In der sich rasant weiterentwickelnden Welt der Informationstechnik ist es für Unternehmen von entscheidender Bedeutung, ihre Systeme auf dem neuesten Stand zu halten. Diese Binsenweisheit gilt längst nicht nur für Betriebssysteme wie den Windows Server, sondern auch und insbesondere für die Active Directory Domain Services (ADDS) oder kurz das AD (Active Directory), das als Zentrale für die Identitäts- und Zugriffsverwaltung eine Schlüsselrolle einnimmt.

Zwar hat Microsoft in den letzten Jahren die Weiterentwicklung des ADs on-premises eher stiefmütterlich behandelt und vom früheren Windows Server 2016 bis zur Version 2025 nur geringfügige Änderungen vorgenommen. Weder Windows Server 2019 noch 2022 haben neue Funktionsebenen für Gesamtstruktur und Domänen eingeführt. Erst Windows Server 2025 bringt hier wieder Neuerungen. Grundsätzlich ermöglicht ein Upgrade des ADs den Zugriff auf neue Funktionen und Verbesserungen, etwa bei Verwaltungstools oder Sicherheitsfunktionen.

Ein Upgrade geht einher mit dem Wechsel auf eine neue Version des Betriebssystems und aktualisiert in dessen Folge auch das AD auf eine neuere Version. Eine Migration umfasst dagegen den Wechsel von einer AD-Umgebung zu einer anderen, also den Umzug zwischen Domänen, vielleicht sogar in eine andere Gesamtstruktur, ohne dass damit zwingend ein Wechsel des Betriebssystems oder eine neue Version des AD-Schemas verbunden ist. Im Folgenden gehen wir auf beide Varianten ein, legen den Schwerpunkt dabei aber auf die Upgrades.

Version des AD-Schemas ermitteln

Eng verknüpft mit der Version des Betriebssystems sind die Version des AD-Schemas sowie die Funktionsebenen von Gesamtstruktur und Domänen. Welche Version des Schemas eine Gesamtstruktur derzeit verwendet, verrät ein Blick in die Registry eines Domaincontrollers (DC). Hier gibt Ihnen der DWORD-Wert unter "HKLM / SYSTEM / CurrentControlSet / Services / NTDS / Parameters / Schema Version" Aufschluss. Alternativ ermitteln Sie die Version mithilfe der PowerShell:

Get-ADObject (Get-ADRootDSE).schemaNamingContext -Property objectVersion

Ein Dezimalwert von 69 entspricht hier dem Windows Server 2012 R2, während Server 2016 das Schema auf die Version 87 anhebt. Windows Server 2019 und 2022 verwenden gleichermaßen die Schema-Version 88 (Bild 1). Letztere bringt für lokale Infrastrukturen keine nennenswerten Neuerungen mit und führt lediglich das zusätzliche Attribut "msDS-preferredDataLocation" für Objekte der Klassen Nutzer, Gruppen sowie Kontakte ein. Dies dient in hybriden Umgebungen der Zuordnung geografischer Informationen im Kontext von Microsoft 365. Windows Server 2025 führt eine neuere Schema-Version ein.

Adprep nur noch optional

Altgediente Administratoren werden sich noch an das Kommandozeilen-Tool Adprep zur manuellen Vorbereitung von Upgrades erinnern. Dessen Ausführung ist bereits seit dem Windows Server 2012 ab Werk in den Installationsprozess neuer Domaincontroller integriert. Sobald Sie in einer bestehenden Gesamtstruktur und Domäne einen neuen Server zum DC hochstufen, führt der Assistent automatisch Adprep aus, falls dies nötig ist und sofern das ausführende Benutzerkonto über ausreichende Berechtigungen verfügt. Falls Sie es vorziehen, die Änderungen manuell anzustoßen, können Sie Adprep auch heute noch optional separat starten.

Zur Vorbereitung einer Gesamtstruktur benötigen Sie die weitreichenden Berechtigungen eines Schema-Admins. Nehmen Sie das Benutzerkonto, mit dem Sie das Upgrade durchführen, entsprechend in diese Gruppe auf, bevor Sie das Schema aktualisieren. Melden Sie diesen Benutzer nun auf dem DC an, der die FSMO-Rolle des Schema-Masters hält. Nun führen Sie in einer administrativen Kommandozeile den folgenden Befehl einmalig für die Gesamtstruktur aus:

adprep /forestprep

In jeder einzelnen Domäne innerhalb der Gesamtstruktur wenden Sie anschließend auch folgendes Kommando an:

adprep /domainprep

Damit ist die Infrastruktur für die neue Version von Windows Server gerüstet.

