betreffenden DC neu starten.

 

Gruß, Nils

[NorbertFe 2.277]

Ob supported ist, kann man nicht direkt sagen:

Securing Active Directory Administrative Groups and Accounts

IMPORTANT: Do not move any domain controller accounts out of the default Domain Controllers OU, even if some administrators log on to them to perform administrative tasks. Moving these accounts will disrupt the consistent application of domain controller policies to all domains.

 

Bye

Norbert

 

PS: http://www.windowsitpro.com/article/domains2/q-can-i-move-my-domain-controllers-dcs-from-the-default-domain-controllers-organizational-unit-ou- ;)

[marin 10]

Für mich stellt sich nicht die Frage ob es supported ist den DC in eine andere OU zu verschieben, sondern was die Folgen vom Zurückschieben sind. Aber gemäss Nils sollte das ja kein Problem sein. Tja, dann weis ich was am Weekend ansteht.

 

Gruss und Danke!

[Dukel 468]

Da musst du doch nicht aufs Wochenende warten.

[olc 18]

Hi,

 

das Verschieben ist von Microsoft "supported", aber *explizit* nicht empfohlen. Offensichtlich sind nicht alle TechNet Artikel in Bezug auf diese Aussage aktualisiert worden.

 

Microsoft strongly recommends against moving any domain controller accounts out of the Domain Controllers OU (OU=domain controllers,DC=<domain name>). Moving these accounts can disrupt the consistent application of domain controller policies. For more information, see Securing Active Directory Administrative Groups and Accounts (http://go.microsoft.com/fwlink/?LinkId=168899).

 

Hintergrund die potentielle Probleme mit den verlinkten GPOs, Monitoring Lösungen, diverser "Drittsoftware" als auch u.U. problematischen Auswirkungen, wenn etwa DC-Zertifikate eingesetzt werden (PKI). Die ausgestellten Zertifikate können den DN der DCs zum Ausstellungszeitpunkt der Zertifikate enthalten, was Probleme bereiteten kann, wenn die Objekte verschoben werden.

 

Das "zurück Verschieben" ist also grundsätzlich empfehlenswert, kann jedoch (siehe Zertifikatbeispiel) auch zu Problemen führen. Vermutlich hast Du keine Testumgebung, die der Produktionsumgebung entspricht?

 

BTW: Nur ein DC in einer Domäne / einem Forest ist nicht zu empfehlen. Bestenfalls sind es mindestens zwei DCs pro Domäne.

 

Viele Grüße

olc