Wer oder was ist der globale Katalog (GC)?

Wenn Suchoperationen in einem Active Directory nach bestimmten Informationen durchgeführt werden sollen, kann es in größeren Umgebungen länger
dauern, wenn dafür jedes Objekt und jedes Attribut einzeln angefasst werden müsste. Um die Suche im Active Directory schnell abwickeln zu können,
benutzt das Active Directory den „globalen Katalog“.

Der globale Katalog hat keine eigene, sondern eine vom Active Directory abgeleitete Datenbank. Denn schließlich macht es keinen Sinn,
alle Objekte die bereits im Active Directory existieren, doppelt im globalen Katalog zu führen.

Welche Attribute werden denn im globalen Katalog gespeichert?

Microsoft hat vorgegeben, welche Attribute in den globalen Katalog repliziert werden.

Common Default Attributes Set for Active Directory and Global Catalog

Natürlich ist es möglich, weitere Attribute die für die eigene Umgebung relevant wären (wenn z.B. das Active Directory durch eine Applikation erweitert
wird), mit in den globalen Katalog aufzunehmen, aber Achtung - das bedeutet mehr Speicherplatz!

Möchte man nun weitere Attribute in den GC repliziert haben, so gilt es in einer MMC das „Active Directory-Schema“ Snap-In aufzurufen.

Hinweis: Das Schema Snap-In ist erst sichtbar, wenn vorher unter Start - Ausführen der Befehl „regsvr32 schmmgmt.dll“ ausgeführt wurde.

Da diese Einstellung eine Änderung am Schema bedeutet, dürfen diese Anpassungen auch nur von der Gruppe „Schema-Admins“ vorgenommen werden.

Natürlich sollten Modifizierungen am Schema mit größter Vorsicht (wenn überhaupt nötig) getätigt und die gewünschten Änderungen vorher in einer
Testumgebung getestet worden sein, damit es in der Produktionsumgebung keine bösen Überraschungen gibt.

In den Eigenschaften eines Attributs kann man sehen, dass mehrere Optionen gesetzt werden können:

Die beiden markierten Optionen sind von besonderer Bedeutung was die Effizienz bei Zugriffen auf das Active Directory betrifft:

• Die Option "Attribut in Active Directory indizieren" bedeutet, dass auf dem globalen Katalog eine Indexierung des Attributs erfolgen soll
• Mit der Option "Attribut in den globalen Katalog replizieren" wird festgelegt, dass ein Attribut in den globalen Katalog aufgenommen werden soll.
  Aber Achtung, falls ein Attribut in den GC aufgenommen wird, repliziert sich in einer Multi-Domänen Gesamtstruktur der GC komplett neu mit
  den anderen GCs, wenn sich der Gesamtstrukturfunktionsmodus nicht auf der Ebene "Windows Server 2003" befindet. Befindet sich hingegen der
  Gesamtstrukturfunktionsmodus auf "Windows Server 2003", so wird nur das Attribut repliziert, das in den GC aufgenommen wurde. 

Weiterführende Informationen:
Funktion des globalen Katalogs
Globaler Katalog – Sein oder nicht sein
How to Modify Attributes That Replicate to the Global Catalog
How to create or move a global catalog in Windows Server 2003, Windows 2000, or Small Business Server 2000

Was ist zu beachten, wenn man einen zusätzlichen Domänencontroller in die Domäne hinzufügt?

1. Auf dem neuen Server, muss in seinen TCP/IP-Einstellungen ein bereits bestehender DC/DNS (auf dem idealerweise
das DNS AD-integriert installiert ist und "Nur sichere" Updates zulässt) als "Bevorzugter DNS-Server" eingetragen sein.
Nach der Betriebssysteminstallation kann der Server direkt mit DCPROMO zum DC gestuft werden und muss nicht vorher, als Mitgliedsserver zur
Domäne hinzugefügt werden. Dabei spart man sich einen Schritt und somit einen Neustart. Denn während dem Ausführen von DCPROMO auf dem neuen Server,
möchte der Assistent an einer Stelle ein Benutzerkonto angegeben haben, dass berechtigt ist auf dem Server das AD zu installieren.

Ansonsten kann man natürlich den Server vorher zur Domäne hinzufügen und führt anschließend das DCPROMO aus.

2. Danach ruft man auf dem neuen Server den Active Directory-Assistenten "DCPROMO" auf und wählt an entsprechender Stelle den Punkt
"zusätzlichen Domänencontroller für eine bestehende Domäne" aus.