Zwingend erforderlich ist Adprep heutzutage nur noch vor einem In-Place-Upgrade, also dem direkten Upgrade des Betriebssystems eines vorhandenen DCs. Wenn Sie stattdessen ein System mit einer neueren Version von Windows Server erst als Mitgliedsserver in eine Gesamtstruktur und Domäne aufnehmen und dann zum DC hochstufen, erledigen sowohl der grafische Server-Manager als auch die PowerShell die nötigen Schritte automatisch für Sie.

Nachdem Sie eines oder mehrere Systeme mit der neueren Version von Windows Server zum DC hochgestuft haben, stufen Sie die früheren DCs mit älteren Versionen herab und schicken sie in den Ruhestand. In produktiven Umgebungen ist dieses auch Swing-Server-Methode genannte Vorgehen gegenüber einem In-Place-Upgrade der weniger disruptive und damit bevorzugte Weg.

Upgrade als Projekt angehen

Die Swing-Server-Methode, mit der Sie sukzessive alte DCs durch neue Systeme ersetzen, ist bei sorgfältiger Planung ein bewährtes Vorgehen. Bereits in kleinen bis mittelgroßen Infrastrukturen sollten Sie das Vorhaben jedoch als Projekt verstehen und entsprechend vorbereiten. Erstellen Sie einen detaillierten Fahrplan mit den auszutauschenden Systemen und ihren Aufgaben sowie, insbesondere bei geografischen verteilten Umgebungen, ausreichend Zeit für die Synchronisation von Änderungen zwischen den einzelnen Schritten. Prüfen Sie also besser vorab auch Ihre Backups und deren Wiederherstellung.

Im optimalen Fall verfügen Sie über eine Dokumentation, die den aktuellen Zustand aller DCs wiedergibt. Falls nicht, beginnen Sie mit einer Bestandsaufnahme. Bewährte Praxis ist, dass ein DC keine zusätzlichen Anwendungen und Dienste bereitstellen sollte. Trotzdem führen einzelne DCs oftmals Wartungsaufgaben in Form von Skripten, etwa zur Sicherung von AD-Datenbank und Gruppenrichtlinien, oder auch Dienste zur Synchronisation mit anderweitigen Verzeichnisdiensten und Anwendungen von Drittanbietern aus.

Identifizieren Sie sämtliche besonderen Aufgaben, die Ihre DCs wahrnehmen, und planen Sie, welche davon auf welche Ihrer neu zu installierenden DCs umziehen sollen. Ein weiterer wichtiger Punkt ist die Namensauflösung per DNS. Achten Sie darauf, allen Mitgliedservern und Clients die IP-Adressen neuer DCs mit dem DNS-Feature mitzuteilen, bevor Sie die alten DNS-Server außer Betrieb nehmen.

Domaincontroller schrittweise aktualisieren

Installieren Sie nun eine Maschine mit einer neuen Version von Windows Server mit allen verfügbaren Updates als Mitgliedsserver in Ihrer Umgebung und weisen Sie dem System eine statische IP-Adresse zu. Die Installation der AD DS und die Inbetriebnahme als DC in einer bestehenden Umgebung sind weitest -gehend identisch zum Vorgehen bei einer Neuinstallation einer AD-Umgebung. Bei einem Upgrade verfügt der Assistent zum Heraufstufen lediglich über einen weiteren Schritt der Vorbereitungsoptionen. Diese kümmern sich um Schema, Gesamtstruktur und Domäne, sofern Adprep diese Punkte nicht im Vorfeld schon manuell erledigt hat. Falls das Benutzerkonto, mit dem Sie den Assistenten gestartet haben, nicht über ausreichende Berechtigungen verfügt, können Sie an dieser Stelle auch die Anmeldeinformationen eines alternativen Kontos eintragen.

Nach der Installation des neuen DCs überprüfen Sie die Replikation von AD, DFS und DNS. Übertragen Sie nun sämtliche FSMO-Rollen auf den neuen DC. Nach Bedarf nehmen Sie anschließend weitere DCs mit der neueren Version von Windows Server in Betrieb und verabschieden die älteren DCs in den wohlverdienten Ruhestand.

