Umbenennung einer Active Directory inkl. Hyper-V Failover Cluster und einem Scale-Out File Server
Ich habe aktuell die Anfrage eines unserer Kunden, bei dem eine Änderung der Active Directory von einer .local-Endung auf eine .de-Endung erfolgen soll. Bei der Domäne handelt es sich um eine recht kleine Umgebung ohne weitere Namen oder Vertrauensstellungen usw. Da allerdings zwei Failover Cluster vorhanden sind und ich solch eine Umbenennung noch nie durchgeführt habe wurde der Transfer vorher mit einer Kopie unserer Schulungs-Umgebung powerkurs.local vorgenommen. In die AD powerkurs.local wurde ein Zwei-Knoten Scale-Out File Server und zwei Hyper-V Hosts installiert. Der Scale-Out File Server stellte mehrere SMB3-Shares zur Verfügung, die Hyper-V Hosts führten mehrere VMs aus, die sowohl lokal als auch auf den SMB3-Shares gespeichert waren.
Grundsätzlich gilt: Nur weil diese Art von Transfer technisch möglich ist heißt es nicht, dass dies die empfohlene Vorgehensweise ist. Installieren Sie wenn möglich eine neue Active Directory! Spätere Probleme oder Probleme bei der Umbenennung können natürlich immer auftreten. Die hier beschriebene Vorgehensweise erfolgt auf eigenes Risiko!
Als Vorlage für diesen Vorgang standen mit zwei Blogartikel sowie der TechNet-Eintrag von Microsoft zur Verfügung:
Ricky in Melbourne: How to rename your single active directory domain
Simple Guide : How to Rename Domain Name in Windows Server 2012?
Microsoft TechNet: Managing Active Directory Domain Rename
In dem ersten Artikel wird empfohlen, die Umbenennung auf einem Member-Server durchzuführen, in dem zweiten wird die Umbenennung direkt auf dem AD-Controller vorgenommen. Ich habe mit einem Member-Server angefangen, musste dann aber auf den DC selbst wechseln, da ab einem bestimmten Zeitpunkt keine Verbindung mehr möglich war (Member in alter AD, AD-Controller in neuer AD). Falls Sie auf einem Member-Server beginnen brauchen Sie die Active Directory Domain Services-Rolle und die entsprechenden Management-Tools, eine Einrichtung dieser Rolle ist nicht notwendig.
Erstellen Sie danach auf dem DC eine neue Zone im DNS mit dem Namen der neuen AD. Die vorhandene Zone ist powerkurs.local, die neue Zone ist powerkurs.de.
Bei der neuen Zone handelt es sich um eine primäre Zone, die in der AD gespeichert wird
Die Replikation erfolgt zu allen DNS Servern in diesem Forest
Vergeben Sie nun den Namen der neuen Zone, in meinem Fall powerkurs.de
Bei den dynamischen Updates dürfen nur sichere Aktualisierungen innerhalb der AD gemacht werden
Danach bekommen Sie noch eine Zusammenfassung und die Erstellung kann beginnen. Im nächsten Schritt kann die Umbenennung der AD beginnen. Öffnen Sie eine administrative cmd (entweder auf dem Server, auf dem Sie die Rolle installiert haben oder direkt auf einem DC) und wechseln Sie in das Verzeichnis, an dem die Datei erstellt werden soll. Ich wähle hier C:\system. Führen Sie nun den Befehl
rendom /list
aus und öffnen Sie danach die Datei domainlist.xml in einem Texteditor.
Ersetzen Sie nun in dieser Datei den Namen der alten Domäne mit dem Namen der neuen und den alten NetBiosName mit dem neuen (falls sich dieser ändert, in meinem Fall bleibt er gleich).
Speichern Sie die Datei ab und führen Sie in der noch geöffneten Eingabeaufforderung den Befehl
rendom /showforest
aus.
Laden Sie die Datei mit dem Befehl
rendom /upload
hoch.
