Seit Windows 2000 gibt es nicht mehr die beiden Funktionen BDC (Backup Domain Controller) sowie PDC (Primary Domain Controller), die es zu Zeiten von NT gab. Damals konnten Änderungen nur auf dem PDC ausgeführt werden (Single Master Replikation). Das Active Directory (AD) ab Windows 2000 verhält sich grundlegend anders als Windows NT 4.0-Domänen, denn eine Unterscheidung (ob BDC oder PDC) gibt es in einer Active Directory-Domäne nicht mehr. Vielmehr sind alle Domänencontroller (DC) einer Active Directory-Domäne (fast) gleichberechtigt. Somit können in einer AD-Domäne die Änderungen an Attributen und Objekten die auf einem DC getätigt wurden, unter allen DCs mitgeteilt, sprich repliziert werden (Multimaster-Replikation).
Nun gibt es Situationen, in denen eine ausschließliche Multimaster-Replikation eher zu Konflikten führen würde.
Das betrifft beispielsweise eine Active Directory-Schema Erweiterung, die aus Gründen der Konsistenz lediglich von einem einzigen Domänencontroller ausgeführt werden sollten (nämlich dem DC, der die Rolle des Schemamasters innehat). Daher findet beim Active Directory zusätzlich zur Multimaster-Replikation für die Verzeichnispartition bzw. Namenskontexte für bestimmte Aufgaben, ein Einzelmaster-Betrieb statt. Denn für spezielle Aufgaben, darf nur ein einziger DC entweder in der Domäne oder Gesamtstruktur, diese ausführen. Aus diesem Grund spricht Microsoft auch von „Flexible Single Master Operations“, kurz FSMO.
Ab Windows 2000 kamen fünf Betriebsmaster hinzu, die eine besondere Rolle in einer Domäne/Gesamtstruktur einnehmen.
Die fünf FSMO-Rollen wären:
- Schemamaster (existiert nur einmal pro Gesamtstruktur)
- Domänennamenmaster (existiert nur einmal pro Gesamtstruktur)
- RID-Master (Relative ID) (existiert nur einmal pro Domäne)
- PDC-Emulator (existiert nur einmal pro Domäne)
- Infrastrukturmaster (existiert nur einmal pro Domäne)
- Des Weiteren existiert je eine Infrastrukturmasterrolle pro Anwendungsverzeichnispartition, wie es z.B. ab Windows Server 2003 die ForestDNSZones und DomainDNSZones darstellt.
Es gibt Vorgaben, was die Aufteilung der FSMO-Rollen auf einem oder mehreren DCs betrifft:
- Der Schemamaster sowie Domänennamenmaster sollten zusammen auf einem DC liegen
- Der RID-Master sowie PDC-Emulator sollten ebenfalls auf dem gleichen DC liegen.
- Wenn mehrere Domänen in einer Gesamtstruktur existieren, darf der Infrastrukturmaster einer Domäne, nicht auf einem DC liegen, der auch die Funktion des globalen Katalogs (GC=Global Catalog) trägt, es sei denn, man deklariert jeden DC dieser Domäne zum GC.
Genauer gesagt, es muß jeder DC einer Domäne auch GC sein, wenn der Infrastrukturmaster dieser Domäne auf einem GC liegt.
Unabhängig davon, wieviele DCs in anderen Domänen der Gesamtstruktur existieren.
Wenn allerdings jeder Domänencontroller einer Domäne, der Bestandteil einer Gesamtstruktur mit mehreren Domänen ist, auch den globalen Katalog enthält, gibt es keine Arbeit für den Infrastrukturmaster. Der Infrastrukturmaster kann auf einen beliebigen Domänencontroller in dieser Domäne gestellt werden.
Der Infrastrukturmaster, der globale Katalog und der AD-Papierkorb
Oder wenn die Umgebung aus einem Single-Domänen Forest besteht, dann spielt es auch keine Rolle, ob der DC auf dem der Infrastrukturmaster liegt ebenfalls auch globaler Katalog ist oder nicht.
FSMO placement and optimization on Active Directory domain controllers
Ansonsten wird auf dem Infrastrukturmaster auf dem der GC aktiviert ist, ständig die EventID 1419 protokolliert.
