AD von 2003 auf 2008R2 vollständig umziehen
Moin, moin.
Ich habe die folgende, halbwegs funktionierende, produktive Active Directory Konfiguration geerbt:
- Domänenfunktionsebene: Windows Server 2003
- Windows Server 2003 (DC)
- SBS 2011 (GC) (DNS, DHCP, Exchange, Sharepoint, WSUS)
Ursprünglich lief das AD auf dem 2003er Server. Dann ist der SBS dazu gekommen und das AD wurde leider nicht vollständig umgezogen.
In Anbetracht des 2003er Supportendes und den aktuell bestehenden Problemen (Replizierung der GPOs funktioniert nicht), würde ich das ganze gerne einmal glatt ziehen.
Kann ich das Schema auf dem DC einfach mit adprep /forestprep und adprep /domainprep hochziehen, anschließend den SBS zum DC heraufstufen und den 2003er Server vom Netz nehmen?
Was für Fallsticke könnten mich dabei erwarten?
Da ich den Umzug nicht in einer Laborumgebung testen kann, bräuchte ich noch einmal einen Tipp, wie man die Struktur am besten vor der Aktion sichert. Reicht da die normale Windows Server Sicherung aus?
Vielen Dank schon einmal.
Ich habe die folgende, halbwegs funktionierende, produktive Active Directory Konfiguration geerbt:
- Domänenfunktionsebene: Windows Server 2003
- Windows Server 2003 (DC)
- SBS 2011 (GC) (DNS, DHCP, Exchange, Sharepoint, WSUS)
Ursprünglich lief das AD auf dem 2003er Server. Dann ist der SBS dazu gekommen und das AD wurde leider nicht vollständig umgezogen.
In Anbetracht des 2003er Supportendes und den aktuell bestehenden Problemen (Replizierung der GPOs funktioniert nicht), würde ich das ganze gerne einmal glatt ziehen.
Kann ich das Schema auf dem DC einfach mit adprep /forestprep und adprep /domainprep hochziehen, anschließend den SBS zum DC heraufstufen und den 2003er Server vom Netz nehmen?
Was für Fallsticke könnten mich dabei erwarten?
Da ich den Umzug nicht in einer Laborumgebung testen kann, bräuchte ich noch einmal einen Tipp, wie man die Struktur am besten vor der Aktion sichert. Reicht da die normale Windows Server Sicherung aus?
Vielen Dank schon einmal.
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 257903
Url: https://administrator.de/forum/ad-von-2003-auf-2008r2-vollstaendig-umziehen-257903.html
Ausgedruckt am: 16.04.2025 um 20:04 Uhr
14 Kommentare
Neuester Kommentar
Hallo Androxin,
ein SBS 2011 ohne Domain-Controller-Rolle wäre mir neu. Eigentlich will der alle FSMO-Rollen haben bei der Installation. Ich würde das also nochmal kontrollieren.
Ist dieser im DNS nicht in der lokalen Domain als:
(identisch mit übergeordnetem Ordner) Host (A) Eintrag eingetragen?
Unter DomainDNnsZones eingetragen?
Unter _tcp mit _kerberos und _ldap eingetragen?
Ist die Rolle "Active Directory-Domänendienste" installiert?
Wenn ja, ist das ein Domain-Controller.
Ansonsten würde ich die Rolle installieren und den SBS zum DC machen und die FSMO-Rollen vom 2003-Server migrieren. Dann Server 2003 ausschalten und sehen das alles klappt. Dann irgenwann wieder einschalten und dort die Domain-Controller-Funktionen deinstallieren damit die Einträge vom 2003 auch aus dem DNS etc. entfernt werden.
Das ActiveDirectory kannst Du mit dem Befehl WBADMIN manuell in eine Datei sichern.
Lg
BBfreak
ein SBS 2011 ohne Domain-Controller-Rolle wäre mir neu. Eigentlich will der alle FSMO-Rollen haben bei der Installation. Ich würde das also nochmal kontrollieren.