Sobald alle DCs die neueste Version von Windows Server verwenden, können Sie erst die Funktionsebenen aller Domänen und schließlich die der Gesamtstruktur anheben. Diese Schritte sind allerdings nur dann erforderlich, wenn Sie ein Upgrade von Windows Server 2012 R2 oder früheren Versionen durchführen. Grundsätzlich empfiehlt Microsoft, die Funktionsebenen anzuheben, da sie jeweils neue Funktionen im AD mit sich bringen.

Bis einschließlich Windows Server 2022 entsprach die höchste verfügbare Domänen- und Gesamtstrukturfunktionsebene dem Stand von Windows Server 2016. Erst Windows Server 2025 bringt hier wieder Neuerungen. Da sich eine Anhebung der Funktionsebenen in der Regel nicht rückgängig machen lässt, sollten Administratoren zuvor sicherstellen, dass keine Domain Controller mit älteren Windows-Server-Versionen mehr in der Umgebung betrieben werden.

Pro Domäne benötigen Sie ein Benutzerkonto mit den Berechtigungen eines Domänen-Admins. Öffnen Sie die Microsoft Management Console (MMC) "Active Directory-Benutzer und -Computer". Per Rechtslick auf den Container der Domäne erreichen Sie die Aktion "Domänenfunktionsebene heraufstufen".

In unserer Beispielumgebung hat die Domäne bereits die derzeit höchste verfügbare Ebene "Windows Server 2016" erreicht, sodass hier keine Änderung nötig ist (Bild 2). Diese Domänenfunktionsebene brachte neben Unterstützung für die PKI-Authentifizierung mittels Smartcards Neuerungen bei der Kerberos-Authentifizierung sowie beim Schutz von Anmeldeinformationen mit.

Analog dazu finden Sie in der MMC "Active Directory-Domänen und -Vertrauensstellungen" und dort im Kontextmenü des gleichnamigen obersten Containers die Aktion "Gesamtstrukturfunktionsebene heraufstufen". Die letzte Aktualisierung an dieser Stelle führte die Unterstützung von Privileged Access Management (PAM) mithilfe des Microsoft Identity Managers (MIM) ein.

Umzüge leicht gemacht

Beim Umzug von Objekten zwischen Domänen, ja sogar über die Grenzen von Gesamtstrukturen hinweg, hilft das Microsoft Active Directory Migration Tool (ADMT). Die Software kommt weiterhin zum Einsatz, entwickelt sich jedoch seit Jahren nur noch eingeschränkt weiter. Sie migriert Benutzer mitsamt Profilen, Dienst- sowie Computerkonten, Gruppen, Dateisystemberechtigungen und auch eingeschränkt Konfigurationseinstellungen von Exchange. Das Benutzerkonto, mit dem Sie Migrationen durchführen, benötigt mindestens Leserechte in der Quelldomäne sowie Schreibrechte am gewünschten Ziel.

Bei der Migration über Gesamtstrukturen hinweg richten Sie daher zunächst eine bidirektionale transitive Gesamtstrukturvertrauensstellung zwischen den beteiligten Domänen ein und versehen den ausführenden Benutzer mit den passenden Berechtigungen.

ADMT setzt eine Instanz von Microsoft SQL Server voraus, begnügt sich aber auch mit dessen kostenloser Express-Edition. Und wenngleich die derzeit aktuelle Version 3.2 des ADMT bereits in die Jahre gekommen ist, harmoniert sie auch mit einer Standardinstallation der SQL Server 2022 Express Edition auf Basis von Windows Server 2022. Allerdings müssen Sie SQL Server zunächst manuell einrichten, bevor Sie das selbst nur wenige MByte große ADMT installieren können.

ADMT basiert, wie die übrigen Werkzeuge zur Verwaltung des AD, auf der MMC. Die Setuproutine installiert es in den Pfad "C:\Windows\ADMT" und verlinkt die Konsole im Startmenü bei den Windows-Verwaltungsprogrammen. Starten Sie das Werkzeug und öffnen Sie das Kontextmenü des obersten Eintrags in der linken Navigation. Hier finden Sie eine Auswahl der zu migrierenden Objekttypen (Bild 3).

