Immer wieder stolpere ich über Missverständnisse, welche Rolle der Domänen- respektive Gesamtstrukturfunktionsmodus in einer
bestehenden Umgebung spielt. Gerade im Zusammenhang wenn eine Migration bevor steht oder ein Windows 2000 Domänencontroller (DC)
in eine Windows Server 2003 Domäne hinzugefügt werden soll, kommen Administratoren des Öfteren ins straucheln.
Gerade auf dem Windows Server 2008 Launch in Frankfurt am Main fiel mir in den Gesprächen immer wieder auf,
dass es Missverständnisse mit den einzelnen Funktionsebenen gibt.


Als mit Windows 2000 das Active Directory in seiner ersten Version eingeführt wurde, musste Microsoft die Interoperabilität innerhalb
der Domänen zwischen den verschiedenen Serverbetriebssystemen die auf Domänencontrollern installiert sein können sicherstellen.
Demzufolge wurde mit Windows 2000 die Funktionsebenen, genauer, der Domänenfunktionsmodus eingeführt. Mit Windows Server 2003
kam zusätzlich der Gesamtstrukturfunktionsmodus hinzu. Durch die jeweiligen Funktionsebenen konnte gewährleistet werden,
dass Domänencontroller (DC) auf älteren Serverbetriebssystemen auch mit DCs die auf neueren Serverbetriebssystemen laufen,
zusammen innerhalb einer Domäne existieren können. Weiterhin konnte mit den Funktionsebenen sichergestellt werden,
dass Domänen sowie Gesamtstrukturen in einem bestimmten Modus betrieben werden können, um so die jeweils zur Verfügung stehenden
(neuen) Funktionen nutzen zu können. Denn dadurch, dass das Serverbetriebssystem stetig weiterentwickelt wird, werden mit jeder
neuen Version neue Funktionen der Domäne sowie der Gesamtstruktur hinzugefügt. Das bedeutet im Umkehrschluss,
dass die Vorgängerversionen die Neuerungen die mit jeder neuen Serverbetriebssystem-Version dem Active Directory hinzugefügt werden,
nicht kennen und somit auch nicht nutzen können.


Folglich wird mit den Funktionsebenen die Möglichkeit geschaffen, einerseits DCs mit verschiedenen Serverbetriebssystem-Versionen
innerhalb der Domäne zu betreiben und andererseits, neue Funktionen dem Active Directory hinzuzufügen. Der Administrator kann selbst
entscheiden wann er in die nächsthöhere Ebene wechselt, um von den Vorteilen die der höhere Modus bietet zu profitieren. Dies kann er
selbstverständlich nur dann tun, wenn die Voraussetzung für den höheren Modus gegeben sind. Den Unternehmen wird somit die Möglichkeit
geschaffen, eine sanfte Migration z.B. von Windows NT zu Windows 2000 oder Windows Server 2003 durchzuführen und parallel NT-BDCs,
Windows 2000 DCs und Windows Server 2003 DCs zu betreiben. Anschließend kann die sukzessive Migration der einzelnen DCs auf das neuere
Serverbetriebssystem durchgeführt und am Ende der Modus umgestellt werden.


NT-BDCs können neben Windows Server 2008 DCs nicht mehr existieren!
Stattdessen können Windows 2000 DCs sowie Windows Server 2003 DCs neben Windows Server 2008 DCs bestehen.


Der Domänenfunktionsmodus legt den Modus einer Domäne und somit die einzusetzenden Domänencontroller in dieser Domäne fest.
Dieser Modus kann nur dann heraufgestuft werden, wenn alle Domänencontroller einer Domäne eine gewisse Serverbetriebssystem-Version
ausführen, die für den höheren Modus notwendig ist.


Das bedeutet konkret, möchte man in den einheitlichen Domänenfunktionsmodus
Windows 2000 pur wechseln, so müssen alle DCs dieser Domäne unter Windows 2000, Windows Server 2003/2003R2,
Windows Server 2008 oder Windows Server 2008 R2 laufen. Es dürfen keine NT-BDCs mehr in der Domäne existieren,
da ansonsten die Möglichkeit des Heraufstufen nicht gegeben ist.