Ist dieser im DNS nicht in der lokalen Domain als:
(identisch mit übergeordnetem Ordner) Host (A) Eintrag eingetragen?
Unter DomainDNnsZones eingetragen?
Unter _tcp mit _kerberos und _ldap eingetragen?
Ist die Rolle "Active Directory-Domänendienste" installiert?
Wenn ja, ist das ein Domain-Controller.
Ansonsten würde ich die Rolle installieren und den SBS zum DC machen und die FSMO-Rollen vom 2003-Server migrieren. Dann Server 2003 ausschalten und sehen das alles klappt. Dann irgenwann wieder einschalten und dort die Domain-Controller-Funktionen deinstallieren damit die Einträge vom 2003 auch aus dem DNS etc. entfernt werden.
Das ActiveDirectory kannst Du mit dem Befehl WBADMIN manuell in eine Datei sichern.
Lg
BBfreak
Klingt so, als wenn der DNS-Server nicht aktiv ist aus dem SBS.
Mach von nem Client mal nslookup DeineDomäne.local IPvomSBS.
Bsp. nslookup contoso.local 192.168.0.1
Da müsste er sich und den anderen Server ja selbst auflösen.
Was sagt die DNS-Verwaltung. Einstellungen in der Domänen-Zone?
Status: Wid ausgeführt?
Replikation: Auf alle DNS-Server in der Domäne?
SOA auf den SBS-Server ziehen?
Es gab da schon einmal ein ähnliches Problem: GC und DC auf SBS-2011
Lg
BBfreak
Mach von nem Client mal nslookup DeineDomäne.local IPvomSBS.
Bsp. nslookup contoso.local 192.168.0.1
Da müsste er sich und den anderen Server ja selbst auflösen.
Was sagt die DNS-Verwaltung. Einstellungen in der Domänen-Zone?
Status: Wid ausgeführt?
Replikation: Auf alle DNS-Server in der Domäne?
SOA auf den SBS-Server ziehen?
Es gab da schon einmal ein ähnliches Problem: GC und DC auf SBS-2011
Lg
BBfreak
huhu. das mit dem "nicht" ist auch meine Schuld. Ich hatte die Liste erst mit doppelter-Verneinung aufgebaut. Das dann aber nicht sorgsam geändert.
Also eigentlich müsste es im DNS immer zwei Einträge geben. Einmal zum SBS und einmal zum SRV2003. Also zwei mal _kerberos etc. Damit ein Dienst beide Server findet und ggf. sollte der eine nicht antworten den anderen kontaktieren kann.
Die Replication zwischen den Servern scheint def. nich zu funktionieren. Unterschiedliche SysVol-Ordner und unterschiedliche Einträge in den DNS-Zonen. Jeder nennt sich im DNS als SOA-Master zuständig...
Die beiden Server brauchen da jeweils ihre eigene Suppe.
Sind die Domänen-User den auf beiden Systemen gleich? Oder legst du jeden User auch zwei mal an? Verwalten die überhaupt die gleiche Domäne?
Also eigentlich müsste es im DNS immer zwei Einträge geben. Einmal zum SBS und einmal zum SRV2003. Also zwei mal _kerberos etc. Damit ein Dienst beide Server findet und ggf. sollte der eine nicht antworten den anderen kontaktieren kann.
Die Replication zwischen den Servern scheint def. nich zu funktionieren. Unterschiedliche SysVol-Ordner und unterschiedliche Einträge in den DNS-Zonen. Jeder nennt sich im DNS als SOA-Master zuständig...
Die beiden Server brauchen da jeweils ihre eigene Suppe.
Sind die Domänen-User den auf beiden Systemen gleich? Oder legst du jeden User auch zwei mal an? Verwalten die überhaupt die gleiche Domäne?
hmm. So langsam habe ich auch keine Idee mehr...