Dieser Fehler wird nur dann behoben, wenn der Infrastrukturmaster auf einen DC verschoben wird der kein GC ist oder der GC
auf einem DC aktiviert wird, der nicht die Rolle des Infrastrukturmasters innehat. Der Fehler wird auch dann nicht mehr
protokolliert, wenn auf jedem DC einer Domäne (sei es ein Single-Domänen oder Multi-Domänen Forest) der GC aktiviert wurde.
Event ID 1419 Generated on a Domain Controller
In 99% der Umgebungen ist es empfehlenswert, alle Rollen auf einem DC zu halten.
Man kann alle Rollen auf einen anderen DC im laufenden Betrieb, ohne das die Benutzer dadurch beeinträchtigt werden geschweige denn davon etwas mitbekommen, seit Windows 2000 entweder über die grafische Oberfläche oder in der Kommandozeile mit NTDSUTIL verschieben. Mittels der MMCs lassen sich die FSMO-Rollen in den Snap-Ins Active Directory-Schema, Active Directory-Domänen- und -Vertrauensstellungen sowie Active Directory-Benutzer und -Computer übertragen.
Die Rollen werden aber auch automatisch während dem Herunterstufen des Rolleninhabers auf einen anderen DC übertragen.
Die FSMO-Rollen mit DCPROMO verschieben
Tipp: Es ist empfehlenswert das Übertragen der Rollen in der grafischen Oberfläche direkt von dem zukünftigen Rolleninhaber durchzuführen. Somit ist es nicht notwendig weder in den MMCs noch mit NTDSUTIL zuerst eine Verbindung zum Ziel-DC herzustellen und es sind vor allem weniger “Schritte” notwendig.
Die Besonderheit der Infrastrukturmasterrolle ab Windows Server 2003
Es gibt ab Windows Server 2003 eine Besonderheit was die Rolle des Infrastrukturmasters anbetrifft. Denn mit Windows Server 2003 wurden Anwendungsverzeichnispartitionen eingeführt, wie z.B. im DNS die ForestDNSZones und DomainDNSZones. Ab Windows Server 2003 existiert nämlich zusätzlich je ein
- Ein Schemamaster
- Ein Domänennamenmaster
- Zehn RID-Master (Relative ID)
- Zehn PDC-Emulatoren
- Zehn Infrastrukturmaster für die Domänen bzw. Domänenpartitionen
- Ein Infrastrukturmaster für die Anwendungsverzeichnispartition “ForestDNSZones”
- Zehn Infrastrukturmaster für die Anwendungsverzeichnispartition “DomainDNSZones”
Es existieren also insgesamt 21 Infrastrukturmaster in der Gesamtstruktur. Leider werden aber die Infrastrukturmasterrollen der Anwendungsverzeichnispartitionen beim Übertragen (Rolleninhaber ist online) auf einen anderen DC weder über die GUI noch über NTDSUTIL (NTDSUTIL – Transfer) mit “verschoben”. Diese müssen zusätzlich noch händisch auf einen anderen DC übertragen werden. Auch beim übernehmen (Rolleninhaber ist offline, z.B. DC-Crash) der FSMO-Rollen auf einen anderen DC, müssen zusätzlich die Infrastrukturmaster der Anwendungsverzeichnispartitionen händisch übernommen werden.
Die Infrastrukturmasterrollen der Anwendungsverzeichnispartitionen “ForestDNSZones und “DomainDNSZones” lassen sich wie folgt auf einen anderen DC verschieben:
Unter Windows 2000 und Windows Server 2003 gilt es zuerst die Windows Support Tools (auf der Server-CD im Verzeichnis Support\Tools) zu installieren.
Danach startet man das ADSIEdit, was ab Windows Server 2008 bereits “on Bord” ist.
Im ADSIEdit wählt man mit einem Rechtsklick auf den Eintrag “ADSI Edit” die Option “Connect to…” aus.
Im darauffolgenden Fenster “Connection Settings” ist im Bereich “Connection Point” die Option “Select or type a Distinguished Name or Naming Context” auszuwählen.
