Domain Controller geçişi: FSMO aktarımından önce ve sonra ne doğrulanmalı?

Bir Domain Controller geçişinin bitiş noktası yeni sunucunun açılması değildir. Kullanıcıların doğru DNS üzerinden kimlik doğrulayabilmesi, replikasyonun tamamlanması ve eski sunucuya bağımlılık kalmaması gerekir. Eski kurulum notlarını bu nedenle sihirbaz ekranları yerine doğrulama kapıları üzerinden yeniden düzenlemek daha güvenilir bir yöntemdir.

1. Mevcut sağlığı ölç
2. Sürüm uyumunu incele
3. Yeni DC ekle
4. Replikasyonu doğrula
5. FSMO ve DNS geçişi
6. Eski DC’yi kontrollü kaldır

Önce mevcut ortamın sağlığını kaydedin

DC adlarını, işletim sistemi sürümlerini, site ve alt ağ eşleşmelerini, DNS rollerini ve FSMO sahiplerini listeleyin. DHCP, NTP, sertifika hizmetleri veya dosya paylaşımları aynı makinede bulunuyorsa bunları ayrı geçiş işleri olarak kaydedin. FSMO taşıması bu servisleri kendiliğinden başka bir sunucuya aktarmaz.

Değişiklik öncesindeki replikasyon hatalarını yeni geçişin sonucu gibi değerlendirmemek için başlangıç ölçümü alın. Sistem durumu yedeğinin varlığını ve geri yükleme yöntemini kontrol edin; sıradan bir VM snapshot’ını tek kurtarma yöntemi olarak görmeyin.

Get-ADDomain | Format-List DomainMode,InfrastructureMaster,RIDMaster,PDCEmulator
Get-ADForest | Format-List ForestMode,SchemaMaster,DomainNamingMaster
repadmin /replsummary
dcdiag /test:dns /v

Geçiş yolunu kaynak sürüme göre seçin

Eski bir Windows Server sürümünden güncel bir sürüme geçiş her zaman doğrudan yapılamaz. Etki alanı ve orman işlev düzeyleri, SYSVOL’un FRS veya DFSR kullanması ve desteklenen yükseltme yolları birlikte incelenmelidir. Eski bir belgedeki “2008’den 2016’ya” adımları farklı hedef sürüme aynen uygulanmamalıdır.

Mevcut etki alanına yeni DC eklemek ile yeni orman kurmak farklı işlemlerdir. Var olan kullanıcı ve nesneleri korumak istediğiniz geçişte yanlışlıkla yeni orman oluşturmayın. DSRM parolasını normal kullanıcı parolası gibi paylaşmayın; kurtarma amacıyla güvenli saklayın.

Yeni denetleyiciyi ekleyip replikasyonu bekleyin

Sabit ağ yapılandırması ve doğru DNS çözümlemesi sağlandıktan sonra sunucuyu mevcut yapıya ekleyin. AD DS rolünü yüklemek tek başına denetleyici oluşturmaz; yükseltme/promote adımının da başarılı olması gerekir. Yeniden açılıştan sonra günlükleri inceleyin.

• Yeni DC’de SYSVOL ve NETLOGON paylaşımları oluşmuş mu?
• Diğer DC’lerle replikasyon hatasız mı?
• DNS kayıtları ve AD ile bütünleşik bölgeler beklenen durumda mı?
• Pilot istemci yeni DC üzerinden oturum açabiliyor mu?

FSMO, DNS ve zaman hizmetini ayrı ayrı taşıyın

FSMO aktarımından sonra rol sahiplerini yeniden sorgulayın. Eski sahibi erişilebilirken kontrollü transfer, zorla rol alma işleminden farklıdır; normal geçişte gereksiz seizure uygulamayın. PDC Emulator rolünün taşınması zaman hizmeti tasarımının da kontrol edilmesini gerektirir.

İstemcilerin DNS sunucu listelerinde eski adresin kalması, yeni DC sağlıklı olsa bile aralıklı oturum veya isim çözümleme sorunları oluşturabilir. DHCP seçeneklerini, statik tanımlı sunucuları ve ağ cihazlarını birlikte gözden geçirin.

Eski DC’yi kaldırmak için kabul ölçütleri belirleyin

Gözlem süresince uygulama ve istemci doğrulamaları tamamlanmadan eski DC’yi silmeyin. Planlı demote işlemi, sanal makine dosyalarını doğrudan kaldırmaktan daha farklıdır. Eski DNS kayıtları ve site nesneleri geçiş sonrasında ayrıca kontrol edilmelidir.

• Replikasyon ve DNS sağlık kontrolleri temiz.
• FSMO sahipleri hedef sunucuları gösteriyor.
• Uygulama sahipleri kimlik doğrulama testini tamamladı.
• Eski DC’ye yönelik DNS, LDAP ve zaman bağımlılıkları değerlendirildi.
• Yedek, geri dönüş kararı ve değişiklik kaydı tamamlandı.

İlgili çalışma notları

• DNS A kaydı çalışıyor, PTR oluşmuyor: ters bölge ve kayıt dökümü rehberi
• Paylaşıma erişim reddedildi: NTFS ve paylaşım izinlerini birlikte okumak
• Active Directory güvenliği: ayrıcalıklı erişimi daraltmak