Befindet sich die Domäne im Modus Windows Server 2003, so ist es nicht mehr möglich einen Windows 2000 DC,
geschweige denn NT-BDC zur Domäne hinzuzufügen, sondern nur noch Windows Server 2003/2003 R2 und Windows Server 2008/2008 R2 DCs.


Oder wenn man in den Domänenfunktionsmodus Windows Server 2008 wechseln möchte um von den neuen Features zu profitieren
(Password Settings Objects – kurz PSO – oder die DFS-Replikation für das SYSVOL-Verzeichnis), so müssen alle DCs dieser Domäne
unter Windows Server 2008 oder Windows Server 2008 R2 laufen. Sonst ist das Heraufstufen der Domäne nicht möglich.


Möchte man den AD-Papierkorb der unter Windows Server 2008 R2 zur Verfügung steht nutzen, so muss sich der Gesamtstrukturfunktionsmodus
auf Windows Server 2008 R2 befinden. In diesem Modus können dann nur Windows Server 2008 R2 DCs oder höher existieren.


Wie bereits erwähnt, wurde im Active Directory von Windows Server 2003 neben dem Domänenfunktionsmodus zusätzlich der
Gesamtstrukturfunktionsmodus eingeführt. Mit diesem zusätzlichen Modus auf Gesamtstrukturebene wird zwischen einer Windows 2000,
Windows Server 2003/2003 R2, Windows Server 2008 und Windows Server 2008 R2 Gesamtstruktur klar unterschieden.
Der Gesamtstrukturfunktionsmodus legt den Modus einer Gesamtstruktur fest. Das Heraufstufen ist nur dann möglich,
wenn sich alle Domänen in dieser Gesamtstruktur in einem bestimmten Domänenfunktionsmodus befinden.


In den Gesamtstrukturfunktionsmodus Windows 2000 lässt sich nur dann wechseln, wenn sich alle Domänen im Domänenfunktionsmodus
„Windows 2000 pur“ oder höher befinden. Auf den Gesamtstrukturfunktionsmodus Windows Server 2003 kann nur dann gewechselt werden,
wenn sich alle Domänen im Domänenfunktionsmodus Windows Server 2003 oder höher befinden.
Das gleiche gilt natürlich auch für den Gesamtstrukturfunktionsmodus Windows Server 2008. Dort kann in diese Ebene nur gewechselt werden,
wenn alle Domänen im Domänenfunktionsmodus Windows Server 2008 oder höher sind. Um in den Gesamtstrukturfunktionsmodus
Windows Server 2008 R2 zu wechseln, müssen sich alle Domänen im Domänenfunktionsmodus “Windows Server 2008 R2″ oder höher befinden.



Hinweis: Wenn sich die Domänen in einer Windows Server 2003 Gesamtstruktur im Domänenfunktionsmodus „Windows 2000 pur“ befinden,
werden diese automatisch auf den Domänenfunktionsmodus „Windows Server 2003“ heraufgestuft, sobald man den
Gesamtstrukturfunktionsmodus auf Windows Server 2003 stuft. Vorausgesetzt, es befinden sich in allen Domänen der
Gesamtstruktur ausschließlich Windows Server 2003 DCs.

Das gleiche trifft im Übrigen auf eine Windows Server 2008 Gesamtstruktur zu. Wenn dort die Domänen im einheitlichen
Domänen-Modus „Windows 2000“ oder „Windows Server 2003“ sind und sich ausschließlich Windows Server 2008 DCs in
den Domänen befinden, werden alle Domänen auf den Domänenfunktionsmodus Windows Server 2008 gestuft, sobald der
Gesamtstrukturfunktionsmodus auf Windows Server 2008 gestuft wird.

Das bedeutet im Klartext, befinden sich alle Domänen in der Gesamtstruktur in einem “einheitlichen Modus” und werden die Betriebssysteme
die auf den DCs laufen von dem höheren Modus unterstützt, so werden alle Domänen automatisch in den höheren Domänenfunktionsmodus heraufgestuft,
sobald man den Gesamtstrukturfunktionsmodus heraufstuft.



Die Funktionsebenen auf Domänen- sowie Gesamtstrukturebene haben einzig und allein Einfluss auf die Domänencontroller.
Mitgliedsserver sowie Clients sind davon unbetroffen und können in jedem Modus Mitglied der Domäne sein. Auch im
Domänenfunktionsmodus „Windows Server 2003“ können Windows NT Mitgliedsserver weiterhin existieren.