In dem Feld trägt man dann den Distinguished Name (DN) der entsprechenden Anwendungsverzeichnispartition ein, um sich mit dieser Verzeichnispartition zu verbinden. Im Fall der “ForestDNSZones” würde der DN so lauten:
DC=ForestDNSZones,DC=Root-Domäne,DC=TLD
Anschließend verbindet man sich noch mit den einzelnen (je nach Anzahl der Domänen) “DomainDNSZones” Partitionen. Der DN lautet wie folgt:
DC=DomainDNSZones,DC=Domäne,DC=TLD
Wenn man nun im ADSIEdit auf der linken Seite die einzelnen Verzeichnispartitionen mit denen man sich verbunden hat erweitert, findet man auf der rechten Seite das Objekt CN=Infrastructure. Mit einem Rechtsklick auf dieses Objekt ruft man die Eigenschaften des Objekts auf und ändert dort den Wert im Attribut fSMORoleOwner.
Der Wert im Attribut sieht z.B. so aus:
CN=NTDS Settings,CN=DCON01,CN=Servers,CN=<Standort>,CN=Sites,CN=Configuration,DC=intra,DC=dikmenoglu,DC=de
Existieren evtl. noch selbst erstellte Anwendungsverzeichnispartitionen, so müssen die Infrastrukturmasterrollen dieser Vezeichnispartitionen ebenfalls auf einen anderen DC verschoben werden, wenn der Ursprungsrollenträger aus der Domäne entfernt werden soll oder nicht mehr zur Verfügung steht.
Der folgende Befehl kann dazu verwendet werden, die Verzeichnispartitionen die in der Gesamtstruktur existieren sich anzeigen zu lassen:
Dsquery * CN=Partitions,CN=Configuration,DC=Root-Domäne -attr ncname
Möchte man sich lediglich die Anwendungsverzeichnispartitionen die in der Gesamtstruktur existieren anzeigen lassen, so ist das mit diesem Befehl möglich:
Dsquery * CN=Partitions,CN=Configuration,DC=Root-Domäne -filter (systemflags=5) -attr ncname
Die Infrastrukturmasterrollen der jeweiligen DomainDNSZones-Partition lässt sich wie folgt herausfinden:
Dsquery * CN=Infrastructure,DC=DomainDNSZones,DC=<die jeweilige Domäne>,DC=TLD -attr fSMORoleOwner
Siehe auch:
Die Infrastrukturmaster der Anwendungsverzeichnispartitionen
Den Schemamaster in der grafischen Oberfläche online übertragen
Die Rolle des Schemamasters kann innerhalb einer Gesamtstruktur, auf jeden DC egal aus welcher Domäne übertragen werden. Um die Rolle des Schemamasters vom ursprünglichen auf einen anderen Domänencontroller über die grafische Oberfläche zu übertragen, muss zuerst das Schema Snap-In registriert werden. Dazu geht man auf „Start-Ausführen“ und gibt dort folgenden Befehl ein regsvr32 schmmgmt.dll. Danach lässt sich das Schema Snap-In in einer MMC hinzufügen. Das Schema Snap-In erscheint nicht unter „Start-Programme-Verwaltung“ wie die bereits existierenden AD-Snap-Ins.
Die genaue Vorgehensweise ist wie folgt, wozu Schema-Admins Rechte benötigt werden:
- Unter Start-Ausführen öffnet man mit der Eingabe von MMC eine leere MMC-Konsole.
- In der MMC klickt man auf Datei – Snap-In hinzufügen/entfernen…
- Unterhalb von Verfügbare Snap-Ins: wählt man das Snap-In Active Directory-Schema aus und klickt auf die Schaltläche Hinzufügen und anschließend auf OK.
- Auf dem ursprünglichen Rolleninhaber gilt es mit einem Rechtsklick auf Active Directory-Schema [FQDN] im Kontextmenü den Eintrag Active Directory-Domänencontroller ändern… auszuwählen.
- Es muss der DC ausgewählt werden, auf dem die Schemamasterrolle übertragen werden soll.
Hinweis: Führt man das übertragen der Schemamasterrolle gleich auf dem zukünftigen Rolleninhaber durch, so ist das verbinden zum Ziel-DC nicht notwendig da man sich bereits auf diesem befindet.