Nun bereiten Sie den Umbenennungs-Vorgang mit dem Befehl
rendom /prepare
vor.
Letztendlich ausführen können Sie den Vorgang mit dem Befehl
rendom /execute
Auf Ihrem AD-Controller sehen Sie nun, dass das Systen neu startet.
Wenn Sie sich nun nach dem Neustart an dem Server anmelden möchten per RDP, erhalten Sie eine Warnung bzgl. des Zertifikats.
An diese Stelle musste ich nun auf den DC selbst springen, da eine Ausführung der folgenden Befehle auf meinem Member-Server nicht mehr möglich war. Starten Sie mit dem Ausführen von
gpfixup /olddns:powerkurs.local /newdns:powerkurs.de
Die Ausführung zur Änderung des NetBiosNamen bringt in meinem Fall einen Fehler, da sich dieser Name nicht ändert
gpfixup /oldnb:powerkurs /newnb:powerkurs
Mit den Befehlen
netdom computername dc01.powerkurs.local /add:dc01.powerkurs.de
und
netdom computername dc01.powerkurs.local /makeprimary:dc01.powerkurs.de
fügen Sie einen neuen Namen hinzu und setzen diesen danach primär.
Nach einem erneuten Neustart sehen Sie, dass sich der Name der VM nun geändert hat
Innerhalb der VM hat sich der Name der Domäne nun auch geändert
An dieser Stelle habe ich nun den Server, auf dem ich die rendom-Befehle ausgeführt habe, neugestartet. Das System war nach dem Neustart Mitglied der powerkurs.de-Domäne. Die Ausführung von
rendom /clean
hat aber trotzdem nicht funktioniert, als Ausgabe habe ich eine Fehlermeldung erhalten
Ich habe nun an dieser Stelle die Dateien, die sich auf dem lokalen Server unter C:\system befanden, auf den AD-Controller kopiert und den Befehl
rendom /clean
dort erneut ausgeführt. Dieses Mal lief der Vorgang erfolgreich durch.
Nun habe ich im DNS die Zone powerkurs.local gelöscht.
Nun habe ich alle Server, die Mitglied der AD sind, durchgebootet. Nach dem Neustart der Scale-Out File Server-Knoten bot sich im Manager die folgende Ansicht:
Das Failover Cluster ist erfolgreich gestartet, der Name und die IP-Adresse ist online und der Storage kann ebenfalls gemountet werden.
Einzig die Dateiserver-Rolle war nicht gestartet. Dies könnte aber daran liegen, dass ich diese vor Beginn der Umbauarbeiten manuell gestoppt habe.
Ein manueller Start war erfolgreich, danach waren die Freigaben auch wieder erreichbar.
Ich habe nun überprüft ob sich alle VMs starten lassen und Zugriff auf Ihre Dateien bekommen, dies war der Fall. Alle Test-VMs auf dem SOFS sowie den VMs auf den lokalen SSDs ließen sich problemlos starten und nutzen.
Zum Abschluss stehen noch ein paar weitere Aktionen an, welche die Übernahme dann noch etwas runder machen:
- Überprüfung auf korrekte Eintragung aller Netzwerkkarten im DNS-Server
- Anpassung der RDP-Zertifikate zur Vermeidung der Warnungen bei einer Verbindung
- Schwenk der unterschiedlichen Rollen, Datenträger usw. im Failover Cluster
- Falls vorher vorhanden: Neu-Erstellung des Hyper-V Failover Cluster
- Durchsuchen der Eventlogs nach möglichen Fehlern oder Problemen
- Anmeldung an allen Systemen zur Überprüfung auf korrekte Verbindung zur AD, ggf. mit einem neuen Benutzer
- Falls mehrere DCs vorhanden sind sollten Sie die Replikation zwischen den Systemen prüfen
Ich möchte noch einmal darauf hinweisen, dass diese Art des “Umzugs” nicht der bevorzugte Weg ist und wir, wenn möglich, eine Neu/Parallel-Installation bevorzugen.
