Active Directory.pdf - Gattner

Bereitstellen von RODCs
Entfernen der AD DS 235
Sie können eine gestaffelte RODC-Installation durchführen. Hierbei führen verschiedene Benutzer
den Installations-Assistenten zu unterschiedlichen Zeiten und höchstwahrscheinlich an verschiedenen
Standorten aus. Zunächst erstellt ein Mitglied der Gruppe Domänen-Admins über das Snap-In Active
Directory-Benutzer und -Computer in Microsoft Management Console (MMC) ein RODC-Konto.
Klicken Sie entweder mit der rechten Maustaste auf den Container Domain Controllers, oder klicken
Sie auf den Container Domain Controllers und anschließend auf Aktion und dann auf Konto für
schreibgeschützten Domänencontroller vorbereiten, um den Assistenten zu starten und das Konto
zu erstellen. Das RODC-Konto kann auch mithilfe des Befehlszeilenparameters dcpromo /Replica-
DomainDNSName: /createDCaccount vorbereitet werden. Beim Erstellen des
RODC-Kontos können Sie die Installation und Verwaltung des RODC an einen Benutzer oder vorzugsweise
an eine Sicherheitsgruppe delegieren.
Auf dem Server, der die Rolle des RODC einnimmt, führt der delegierte RODC-Administrator den
Assistenten zum Installieren von Active Directory-Domänendiensten aus, indem er den Befehl
dcpromo /UseExistingAccount:Attach an der Eingabeaufforderung eingibt, um den Assistenten
zu starten.
Entfernen der AD DS
AD DS werden von einem Domänencontroller mit dem gleichen Befehl entfernt, der auch für die
Installation verwendet wird – Dcpromo.exe. Wenn Sie diesen Befehl auf einem Computer ausführen,
bei dem es sich bereits um einen Domänencontroller handelt, erhalten Sie vom Assistenten zum
Installieren von Active Directory-Domänendiensten eine Meldung, dass die AD DS entfernt werden,
wenn Sie fortfahren. In diesem Abschnitt wird der Vorgang zum Entfernen der AD DS sowohl vom
letzten als auch von einem zusätzlichen Domänencontroller in einer Windows Server 2008-Domäne
erläutert.
Das Entfernen der AD DS von einem Domänencontroller hat folgende Auswirkungen: Die Verzeichnisdatenbank
wird gelöscht, sämtliche der für die AD DS benötigten Dienste werden angehalten und
entfernt, die lokale SAM-Datenbank wird erstellt, und der Computer wird zu einem Mitgliedsserver
herabgestuft. Die einzelnen Auswirkungen hängen davon ab, ob es sich bei dem Domänencontroller
um einen zusätzlichen DC oder den letzten DC in der Domäne oder Gesamtstruktur handelt.
Geben Sie zum Entfernen der AD DS von einem Domänencontroller dcpromo an der Eingabeaufforderung
oder in das Dialogfeld Ausführen ein. Zunächst müssen Sie ermitteln, ob es sich bei dem
Domänencontroller um den letzten Domänencontroller in der Domäne handelt. In Abbildung 6.9 wird
die entsprechende Assistentenseite angezeigt.
Als Nächstes zeigt der Assistent zum Installieren von Active Directory-Domänendiensten eine Liste
aller auf dem Domänencontroller gefundenen Anwendungsverzeichnispartitionen an. Handelt es sich
um den letzten Domänencontroller in der Domäne, ist dies die letzte Quelle für diese Anwendungsdaten.
Sie sollten erwägen, diese Daten zu sichern oder auf andere Weise schützen, da die Verzeichnispartitionen
durch eine Verwendung des Assistenten zum Installieren von Active Directory-Domänendiensten
gelöscht werden. Handelt es sich bei dem Domänencontroller, von dem Sie die AD DS
entfernen, gleichzeitig um einen DNS-Server, sind mindestens zwei Anwendungsverzeichnispartitionen
zum Speichern der Zonendaten vorhanden. Abbildung 6.10 zeigt ein Beispiel von DNS-Anwendungsverzeichnispartitionen,
die während der Deinstallation der AD DS gefunden wurden.