- Mit einem erneuten Rechtsklick auf Active Directory-Schema [FQDN] muss diesmal im Kontextmenü der Eintrag Betriebsmaster… ausgewählt werden.
- Im Dialogfenster Schemamaster ändern klickt man auf die Schaltfläche Ändern und bestätigt die nachfolgende Abfrage mit Ja.
- Die fehlerfreie Übertragung auf den Ziel-DC ist mit OK zu bestätigen.
- Zum Schluss schließt man mit einem Klick auf Schließen das Dialogfenster Schemamaster ändern.
Den Domänennamenmaster in der grafischen Oberfläche online übertragen
Die Rolle des Domänennamenmasters kann innerhalb einer Gesamtstruktur, auf jeden DC egal aus welcher Domäne übertragen werden. Die Rolle des Domänennamenmasters lässt sich vom ursprünlglichen auf einen anderen DC in der MMC Active Directory-Domänen und -Vertrauensstellungen mit Organisations-Admins Rechten übertragen.
Die einzelnen Schritte wären folgende:
- Zuerst ruft man das Snap-In Active Directory-Domänen und -Vertrauensstellungen unter Start-Programme-Verwaltung auf.
Hinweis: Führt man das übertragen der Domänennamenmasterrolle gleich auf dem zukünftigen Rolleninhaber durch, so ist das verbinden zum Ziel-DC nicht notwendig da man sich bereits auf diesem befindet.
Den RID-Master in der grafischen Oberfläche online übertragen
Der RID-Master kann ausschließlich innerhalb der Domäne auf einen anderen DC übertragen werden. Zum übertragen der RID-Master-Rolle, werden Domänen-Administratorrechte der entsprechenden Domäne benötigt. Das Übertragen des RID-Masters funktioniert wie folgt:
- Unter Start-Ausführen-dsa.msc oder unter Sart-Programme-Verwaltung gilt es die MMC Active Directory-Benutzer und -Computer zu starten.
- Auf dem ursprünglichen Rolleninhaber gilt es mit einem Rechtsklick auf den Domänennamen im Kontextmenü die Option Domänencontroller ändern… auszuwählen.
- Danach muss der DC ausgewählt werden, auf dem die Rolle des RID-Masters übertragen werden soll.
Hinweis: Führt man das übertragen des RID-Masters gleich auf dem zukünftigen Rolleninhaber durch, so ist das verbinden zum Ziel-DC nicht notwendig da man sich bereits auf diesem befindet.
- Es gilt erneut mit einem Rechtsklick auf den Domänennamen, aus dem Kontextmenü den Eintrag Betriebsmaster… auszuwählen.
- Ist das Dialogfenster Betriebsmaster geöffnet, kann im Register RID mit einem Klick auf Ändern und anschließender Bestätigung der nachfolgenden Abfrage mit Ja, die RID-Master-Rolle übertragen werden.
- Das die Betriebsmasterrolle auf den betreffenden DC fehlerfrei übertragen wurde, muss mit einem Klick auf OK bestätigt werden.
- Das Dialogfenster Betriebsmaster kann mit einem Klick auf die Schaltfläche Schließen geschlossen werden.
Der RID-Master und sein RID-Pool
Den PDC-Emulator in der grafischen Oberfläche online übertragen
Die Rolle des PDC-Emulators kann nur innerhalb der Domäne auf einen anderen DC übertragen werden. Mit Domänen-Administratorrechten der entsprechenden Domäne, kann diese Rolle in der MMC Active Directory-Benutzer und -Computer übertragen werden. Dazu geht man wie folgt vor:
- Als erstes gilt es unter Start-Ausführen-dsa.msc oder unter Sart-Programme-Verwaltung die MMC Active Directory-Benutzer und -Computer zu öffnen.
Hinweis: Führt man das übertragen des PDC-Emulators gleich auf dem zukünftigen Rolleninhaber durch, so ist das verbinden zum Ziel-DC nicht notwendig da man sich bereits auf diesem befindet.