Soland der Haken bei IPv6 aktiviert ist reicht das. Ich hatte das mal aus Gewohnheit deaktiviert und hatte dann ähnliche Probleme, dass der Server sich selbst nicht mehr als DC erkannt hat.
Die NTDS Meldung ist normal...
Leg mal ne Datei in den SysVol-Ordner. Evtl. meckert er dann wenn er die nicht gesynct bekommt und man kann damit dann weiterarbeiten...
Soland der Haken bei IPv6 aktiviert ist reicht das. Ich hatte das mal aus Gewohnheit deaktiviert und hatte dann ähnliche Probleme, dass der Server sich selbst nicht mehr als DC erkannt hat.
Die NTDS Meldung ist normal...
Leg mal ne Datei in den SysVol-Ordner. Evtl. meckert er dann wenn er die nicht gesynct bekommt und man kann damit dann weiterarbeiten...
Aha ;)
Ich würd vermutlich erstmal was abwarten. Der Server prüft sich alle 15? Minuten selbst und sollte dann hoffentlich nicht mehr als GC sondern DC angezeigt werden.
Die Idee bei zwei Domain-Controllern ist ja, dass beide die Anfragen beantworten können. Die teilen sich somit eine Hose und sollten immer 1:1 gleich sein.
Es gibt nur den Master in den FSMO-Rollen. Sprich: Wenn FSMO=SBS2008 und der ist gerade offline, dann kann der 2003 Server keine Änderungen an der Domänen-Struktur vornehmen. Änderungen von User und Computer-Konten gehen noch aber die Aktualisierung auf nen neues AD-Schema nicht.
Beide Server müssten Dir die gleichen FSMO-Master anzeigen.
Und der SBS2008 müsste Dir als DC angezeigt werden.
Ich würd vermutlich erstmal was abwarten. Der Server prüft sich alle 15? Minuten selbst und sollte dann hoffentlich nicht mehr als GC sondern DC angezeigt werden.
Die Idee bei zwei Domain-Controllern ist ja, dass beide die Anfragen beantworten können. Die teilen sich somit eine Hose und sollten immer 1:1 gleich sein.
Es gibt nur den Master in den FSMO-Rollen. Sprich: Wenn FSMO=SBS2008 und der ist gerade offline, dann kann der 2003 Server keine Änderungen an der Domänen-Struktur vornehmen. Änderungen von User und Computer-Konten gehen noch aber die Aktualisierung auf nen neues AD-Schema nicht.
Beide Server müssten Dir die gleichen FSMO-Master anzeigen.
Und der SBS2008 müsste Dir als DC angezeigt werden.
Musst Du den Reg-Wert wieder zurück ändern?
GC ist wohl in Ordnung. Ein GlobalerKatalog-Server ist wohl dem DC Höher eingestuft und keine Zusatz-Info. Ich hätte irgendwie erwartet, dass dort GC-DC stehen müsste... aber in meinen Systemen steht dort auch nur GC.
Wenn Du den 2003Server eh löschen willst würd ich den nun mit dcpromo aus der domain entfernen. Die adprep-Befehle müssen bei der Installation vom SBS2008 schon durchgeführt worden sein. Nach dem dcpromo ist der Server noch Mitgleid in der Domäne. Sollten Clients den noch als DNS-Server nutzen würd ich die umstellen.
GC ist wohl in Ordnung. Ein GlobalerKatalog-Server ist wohl dem DC Höher eingestuft und keine Zusatz-Info. Ich hätte irgendwie erwartet, dass dort GC-DC stehen müsste... aber in meinen Systemen steht dort auch nur GC.
Wenn Du den 2003Server eh löschen willst würd ich den nun mit dcpromo aus der domain entfernen. Die adprep-Befehle müssen bei der Installation vom SBS2008 schon durchgeführt worden sein. Nach dem dcpromo ist der Server noch Mitgleid in der Domäne. Sollten Clients den noch als DNS-Server nutzen würd ich die umstellen.