Active Directory installieren
Das Active Directory ist das Herzstück jeder Windows-Unternehmensumgebung. Es ist der Dienst, der dafür sorgt, dass sich ein Benutzer mit seinem Passwort an jedem Computer in der Firma anmelden kann – ohne dass sein Konto auf jedem PC einzeln gespeichert sein muss. Stell dir das Active Directory wie das Einwohnermeldeamt einer Stadt vor: Dort sind alle registriert, jeder hat einen eindeutigen Eintrag, und wer einen Ausweis braucht, bekommt einen ausgestellt. Jedes Gerät und jeder Benutzer in der Domäne hat einen solchen „Eintrag" im AD.
AD DS steht für Active Directory Domain Services und ist die Serverrolle, die einen Windows Server zum Domänencontroller (DC) macht. Mindestens ein DC muss im Netzwerk vorhanden sein. In der Praxis sind es immer mindestens zwei – damit bei einem Ausfall der zweite übernimmt. Die Installation besteht aus zwei Schritten: erst die Rolle installieren, dann den Server zum DC hochstufen (Promote).
1) Wichtige AD-Konzepte vor der Installation
Bevor du auf „Installieren" klickst, solltest du drei Konzepte verstehen, weil du während der Installation nach ihnen gefragt wirst. Ein Fehler bei diesen Angaben lässt sich nachträglich schwer korrigieren:
firma.local oder ad.firma.de. Alle Benutzer, Computer und Gruppenrichtlinien leben in einer Domain. Mehrere Domains im selben Forest teilen das globale Schema aber haben eigene Admins.ad.firma.de, statt firma.local. Warum? .local kollidiert mit mDNS/Bonjour. Mit ad.firma.de kann man interne und externe DNS-Zonen sauber trennen.2) AD DS installieren – Schritt für Schritt
Die Installation läuft in zwei Phasen. Phase 1 installiert nur die Softwarekomponenten (Binaries). Phase 2 konfiguriert den Server tatsächlich als Domänencontroller – das nennt sich „Promote". Erst nach dem Promote ist der Server ein echter DC. Klicke die Schritte durch:
-InstallDNS richtet gleichzeitig DNS ein. Den Domain-Namen gut überlegen – nachträgliche Änderung sehr aufwändig!Install-ADDSForest `
-DomainName "ad.firma.de" `
-DomainNetbiosName "FIRMA" `
-InstallDNS `
-SafeModeAdministratorPassword (Read-Host -AsSecureString)FIRMA\Administrator oder Administrator@ad.firma.de (UPN)-Credential ist das Admin-Konto der bestehenden Domäne:Install-ADDSDomainController `
-DomainName "ad.firma.de" `
-InstallDNS `
-Credential (Get-Credential)dsa.msc. Dort siehst du die Default-OUs: Computers, Users, Domain Controllers. Neue Objekte zunächst in die default-Containers, später in eigene OUs verschieben. DNS-Diagnose: dcdiag /test:dns /v prüft alle AD-DNS-Einträge.3) Diagnose und häufige Fehler
Die AD-Installation geht manchmal schief. Die häufigsten Fehler und ihre Lösungen:
| Fehlermeldung / Symptom | Ursache | Lösung |
|---|---|---|
| DNS-Auflösung schlägt fehl nach Promote | Server nutzt noch externen DNS-Server statt sich selbst | Netzwerkkarte auf 127.0.0.1 als DNS zeigen lassen |
| SYSVOL nicht freigegeben | DFSR-Replikation nicht abgeschlossen | dfsrmig /GetGlobalState und warten oder manuell starten |
| Zweiter DC kann Domäne nicht finden | DNS zeigt auf falschen Server | DNS des zweiten Servers auf IP des ersten DC setzen |
| dcdiag meldet Fehler | Verschiedene AD-Tests schlagen fehl | dcdiag /fix für häufige Probleme oder einzelne Tests mit dcdiag /test:NAME |
Zusammenfassung
AD DS = Domänencontroller-Rolle. Installation zweistufig: Binaries installieren, dann Server promoten. Domain-Name gut wählen (nicht mehr .local, besser ad.firma.de). DSRM-Passwort sicher aufbewahren. Immer mindestens 2 DCs für Ausfallsicherheit. DNS auf jedem DC lokal auf 127.0.0.1 zeigen lassen.