estefania
Goto Top

Active Directory - Windows Updates sicher installieren

Hallo

Ich würde gerne aus euer Erfahrung wissen, wie ihr mit den Windows Updates bei Domain Controllern umgeht.
Einfach installiere und dann booten ist glaub nicht die beste Idee.

Gut, bei nur einem Domain Controller sowieso nicht, aber wie würdet ihr bei mehreren Domain Controllern vorgehen, die sich untereinander replizieren.
Worauf müsste denn speziell geachtet werden?

Ich denke da so an die FSMO-Rollen... wäre es nicht schlauer die FSMO-Rollen vor dem Neustart woanders hin zu verschieben?
Und vom Zeitpunkt her, wie würdet ihr es ausführen?
Und wie sieht es mit der Replikation aus? Bzw. wie kann ich hinterher überprüfen ob die Replikation auf allen DCs einwandfrei verläuft?

Würde mich über Tipps uns eure Vorgehensweisen freuen.

Content-ID: 660649

Url: https://administrator.de/contentid/660649

Printed on: October 6, 2024 at 19:10 o'clock

GarfieldBonn
GarfieldBonn Mar 09, 2021 at 18:27:14 (UTC)
Goto Top
Health-Check geht zumindestens bis Server 2012 mit PCDIAg.

https://www.der-windows-papst.de/wp-content/uploads/2018/07/AD-Health-Ch ...
beidermachtvongreyscull
beidermachtvongreyscull Mar 09, 2021 at 18:39:56 (UTC)
Goto Top
Die DCs sollten nicht zeitgleich aktualisieren sondern nach einander.

Zumindest mache ich das bei mir so.
Estefania
Estefania Mar 09, 2021 at 19:17:05 (UTC)
Goto Top
Zeitgleich sowieso nicht..

Kennt von euch jemand einen Artikel wo das alles beschrieben wird?
Henere
Henere Mar 09, 2021 at 19:22:03 (UTC)
Goto Top
Update auf Testmaschine. Geht ?
Update auf DC1. Reboot. DCDIAG.
Update auf DC2. Reboot. DCDIAG.

Ferdtsch.
Estefania
Estefania Mar 09, 2021 at 19:27:57 (UTC)
Goto Top
Was ist denn mit den FSMO-Rollen?

Ich denke da gerade an einen DC der eine wichtige Rolle hat und nach dem Reboot nicht mehr startet?
Fabezz
Fabezz Mar 09, 2021 updated at 19:35:30 (UTC)
Goto Top
Hi,
Updates nie in der ersten Woche nach Release installieren.
Erst einen dann den anderen usw. Kontrollieren tue ich nur Event Logs.
Falls Mal einer stirbt "Shit Happens".
Defekte ADS Controller bekommt man heut zu Tage sehr einfach sauber bereinigt.
Kostet keine Zeit genauso neuer aufsetzen.

Grüße
Henere
Henere Mar 09, 2021 at 21:13:13 (UTC)
Goto Top
FSMO spielt in der halben Stunde keine Rolle.
Estefania
Estefania Mar 09, 2021 at 22:02:24 (UTC)
Goto Top
Naja manchmal dauert es wohl länger wie eine halbe Stunde.. Grad wenn größere Updates dran sind, laufen die unter Windows Server 2016 schon mal 45 Minuten oder länger
Estefania
Estefania Mar 10, 2021 at 07:23:37 (UTC)
Goto Top
In welchen Abständen würdet ihr die DCs patchen?
beidermachtvongreyscull
beidermachtvongreyscull Mar 10, 2021 at 07:42:25 (UTC)
Goto Top
Ich hab keinen.
Ich mache das nach Gefühl. face-smile

Mein Grundgebot:
Wenn der Computer anzeigt "...nicht ausschalten", dann tue ich das auch nicht.

Ein Update bei mir kann 2h dauern. Ich hab keine Probleme damit und der andere DC auch nicht.
Mein EX benötigt nur einen. Wenn der andere wieder hochkommt, haben die beiden lange Zeit, sich zu replizieren und zu synchronisieren.

Dann kommt der nächste DC dran.

Bisher läuft das, wie erwartet: Gut
beidermachtvongreyscull
beidermachtvongreyscull Mar 10, 2021 at 07:43:22 (UTC)
Goto Top
Stunden, Tage, Wochen

Ich mach es, wie ich Zeit habe, wenn sie es nicht automatisch machen.
Normalerweise lasse ich 5h Abstand dazwischen.
Estefania
Estefania Mar 16, 2021 at 20:48:54 (UTC)
Goto Top
Installierst du dann die Windows Updates und lässt jeden Server so in 5 Stunden Abstand neu starten?
Ohne noch weiteres zu beachten?
beidermachtvongreyscull
beidermachtvongreyscull Mar 17, 2021 at 08:14:10 (UTC)
Goto Top
Nur die DCs haben zeitlichen Abstand.
Alle anderen Memberserver (inkl. Exchange und SQL-Server) können einfach so.

Das hängt daran, dass ich direkte verbindliche Abhängigkeiten nur zwischen den DCs und mind. einem DC und mehreren EXen sehe.
Unser SQL-Server wird für eine spezielle Anwendung gebraucht. Die ist von mir so gescriptet, dass sie nur online ist, wenn der SQL korrekt antwortet.

Was ich beachte:
Ein DC ist bei mir physisch. Sein DNS hat immer Schwierigkeiten, sich auf ein Netzwerk mit Teamkarten zu schalten.
Der Dienst kriegt dann noch mal nen Neustart und gut ist.