Ist der zusätzliche Server, der erste Windows Server 2003 R2 DC in der Gesamtstruktur, so muss das AD-Schema vorher wie folgt aktualisiert werden:
Schemaupdate beim Windows Server 2003 R2

Ist der zusätzliche Server, der erste Windows Server 2008 DC in der Gesamtstruktur, so muss das AD-Schema vorher so aktualisiert werden:
Den ersten Windows Server 2008 DC zu einer Windows 2000/2003/R2 Gesamtstruktur hinzufügen

Ist der zusätzliche Server, der erste Windows Server 2008 R2 DC in der Gesamtstruktur, so muss das AD-Schema vorher folgendermaßen aktualisiert werden:
Den ersten Windows Server 2008 R2 DC zur Gesamtstruktur hinzufügen

3. Wenn der DCPROMO-Assistent abgeschlossen und der neue DC neu gestartet wurde, sollte anschließend (oder vorher) das DNS nur installiert und nicht konfiguriert werden.
Denn das DNS ist (auf dem ersten DC) schon konfiguriert. Die DNS-Konfiguration gilt es abzubrechen.
Danach wartet man die Replikation ab und somit sollte der neue DC alle Informationen mittlerweile repliziert bekommen haben.
Ab Windows Server 2008 kann man das DNS während dem DCPROMO Vorgang mit installieren, was zu empfehlen ist!

4. Wenn die Replikation stattgefunden hat, gilt es den neuen Server mit seiner echten IP als zusätzlichen DNS-Server in den TCP/IP-Einstellungen einzutragen.
Die empfohlenen Vorgehensweisen können hier nachgelesen werden:
Welcher DNS-Server sollte eingetragen werden ?

5. Danach oder ab Windows Server 2008 während dem DCPROMO Vorgang sollte auf diesem DC, der GC aktiviert werden. Dazu geht man im Snap-In "Standorte und -Dienste" auf den Standort
in dem sich dieser DC befindet, auf den neuen Server und setzt den Haken in den NTDS-Eigenschaften bei "globaler Katalog":
Globaler Katalog (Global Catalog - GC)

6. Wenn es gewünscht ist sollten noch die fünf FSMO-Rollen auf diesen verschoben werden oder man belässt sie auf dem ersten/anderen DC.
Dabei ist zu beachten, dass die FSMO-Rollen sich stets auf dem DC, das mit dem aktuellsten Serverbetriebssystem installiert ist befinden sollten.
Die FSMO-Rollen verschieben

Hinweis: Nahezu jede Domäne „sollte“ einen zweiten Domänencontroller haben, einfach aus gründen der Redundanz. Denn schließlich kann sich jeder
ausmalen, was passiert, wenn der einzigste Domänencontroller ausfällt, dann hat man „erstmal“ die Domäne verloren.

Welche Schritte müssen beachtet werden, wenn man einen Windows Server 2000 auf Windows Server 2003 R2 aktualisieren möchte ?

Ich gehe an diesem Beispiel davon aus, dass auf dem 2000er Domänencontroller das DNS, Active Directory-integriert installiert ist.

1. Bevor man anfängt, sollte natürlich ein Backup der Daten und vorallem vom SYSTEM STATE existieren: 

http://support.microsoft.com/kb/240363/de

Desweiteren muss sich auf allen DCs die Datei "NTDSA.DLL" im Pfad %windir%\system32 befinden, die einen höheren Datumsstempel als den 04. Juni 2001
sowie eine höhere Dateiversion als 5.0.2195.3673 hat. Der Virenscanner sollte während dem Update deaktiviert werden.

2. Zuerst sollte mit der Option „/checkupgradeonly“ das System auf Kompatibilität geprüft werden und falls die Routine an etwas meckert, sollten
zuerst die gemeldeten Probleme beseitigt werden.

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/1e2541bb-d42c-49ef-9f8a-18e30b4f2667.mspx?mfr=true

3. Zuallererst gilt es auf dem Windows 2000 DC, dass EFS – Zertifikat zu sichern (falls dieser der erste DC in der Domäne ist):

http://www.faq-o-matic.net/2003/08/18/was-muss-ich-tun-um-den-ersten-dc-zu-deinstallieren/

http://support.microsoft.com/kb/241201/de

4. Auf dem Windows Server 2000 Domänencontroller muss mindestens das SP 2 installiert sein (heutzutage schon das SP4)
(http://www.microsoft.com/windowsserver2003/evaluation/whyupgrade/win2k/w2ktows03-2.mspx).