Den Infrastrukturmaster in der grafischen Oberfläche online übertragen
Mit Domänen-Administratorrechte kann die Infrastrukturmaster-Rolle innerhalb der Domäne auf einen anderen DC übertragen werden. Die Betriebsmasterrolle kann im Snap-In Active Directory-Benutzer und -Computer wie folgt auf einen anderen DC übertragen werden:
Es gilt im zuerst unter Start-Ausführen-dsa.msc oder unter Sart-Programme-Verwaltung die MMC Active Directory-Benutzer und -Computer aufzurufen.
Auf dem ursprünglichen Rolleninhaber gilt es mit einem Rechtsklick auf den Domänennamen, im Kontextmenü den Eintrag Domänencontroller ändern… auszuwählen.
Es muss der DC ausgewählt werden, der die Rolle des Infrastrukturmasters erhält.
Hinweis: Führt man das übertragen des PDC-Emulators gleich auf dem zukünftigen Rolleninhaber durch, so ist das verbinden zum Ziel-DC nicht notwendig da man sich bereits auf diesem befindet.
Mit einem weiteren Rechtsklick auf den Domänennamen, ist aus dem Kontextmenü der Eintrag Betriebsmaster… auszuwählen.
Die FSMO-Rollen in der Kommandozeile mit NTDSUTIL online übertragen
Alle fünf FSMO-Rollen lassen sich auch in der Kommandozeile auf einen anderen DC übertragen.
- Als erstes muss in der Eingabeaufforderung (Start-Ausführen-CMD) oder unter “Start – Ausführen” das NTDSUTIL aufgerufen werden.
- Mit dem Befehl ROLES wechselt man zur “fsmo maintenance” Ebene.
- In der „fsmo maintenance“ Ebene gibt man Connections ein.
- Mit dem Befehl “Connect to Server <Servername>“, gilt es den Ziel-DC (zukünftiger Rolleninhaber) zu fokussieren.
- In der „server connections“ Ebene muss man mit “quit” oder „q“ erneut zur „fsmo maintenance“ Ebene wechseln.
- Nun können mit dem folgenden Befehl, die Betriebsmasterrollen auf den fokussierten DC übertragen werden: Transfer <Rolle>
Transfer schema master
Transfer domain naming master (gilt bis einschließlich Windows Server 2003!)
Transfer naming master (gilt ab Windows Server 2008!)
Transfer RID master
Transfer PDC
Transfer infrastructure master
- Die folgende Abfrage ist mit einem Klick auf OK zu bestätigen.
- Nach dem übertragen gilt es mit „q“ (zweimal), die NTDSUTIL – Kommandozeile zu verlassen.
Falls dieser nicht mehr online ist, weil er einen Hardware-Crash erlitten hat, muss man die Rollen zwangsweise mit der „seize <Funktion>“ übertragen (bei gleicher Vorgehensweise wie beim “transfer”).
Funktionieren würde das Verschieben, wenn der DC (für immer) offline wäre, auch über die GUI, bis auf den RID-Master, dieser muss per „seize“ verschoben werden.
Befindet sich der Rolleninhaber nur vorübergehend offline, so ist es nicht notwendig die Rollen auf einen anderen DC zu verschieben!
Die FSMO-Rollen offline übernehmen
Das Übertragen der Betriebsmasterrollen funktioniert nur, wenn der ursprüngliche Rolleninhaber online ist. Falls jedoch der Rolleninhaber durch einen Hardwaredefekt dauerhaft ausgefallen ist, so können die Rollen nicht einfach auf einen anderen DC übertragen werden. Die Rollen müssen vielmehr von einem anderen DC übernommen werden. Da aber der ursprüngliche “defekte” Rolleninhaber von der Übernahme der Betriebsmasterrollen durch einen anderen DC nichts mitbekommt, kann es zu schwerwiegenden Problemen kommen, wenn der “defekte” Rolleninhaber repariert und erneut in Betrieb genommen wird. Wenn die FSMO-Rollen durch einen anderen DC übernommen wurden, darf der ursprüngliche Rolleninhaber nie mehr online gehen!