Wichtig ist, wurde der Domänen- oder Gesamtstrukturfunktionsmodus einmal heraufgestuft, kann der Modus nicht mehr zurückgestuft werden!
Das Heraufstufen der Domäne bzw. Gesamtstruktur ist ein irreversibler Vorgang!

Eine Ausnahme besteht jedoch seit Windows Server 2008 R2. Ist der AD-Papierkorb nicht aktiviert, kann der Domänen- sowie Gesamtstrukturfunktionsmodus
nur auf “Windows Server 2008″ zurückgestuft werden (Details unter “Weitere Informationen”).


Für das Heraufstufen des Domänenfunktionsmodus werden Domänen-Administrator Rechte benötigt.
Die Heraufstufung wird von dem DC durchgeführt, der die FSMO-Rolle des PDC-Emulators innehat.
Egal mit welchem DC der Administrator mit der MMC „Active Directory-Benutzer und -Computer“ oder
„Active Directory-Domänen und -Vertrauensstellungen“ verbunden ist, zum Zeitpunkt des Heraufstufens
verbindet sich der DC mit dem PDC-Emulator.


Zum Heraufstufen des Gesamtstrukturfunktionsmodus werden Organisations-Admin Rechte benötigt.
Dieser Vorgang wird vom Schema-Master durchgeführt. Auch hier ist die Durchführung die gleiche,
wie beim Heraufstufen der Domäne. Falls der DC mit dem der Administrator nicht die Rolle des
Schemamasters innehat, verbindet sich der DC mit diesem, der dann die Gesamtstruktur herauf stuft.



Welche Vorteile in Bezug auf Funktionen und Sicherheit die einzelnen Funktionsebenen mit sich bringen,
wird auf den folgenden Seiten beschrieben:

Understanding AD DS Functional Levels
How to raise domain and forest functional levels in Windows Server 2003
Domain and forest functionality
How Active Directory Functional Levels Work




Den Domänen- bzw. Gesamtstrukturfunktionsmodus kann man während dem Betrieb umstellen und es ist auch kein Neustart notwendig!
Mit wenigen Mausklicks wird die Domäne bzw. Gesamtstruktur umgestellt. Bei dem Aktualisierungsprozess wird einiges an Netzwerkverkehr in der
Domäne bzw. Gesamtstruktur erzeugt, daher sollte darauf geachtet werden die Heraufstufung nicht im Hochbetrieb durchzuführen.


Bestehende Vertrauensstellungen, sei es zu Windows NT, Windows 2000, Windows Server 2003 oder Windows Server 2008
sind davon nicht betroffen bzw. haben mit dieser Umstellung kein Problem und funktionieren weiterhin.


Über die MMCs lässt sich das Heraufstufen des Domänenfunktionsmodus entweder über das Snap-In
„Active Directory-Benutzer und -Computer“ (dsa.msc) oder „Active Directory-Domänen und -Vertrauensstellungen“ (domain.msc)
durchführen, wobei die Gesamtstruktur ausschließlich im Snap-In „Active Directory-Domänen und -Vertrauensstellung“ heraufgestuft
werden kann. Mit einem Rechtsklick auf den FQDN steht in der jeweiligen MMC die Option Domänenfunktionsebene heraufstufen…
zur Verfügung. Zum Heraufstufen der Gesamtstruktur muss in der MMC domain.msc mit einem Rechtsklick auf den Eintrag
Active Directory-Domänen und -Vertrauensstellung die Option Gesamtstrukturfunktionsebene heraufstufen… ausgewählt werden.
Danach können jeweils die zur Verfügung stehenden Ebenen eingestellt werden.


Beide Ebenen lassen sich ebenfalls durch bearbeiten (mit LDP.exe oder ADSIEdit.msc) des Attributs msDS-Behavior-Version heraufstufen.

Für den Gesamtstrukturfunktionsmodus ist im Attribut msDS-Behavior-Version, das sich in den Eigenschaften des Containers
<CN=Partitions,CN=Configuration,DC=Root-Domäne,DC=TLD> befindet, der entsprechende Wert einzutragen.


Für den Domänenfunktionsmodus findet man das Attribut msDS-Behavior-Version in den Eigenschaften des Containers <DC=Domäne,DC=TLD>.