Die Zeiten der Domänencontroller sollten synchronisiert und auf allen gleich sein.
Danach muss auf dem 2000er DC, der die Rolle des Schemamasters innehat (idealerweise trägt dieser DC alle Rollen sowie den GC),
die Windows Server 2003 CD eingelegt und auf der Kommandozeile (START – AUSFÜHREN – CMD) ins Verzeichnis I386 gewechselt werden, 
um „ADPREP /FORESTPREP“ auszuführen. Anschließend muss auf dem DC, der die Rolle des Infrastrukturmasters innehat in der Domäne,
in der der neue DC hinzugefügt werden soll, noch das „ADPREP /DOMAINPREP /GPPREP“ ausgeführt werden.
Das Active Directory Preparation Tool - ADPREP

Möchte man auf Windows Server 2003 R2 aktualisieren, so gilt es ADPREP von der zweiten R2 CD auszuführen und nicht von der ersten:
Schemaupdate beim Windows Server 2003 R2
 

5. Migriert man auf "Windows Server 2003 mit SP1" (oder R2), sollte noch das „ADPREP /DOMAINPREP /GPPREP“ ausgeführt werden.
Näheres siehe: http://support.microsoft.com/kb/324392/en-us

6. Anschließend führt man auf dem Windows 2000 Domänencontroller das SETUP von der CD aus und folgt den Anweisungen,
damit das Update auf den Windows Server 2003 beginnen kann.

7. Folgendes ist zu beachten, falls Exchange 2000 auf der gleichen Maschine laufen sollte:
Zuerst muss das Exchange 2000 auf Exchange 2003 upgedatet werden. Denn Exchange 2003 läuft unter Windows Server 2000,
aber nicht umgekehrt (Exchange 2000 auf Windows Server 2003), dass geht nicht.

Daher MUß zuerst ein Exchange update gemacht werden und dann das Betriebssystemupdate von Windows Server 2000 auf Windows Server 2003
(es müssen zwei Schemaupdates durchgeführt werden, einmal für Exchange und dann für das Active Directory).
Bevor man mit dem Betriebssystemupdate beginnt, sollte von der Exchange-CD aus dem Verzeichnis "support\exdeploy" das Tool "policytest.exe" ausgeführt werden,

um sicher zu gehen, dass die entsprechenden Berechtigungen im Active Directory bestehen.

How to upgrade Windows 2000 domain controllers to Windows Server 2003

Migration Exchange 2000 auf 2003

Windows Server 2003 adprep /forestprep command causes mangled attributes in Windows 2000 forests that contain Exchange 2000 servers

http://redmondmag.com/columns/article.asp?EditorialsID=663

Hier noch weitere hilfreiche Links: 

What do I need to do to prepare my Windows 2000 forest for the installation of the first Windows Server 2003 DC?

http://www.petri.co.il/windows_2003_adprep.htm

Common Mistakes When Upgrading Exchange 5.5/2000 To a Exchange 2003

http://support.microsoft.com/kb/555262/en-us

Considerations when you upgrade to Exchange Server 2003

http://support.microsoft.com/kb/822942/en-us

Common Mistakes When Upgrading a Windows 2000 Domain To a Windows 2003 Domain

http://support.microsoft.com/kb/555040/en-us

Cannot Upgrade Windows 2000 Server to Windows Server 2003 with Windows Services for UNIX 2.0 Installed

http://support.microsoft.com/kb/293783/en-us

When you run the "Adprep /forestprep" command to prepare Windows 2000 Active Directory for Windows Server 2003, the forest preparation operation fails

http://support.microsoft.com/kb/924175/en-us

Enhancements to Adprep.exe in Windows Server 2003 Service Pack 1 and in hotfix 324392

http://support.microsoft.com/kb/324392/en-us - sowie

http://technet2.microsoft.com/WindowsServer/en/library/bc5ebbdb-a8d7-4761-b38a-e207baa734191033.mspx?mfr=true

Wann muss beim hinzufügen des ersten Windows Server 2003 R2 zu einer Windows 2000/2003 Gesamtstruktur,
ein Schemaupdate durchgeführt werden?

1. Möchte man den ersten Windows Server 2003 R2 Domänencontroller in eine Windows 2000/2003 Gesamtstruktur hinzufügen,
   dann ist ein Schemaupdate auf dem Schemamaster von der zweiten R2-CD notwendig.
   Siehe: Wie aktualisiert man einen DC auf Windows Server 2003 R2
   Mit dem Schalter /Forestprep werden die neuen R2-Features (die unter den Punkten zwei bis vier aufgezählt sind) dem Schema hinzugefügt.
   Falls die Domäne bereits auf Windows 2003 läuft, so ist der Schalter /Domainprep nicht anzuwenden.
   Nur wenn man in einer Windows 2000 Domäne, den ersten Windows Server 2003 R2 Domänencontroller hinzufügen möchte,
   so muss das ADPREP (neben dem Schalter /Forestprep) zusätzlich mit dem Schalter /Domainprep /Gpprep ausgeführt werden.
2. Bei Nutzung von DFS-R (die neue DFS Replikation). DFS und DFS-R speichern Konfigurationsoptionen im Active Directory. Das DFS (Namespace) Schema gibt es schon, das Replikationsschema ist neu, da bisher FRS (File Replication Service) benutzt wurde, dass ja weiterhin (parallel) für die SYSVOL-Replikation genutzt wird. Das Schemaupdate für DFS ist auch dann notwendig, wenn DFS nur auf Memberservern läuft.
3. Für das neue Druckermanagement in R2 ist ein Schemaupdate erforderlich. Bei diesem Schemaupdate werden dem Schema neue Objekt-Klassen hinzugefügt
4. Auch für das "Indentity Management for Unix" ist ein Schemaupdate fällig und auch hier, werden dem Schema neue Objekt-Klassen hinzugefügt.

