estefania
Goto Top

Active Directory - Windows Updates sicher installieren

Hallo

Ich würde gerne aus euer Erfahrung wissen, wie ihr mit den Windows Updates bei Domain Controllern umgeht.
Einfach installiere und dann booten ist glaub nicht die beste Idee.

Gut, bei nur einem Domain Controller sowieso nicht, aber wie würdet ihr bei mehreren Domain Controllern vorgehen, die sich untereinander replizieren.
Worauf müsste denn speziell geachtet werden?

Ich denke da so an die FSMO-Rollen... wäre es nicht schlauer die FSMO-Rollen vor dem Neustart woanders hin zu verschieben?
Und vom Zeitpunkt her, wie würdet ihr es ausführen?
Und wie sieht es mit der Replikation aus? Bzw. wie kann ich hinterher überprüfen ob die Replikation auf allen DCs einwandfrei verläuft?

Würde mich über Tipps uns eure Vorgehensweisen freuen.

Content-ID: 660649

Url: https://administrator.de/forum/active-directory-windows-updates-sicher-installieren-660649.html

Ausgedruckt am: 23.12.2024 um 02:12 Uhr

GarfieldBonn
GarfieldBonn 09.03.2021 um 19:27:14 Uhr
Goto Top
Health-Check geht zumindestens bis Server 2012 mit PCDIAg.

https://www.der-windows-papst.de/wp-content/uploads/2018/07/AD-Health-Ch ...
beidermachtvongreyscull
beidermachtvongreyscull 09.03.2021 um 19:39:56 Uhr
Goto Top
Die DCs sollten nicht zeitgleich aktualisieren sondern nach einander.

Zumindest mache ich das bei mir so.
Estefania
Estefania 09.03.2021 um 20:17:05 Uhr
Goto Top
Zeitgleich sowieso nicht..

Kennt von euch jemand einen Artikel wo das alles beschrieben wird?
Henere
Henere 09.03.2021 um 20:22:03 Uhr
Goto Top
Update auf Testmaschine. Geht ?
Update auf DC1. Reboot. DCDIAG.
Update auf DC2. Reboot. DCDIAG.

Ferdtsch.
Estefania
Estefania 09.03.2021 um 20:27:57 Uhr
Goto Top
Was ist denn mit den FSMO-Rollen?

Ich denke da gerade an einen DC der eine wichtige Rolle hat und nach dem Reboot nicht mehr startet?
Fabezz
Fabezz 09.03.2021 aktualisiert um 20:35:30 Uhr
Goto Top
Hi,
Updates nie in der ersten Woche nach Release installieren.
Erst einen dann den anderen usw. Kontrollieren tue ich nur Event Logs.
Falls Mal einer stirbt "Shit Happens".
Defekte ADS Controller bekommt man heut zu Tage sehr einfach sauber bereinigt.
Kostet keine Zeit genauso neuer aufsetzen.

Grüße
Henere
Henere 09.03.2021 um 22:13:13 Uhr
Goto Top
FSMO spielt in der halben Stunde keine Rolle.
Estefania
Estefania 09.03.2021 um 23:02:24 Uhr
Goto Top
Naja manchmal dauert es wohl länger wie eine halbe Stunde.. Grad wenn größere Updates dran sind, laufen die unter Windows Server 2016 schon mal 45 Minuten oder länger
Estefania
Estefania 10.03.2021 um 08:23:37 Uhr
Goto Top
In welchen Abständen würdet ihr die DCs patchen?
beidermachtvongreyscull
beidermachtvongreyscull 10.03.2021 um 08:42:25 Uhr
Goto Top
Ich hab keinen.
Ich mache das nach Gefühl. face-smile

Mein Grundgebot:
Wenn der Computer anzeigt "...nicht ausschalten", dann tue ich das auch nicht.

Ein Update bei mir kann 2h dauern. Ich hab keine Probleme damit und der andere DC auch nicht.
Mein EX benötigt nur einen. Wenn der andere wieder hochkommt, haben die beiden lange Zeit, sich zu replizieren und zu synchronisieren.

Dann kommt der nächste DC dran.

Bisher läuft das, wie erwartet: Gut
beidermachtvongreyscull
beidermachtvongreyscull 10.03.2021 um 08:43:22 Uhr
Goto Top
Stunden, Tage, Wochen

Ich mach es, wie ich Zeit habe, wenn sie es nicht automatisch machen.
Normalerweise lasse ich 5h Abstand dazwischen.
Estefania
Estefania 16.03.2021 um 21:48:54 Uhr
Goto Top
Installierst du dann die Windows Updates und lässt jeden Server so in 5 Stunden Abstand neu starten?
Ohne noch weiteres zu beachten?
beidermachtvongreyscull
beidermachtvongreyscull 17.03.2021 um 09:14:10 Uhr
Goto Top
Nur die DCs haben zeitlichen Abstand.
Alle anderen Memberserver (inkl. Exchange und SQL-Server) können einfach so.

Das hängt daran, dass ich direkte verbindliche Abhängigkeiten nur zwischen den DCs und mind. einem DC und mehreren EXen sehe.
Unser SQL-Server wird für eine spezielle Anwendung gebraucht. Die ist von mir so gescriptet, dass sie nur online ist, wenn der SQL korrekt antwortet.

Was ich beachte:
Ein DC ist bei mir physisch. Sein DNS hat immer Schwierigkeiten, sich auf ein Netzwerk mit Teamkarten zu schalten.
Der Dienst kriegt dann noch mal nen Neustart und gut ist.