Sind stattdessen nur die Rollen PDC-Emulator oder Infrastrukturmaster ausgefallen und wurden diese inzwischen von einem anderen DC übernommen, so stellt die Wiederinbetriebnahme des ursprünglichen Rolleninhabers kein Problem dar. Nur der Rolleninhaber dieser beiden Rollen darf nach der Übernahme von einem anderen DC erneut online gehen. Wird der ursprüngliche Rolleninhaber wieder online gebracht, repliziert sich dieser mit seinen Replikationspartnern und erfährt dabei, dass die Rollen mittlerweile von einem anderen DC ausgeführt werden. Die Änderung wird vom DC übernommen und er führt die beiden Rollen nicht mehr aus.
Ist der Träger der FSMO-Rollen nur für eine absehbare kurze Zeit offline, so ist es nicht notwendig das die Rollen auf einen anderen DC übertragen oder von einem anderen DC übernommen werden.
Die FSMO-Rollen können alle bis auf den RID-Master über die grafische Oberfläche oder mit NTDSUTIL übernommen werden. Der RID-Master muss zwingend in der Kommandozeile mit NTDSUTIL übernommen werden. Die Übernahme der Betriebsmasterrollen mit NTDSUTIL ist seit Windows 2000 folgendermaßen möglich:
- Auf einem DC muss zuerst unter “Start-Ausführen” oder in einer Eingabeaufforderung (Start-Ausführen-CMD) das NTDSUTIL aufgerufen werden.
- Als nächstes wechselt man mit ROLES zur fsmo maintenance Ebene.
- Dann muss der Befehl Connections eingegeben werden.
- Mit dem Befehl Connect to Server <Servername>, gilt es den zukünftigen Rolleninhaber zu fokussieren.
- In der „server connections“ Ebene muss man mit “quit” oder „q“ erneut zur „fsmo maintenance“ Ebene wechseln.
- Die Übernahme der gewünschten FSMO-Rollen auf den fokussierten DC, kann mit den folgenden Befehlen erfolgen:
Seize schema master
Seize domain naming master (gilt bis einschließlich Windows Server 2003!)
Seize naming master (gilt ab Windows Server 2008!)
Seize RID master
Seize PDC
Seize Infrastructure master
Nach der Ausführung dieser Befehle wird trotzdem zuerst versucht, die Rollen “online” zu übertragen. Daher erscheint zwar in der Kommandozeile eine irreführende Meldung, doch letztenendes werden die Rollen dann doch von einem anderen DC übernommen. Die Meldung in der Kommandozeile sollte “nur” sorgfältig gelesen werden.
- Die jeweils folgende Abfrage ist mit einem Klick auf OK zu bestätigen.
Wo befinden sich die FSMO-Rollen?
Auf welchem DC die FSMO-Rollen liegen, kann man sich recht einfach mit dem Kommandozeilen-Befehl NETDOM (aus den Windows Support Tools) anzeigen lassen.
Der Befehl dazu lautet: NETDOM QUERY FSMO.
Die etwas aufwändigere Abfrage wäre mit DSQUERY:
dsquery server -hasfsmo schema
dsquery server -hasfsmo name
dsquery server -hasfsmo rid
dsquery server -hasfsmo pdc
dsquery server -hasfsmo infr
Oder mit DCDIAG: DCDIAG /Test:Knowsofroleholders /v
Wer diese Informationen gerne über die grafische Oberfläche erfahren möchte, der kann sich dazu die Windows Support Tools installieren und startet anschließend unter Windows 2000 und Windows Server 2003 das REPLMON. Im nächsten Schritt verbindet man sich mit einem DC und wählt mit einem Rechtsklick auf den NetBIOS-Namen des DCs, die Option Properties aus. Im Reiter FSMO Roles bekommt an dann die oder den Träger der FSMO-Rollen zu sehen.
Weitere Informationen:
Die FSMO-Rollen mit der AD-Powershell verschieben
Reagieren auf Betriebsmasterausfälle
How Operations Masters Work
How To Find Servers That Hold Flexible Single Master Operations Roles
How to view and transfer FSMO roles in Windows Server 2003
How to view and transfer FSMO roles in the graphical user interface
Using Ntdsutil.exe to transfer or seize FSMO roles to a domain controller
How to Find the FSMO Role Owners Using ADSI and WSH
Comments are closed, but trackbacks and pingbacks are open.