Folgende Werte können im Attribut msDS-Behavior-Version eingetragen werden:

0 = Domänenfunktionsebene: Windows 2000 gemischt und Windows 2000 pur
0 = Gesamtstrukturfunktionsebene: Windows 2000
1 = Domänenfunktionsebene: Windows Server 2003 Interim
1 = Gesamtstrukturfunktionsebene: Windows Server 2003 Interim
2 = Domänenfunktionsebene: Windows Server 2003
2 = Gesamtstrukturfunktionsebene: Windows Server 2003
3 = Domänenfunktionsebene: Windows Server 2008
3 = Gesamtstrukturfunktionsebene: Windows Server 2008
4 = Domänenfunktionsebene: Windows Server 2008 R2
4 = Gesamtstrukturfunktionsebene: Windows Server 2008 R2



Im Übrigen ist durch das bearbeiten des Attributs msDS-Behavior-Version dies die einzige Möglichkeit, die Gesamtstrukturfunktionsebene
„Windows Server 2003 Interim“ zu wählen, wenn kein Inplace-Update von Windows NT durchgeführt wurde. Findet kein Inplace-Update
von Windows NT statt, steht dieser Modus nicht zur Verfügung.



Es gibt die folgenden Domänenfunktionsebenen:


Windows 2000 gemischt
Dieser Modus existiert in Windows 2000 und Windows Server 2003 Domänen.
Es können NT-BDCs, Windows 2000 DCs und Windows Server 2003 DCs in diesem Modus bestehen.

Windows 2000 pur

Diese Ebene besteht in Windows 2000, Windows Server 2003/2003 R2, Windows Server 2008 und Windows Server 2008 R2 Domänen.
Darin können Windows 2000, Windows Server 2003/2003 R2, Windows Server 2008 und Windows Server 2008 R2 DCs existieren.

Windows Server 2003 Interim

Die Auswahl des Modus „Windows Server 2003 Interim“ steht ausschließlich nur zur Auswahl, wenn von einer NT-Domäne
per Inplace-Update auf Windows Server 2003 aktualisiert wird. In diesem Modus können NT-BDCs sowie Windows Server 2003 DCs existieren.

Windows Server 2003

Dieser native Modus besteht in Windows Server 2003, Windows Server 2008 und Windows Server 2008 R2 Domänen.
Neben Windows Server 2003 DCs können auch Windows Server 2008 sowie Windows Server 2008 R2 DCs in der Domäne betrieben werden.

Windows Server 2008
In diesem Domänenfunktionsmodus können sich Windows Server 2008 DCs und Windows Server 2008 R2 DCs befinden.


Windows Server 2008 R2
Dieser Domänenfunktionsmodus kann lediglich Windows Server 2008 R2 DCs beinhalten! 




Als Gesamtstrukturfunktionsebenen gibt es:


Windows 2000
In dieser Gesamtstrukturebene können die folgenden Domänenfunktionsebenen existieren:
- Windows 2000 gemischt
- Windows 2000 pur
- Windows Server 2003
- Windows Server 2008
- Windows Server 2008 R2

Windows Server 2003 Interim

Hier können Windows Server 2003 Interim, Windows Server 2003 und Windows Server 2008 Domänen
(im Domänenfunktionsmodus Windows Server 2003) bestehen.

Windows Server 2003

Dieser Modus kann Domänen im Domänenfunktionsmodus Windows Server 2003, Windows Server 2008 und Windows Server 2008 R2 beinhalten.

Windows Server 2008

Dieser Gesamtstrukturmodus legt fest, dass ausschließlich Windows Server 2008 und Windows Server 2008 R2 Domänen in der Gesamtstruktur bestehen können.

Windows Server 2008 R2
In diesem Gesamtstrukturfunktionsmodus können ausschließlich Windows Server 2008 R2 Domänen in der Gesamtstruktur bestehen.


 


Weitere Informationen:
Den Domänen- sowie Gesamtstrukturfunktionsmodus mit der AD-Powershell hochstufen
Den Domänen- und Gesamtstrukturfunktionsmodus zurückstufen
Den ersten Windows Server 2008 DC zu einer Windows 2000/2003/R2 Gesamtstruktur hinzufügen
Den ersten Windows Server 2008 R2 DC zur Gesamtstruktur hinzufügen

Comments are closed, but trackbacks and pingbacks are open.