Falls die Active Directory-Datenbank (NTDS.DIT) einen Schaden haben oder Inkonsistent sein sollte, kann man diese versuchen zu reparieren.
Dazu geht man folgendermaßen vor:

• Zuerst muss der Domänencontroller unter Windows 2000 sowie Windows Server 2003 im Modus Verzeichnisdienstwiederherstellung (Windows-Domänencontroller) gestartet werden.
  Auf das Auswahl-Menü gelangt man, wenn man im Bootvorgang des DCs die F8-Taste drückt. Die Anmeldung erfolgt dabei mit dem "Kennwort für den Wiederherstellungsmodus" das beim Heraufstufen des DCs vergeben wurde.
  
  
• Ab Windows Server 2008 ist es nicht zwingend notwendig den DC im Modus Verzeichnisdienstwiederherstellung zu starten, denn es kann im laufenden Betrieb der Dienst Active Directory-Domänendienste (AD-DS) samt den abhängigen Diensten Dateireplikationsdienst, Kerberos-Schlüsselverteilungsdienst, Standortübergreifender Messagingdienst und DNS-Server angehalten werden. Dazu ist entweder in der Dienstesteuerung (services.msc) der Dienst Active Directory-Domänendienste oder in der Kommandozeile mit net stop ntds anzuhalten.
  
  
• Danach gilt es unter START-AUSFÜHREN oder aus der Kommandozeile heraus, dass NTDSUTIL aufzurufen.
  Ab Windows Server 2008 muss nach dem Starten von NTDSUTIL anschließend die Active Directory-Instanz aktiviert werden. Dieses ist mit dem Befehl activate instance ntds möglich.
  
  
• In der NTDSUTIL-Kommandozeile gibt man FILES ein, um in die File-Maintenance Eingabeaufforderung zu gelangen.
  
  
• Zuerst sollte ein Integritätstest der NTDS.DIT mit dem Befehl Integrity durchgeführt werden. Falls nach dem Test Fehler angezeigt werden, könnte man mit NTDSUTIL versuchen diese zu beheben. Nach dem Integritätstest wird ein Protokoll im Verzeichnis "%windir%\ntds\ntds.integ.raw" erstellt, in dem Informationen zum Gesundheitszustand der AD-Datenbank enthalten sind.
  
  

• Mit "q" (oder quit) gilt es die File-Maintenance Ebene zu verlassen, um in die NTDSUTIL Ebene zu gelangen.
  
  
• Hier gilt es den Befehl SEMANTIC DATABASE ANALYSIS einzugeben, damit man in die "Semantic Checker" Ebene gelangt.
  
  
• Dort angelangt, aktiviert man mit dem Parameter VERBOSE ON die Option, um detaillierte Informationen zu erhalten.
  
  
• Als nächstes gibt man den Befehl GO FIXUP ein, um eine Reparatur über die NTDS.DIT laufen zu lassen. Anschließend wird zum einen in der Kommandozeile eine Zusammenfassung angezeigt und zum anderen wird ein Protokoll im Verzeichnis "C:\dsdit.dmp.0" mit ausführlichen Informationen erstellt.
  

• Anschließend verlässt man mit zweimaliger Eingabe von "q" die Kommandozeile und startet den Domänencontroller im normalen Modus neu.
  Ab Windows Server 2008 startet man den Dienst Active Directory-Domänendienste in der Dienstesteuerung oder in der Kommandozeile mit net start ntds.

Nach dem Neustart des DCs, gilt es die Funktionsfähigkeit der NTDS.DIT zu überprüfen.
Sollten immer noch Probleme existieren, können mit den Windows Support Tools DCDIAG [1] und NetDIAG, weiteres Troubleshooting betrieben werden. Falls auch dieses nicht zum Erfolg führt, sollte die Active Directory-Datenbank aus einer System State Sicherung wiederhergestellt und nach dem Restore, die Konsistenz der Datenbank überprüft werden.

Weitere Informationen:

[1] Domänencontroller mit DCDIAG prüfen
DCDiag and NetDiag in Windows 2000 Facilitate Domain Join and DC Creation