Exemplarisch wollen wir nun Benutzerkonten umziehen. Dazu wählen Sie die gewünschten Quell- und Zieldomänen. Belassen Sie es bei der Vorauswahl "Any domain controller", wählt das Tool automatisch einen passenden DC. Alternativ legen Sie gezielt jeweils einen DC fest. Mit der Option "Select Users from Domain" im folgenden Dialogschritt gelangen Sie zu einer interaktiven Auswahl, ähnlich der Suche nach Objekten im AD, mit der Sie die zu migrierenden Benutzer festlegen. Nun wählen Sie die Ziel-OU in der Zieldomäne. Daraufhin dürfen Sie entscheiden, ob ADMT für die migrierten Benutzerkonten neue komplexe Passwörter generiert oder die bestehenden mitnimmt.

ADMT bietet mehrere Optionen zum Umgang mit dem Status der alten und neuen Benutzerkonten. Auf Wunsch aktiviert oder deaktiviert das Werkzeug die am Ziel neu erstellten Konten oder es behält deren ursprünglichen Zustand an der Quelle bei. Die Quellkonten kann das ADMT optional sofort oder nach einer definierten Anzahl von Tagen deaktivieren. Zu guter Letzt schreibt auf Wunsch die Option "Migrate User SIDs to Target Domain" den eindeutigen Security Identifier (SID) des Quellkontos in das Attribut der SID-History des Ziels.

Der Vorteil der Speicherung einer historischen SID ist, dass der Anwender auch mit seinem neuen Konto weiterhin auf Ressourcen der früheren Domäne zugreifen kann. Beachten Sie allerdings, dass die SID-History das als "Token Bloat" bezeichnete MaxTokenSize-Problem hervorrufen kann. Die maximale Token-Größe bestimmt, wie viele Einträge eine Kerberos-Authentifizierung überträgt. Ist ein Token zu groß, schneidet die Authentifizierung Einträge ab und die entsprechenden Berechtigungen fehlen.

Der Migrationsassistent bietet weitere Optionen zum Umgang mit Roaming Profiles, Berechtigungen sowie Gruppenmitgliedschaften und erlaubt auch, bestimmte Attribute der Benutzerkonten aus der Quelle von der Migration auszuschließen, wenn diese am Ziel nicht mehr benötigt werden. Optionen zur Behandlung von Konflikten schließen die Konfiguration der Migration ab. ADMT migriert Objekte im Konfliktfall wahlweise nicht oder versucht, in Konflikt stehende Objekte zusammenzuführen.

Fazit

Die Swing-Server-Methode ermöglicht innerhalb einer Gesamtstruktur den schrittweisen Austausch von Domain Controllern, ohne Benutzer oder Dienste nennenswert zu beeinträchtigen. Auch wenn sich Active Directory über viele Jahre nur vergleichsweise wenig verändert hat, bringen aktuelle Windows-Server-Versionen neue Funktionen und Sicherheitsverbesserungen mit. Eine sorgfältige Planung, getestete Backups und die schrittweise Umsetzung bleiben daher die Grundlage für erfolgreiche Upgrades.

Beim Umzug von Benutzern, Gruppen und weiteren Verzeichnisobjekten zwischen Domänen oder Gesamtstrukturen unterstützt das Microsoft Active Directory Migration Tool. Unabhängig vom gewählten Migrationsweg empfiehlt es sich, sowohl die Wiederherstellung der Sicherungen als auch die einzelnen Migrationsschritte vorab in einer Testumgebung zu erproben. So lassen sich Risiken minimieren und Unterbrechungen im Produktivbetrieb vermeiden. (jp/ln)

Über den Autor: Dr. Christian Knermann veröffentlichte bisher zahlreiche Artikel im Bereich der Informationstechnologie für verschiedene Fachmagazine – darunter seit 20 Jahren für den IT-Administrator. Außerdem wirkt er an Buchprojekten mit und trägt auf nationalen und internationalen Konferenzen vor.

FAQs

Dieser Artikel erschien im IT-Administrator Sonderheft II/2024

"Active Directory – Administration,
Security und Troubleshooting"

Das Sonderheft II/2024 zeigt auf 211 Seiten Best Practices sowohl für den lokalen als auch den hybriden Betrieb des Active Directory und deckt dabei praxisnah Aspekte wie Betriebsmasterrollen, Globalen Katalog, AD-Migration und -Upgrades, Replikation, Standortkonzepte sowie Zertifikatsdienste einschließlich PKI ab.

Bestellen Sie das Sonderheft hier als E-Paper
(Die gedruckte Ausgabe ist leider vergriffen)