Active Directory Architektur: Was sich wirklich geändert hat

• Stärkere Integration in Hybrid-Umgebungen (Azure AD / Entra ID)
• Erweiterte Kerberos-Sicherheit (AES-only, keine NTLM-Abhängigkeit)
• LDAP Signing & Channel Binding standardmäßig relevant
   

Domänencontroller installieren und aktualisieren

Die klassische Nutzung von dcpromo ist seit vielen Versionen obsolet. Auch unter Windows Server 2025 erfolgt die Installation ausschließlich über den Server-Manager oder PowerShell.

Vor der Einführung neuer Domänencontroller in bestehende Umgebungen wird das Schema automatisch erweitert – ein manuelles Ausführen von adprep ist nur noch in Spezialfällen notwendig.

Die Installation eines Domänencontrollers erfolgt heute typischerweise mit PowerShell:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSDomainController -DomainName "contoso.com"

Die Funktionsebenen wurden erweitert. Windows Server 2025 unterstützt aktuelle Modi wie:

• Windows Server 2016 (Minimum für viele moderne Features)
• Windows Server 2022 / 2025 (empfohlen für neue Umgebungen)

Best Practice:

• Mindestens zwei Domänencontroller pro Standort
• DNS immer lokal auf DC betreiben
• Keine Mischumgebungen unterhalb Windows Server 2016

 

PowerShell: Zentrale Verwaltung

Die PowerShell ist heute das wichtigste Werkzeug für AD-Administratoren. Das Modul ActiveDirectory bietet umfangreiche Cmdlets:

Get-Command *-AD*
Get-ADUser -Filter *
New-ADUser
Set-ADUser
Remove-ADUser

Das Active Directory-Verwaltungscenter zeigt weiterhin automatisch die zugehörigen PowerShell-Befehle an und dient damit als Lernhilfe.

Remote-Verwaltung erfolgt über PowerShell Remoting oder das Windows Admin Center.
 

PowerShell Deep Dive: Effiziente AD-Verwaltung

Get-ADUser -Filter * -Properties LastLogonDate
Get-ADComputer -Filter * | Where {$_.Enabled -eq $false}
Search-ADAccount -LockedOut

Tipp: Große Umgebungen sollten Abfragen immer filtern – keine „*“-Queries ohne Einschränkung.

 

Domänencontroller verwalten und verschieben

Standorte und Replikation lassen sich einfach per PowerShell steuern:

Get-ADDomainController -Filter * | ft Hostname,Site
Move-ADDirectoryServer -Identity "DC01" -Site "Muenchen"
 

Replikation überwachen und analysieren

Die wichtigsten Tools sind weiterhin:

• repadmin
• dcdiag
• PowerShell Cmdlets

repadmin /showrepl
repadmin /replsummary
Get-ADReplicationPartnerMetadata -Target *

Zusätzlich bietet Windows Admin Center eine grafische Übersicht über Replikationszustände.
 

Active Directory absichern

Moderne Sicherheitsfunktionen sind unter Windows Server 2025 besonders wichtig:

• Standardmäßig aktivierter Schutz vor versehentlichem Löschen
• Privileged Access Management (PAM)
• Just-in-Time-Administration
• Verbesserte Kerberos- und LDAP-Sicherheitsrichtlinien
   

Active Directory Papierkorb

Der Papierkorb ist heute Standard und sollte in jeder Umgebung aktiviert sein. Die Verwaltung erfolgt über das Active Directory-Verwaltungscenter oder PowerShell:

Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target contoso.com
 

FSMO-Rollen verwalten

Die fünf FSMO-Rollen existieren weiterhin:

• Schema Master
• Domain Naming Master
• PDC Emulator
• RID Master
• Infrastructure Master

Übersicht aller Rollen:

netdom query fsmo

Best Practices wurden leicht angepasst: In modernen Umgebungen mit ausschließlich Global Catalogs spielt die klassische Einschränkung des Infrastrukturmasters kaum noch eine Rolle.
 

Fehleranalyse und Diagnose

Die wichtigsten Diagnose-Tools bleiben:

dcdiag /v
dcdiag /e
dcdiag /q

DNS bleibt die häufigste Fehlerquelle. Moderne Cmdlets helfen bei der Analyse:

Resolve-DnsName contoso.com
Test-ComputerSecureChannel
 

Gruppenrichtlinien effizient verwalten

Gruppenrichtlinien sind weiterhin zentral. Moderne Tools:

• Group Policy Management Console (GPMC)
• Windows Admin Center
• PowerShell (GroupPolicy-Modul)

gpupdate /force
gpresult /h report.html

Zusätzlich können Richtlinien mit PowerShell analysiert werden:

Get-GPO -All
Get-GPResultantSetOfPolicy

Performance und Monitoring

Zur Analyse von LDAP- und AD-Last verwenden Sie weiterhin Leistungsüberwachung und Datensammlersätze. Zusätzlich bieten moderne Monitoring-Lösungen (Azure Monitor, Defender for Identity) tiefere Einblicke.

Häufige Fehlerbilder aus der Praxis

1. Benutzer können sich nicht anmelden

• DNS prüfen
• DC erreichbar?
• Eventlog checken

2. Replikation funktioniert nicht

• repadmin prüfen
• Firewall prüfen
• DNS prüfen

3. GPOs greifen nicht

• gpresult analysieren
• OU-Struktur prüfen

Fazit: Active Directory 2025 richtig betreiben

Wer Active Directory unter Windows Server 2025 effizient betreiben will, kommt an PowerShell, sauberem DNS-Design und modernen Sicherheitskonzepten nicht vorbei. Die meisten Probleme lassen sich auf wenige Ursachen zurückführen – vor allem DNS, Replikation und Zeitdienste.

Mit den richtigen Tools und Best Practices bleibt AD auch in komplexen Umgebungen stabil, sicher und performant.