Mevcut bir AD Etki Alanına Ek Etki Alanı Denetleyicisi Ekleme

Hataya dayanıklı bir Active Directory altyapısı oluşturmak ve istemci isteklerinin yükünü dengelemek için en az iki etki alanı denetleyicisine ihtiyacınız vardır. Uzak sitelerde ek etki alanı denetleyicilerinin oluşturulması da önerilir. Bu makalede, mevcut bir AD etki alanına ek (ikincil, üçüncü vb.) etki alanı denetleyicisinin nasıl ekleneceğine bakacağız.

Windows Server'ı Etki Alanı Denetleyicisi Dağıtımı için Hazırlama

Windows Server çalıştıran yeni bir ana bilgisayarı (fiziksel veya sanal) dağıtın. Active Directory'deki tüm DC'lerde aynı Windows Server sürümlerinin kullanılması önerilir. Bu benim örneğimde Windows Server 2019.

Yeni Windows Server ana bilgisayarının ilk yapılandırmasıyla başlayın.

Altyapınıza karşılık gelen etki alanı denetleyicisinin adını ayarlamak için Sunucu Yöneticisi'ni veya bir PowerShell komutunu kullanın (örneğin, mun-dc02):

Rename-Computer -NewName mun-dc02

Sunucu için statik bir IP adresi belirleyin ve DNS ayarlarını sağlayın. Tercih edilen bir DNS sunucusu olarak şunu yazın:

127.0.0.1

(DNS sorgularınızın daha hızlı çalışması için). Ardından, alternatif DNS ile aynı AD sitesindeki en yakın etki alanı denetleyicisinin IP adresini girin. Windows'ta IP ve DNS ayarlarını yapmak için PowerShell'i kullanabilirsiniz:

Get-NetAdapter
New-NetIPAddress -IPAddress 192.168.13.14 -DefaultGateway 192.168.13.1 -PrefixLength 24 -InterfaceIndex 6
Set-DNSClientServerAddress -InterfaceIndex 6 -ServerAddresses ("127.0.0.1","192.168.10.14")

Saat dilimini ayarlayın ve sunucuda doğru saatin ayarlandığından emin olun.

En son güvenlik güncellemelerini yükleyin (güncellemeleri yerel bir WSUS sunucusundan veya Windows Update'ten yükleyebilirsiniz). Windows güncellemelerini yüklemenin başka bir yolu da PSWindowsUpdate PowerShell modülünü kullanmaktır.

Ardından Uzak Masaüstü (RDP) erişimini etkinleştirin, Windows Server bilgisayarınızı bir Active Directory etki alanına bağlayın ve Windows'u yeniden başlatın:

Add-Computer -DomainName a-d.loc
Restart-Computer -force

Yeni bir uzak site için DC dağıtıyorsanız Active Directory Siteleri ve Hizmetleri konsolunu açın (

dssite.msc

), yeni bir site oluşturun ve buna DC'niz tarafından sunulacak IP istemci alt ağlarını bağlayın.

Windows Server'da Active Directory Etki Alanı Hizmetleri (ADDS) Rolünü Yükleme

Active Directory Etki Alanı Hizmetleri (ADDS) rolünü hazırladıktan sonra Windows Sunucunuza yükleyebilirsiniz. Sunucu Yöneticisi'ni açın, Yönet -> Roller ve Özellikler Ekle -> Sunucu Rolleri -> seçeneğine gidin ve Active Directory Etki Alanı Hizmetleri'ni işaretleyin.

ADDS rolünü PowerShell ile de yükleyebilirsiniz:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools -Verbose

AD Etki Alanı Hizmetleri rolünün yüklendiğinden emin olun:

Get-WindowsFeature -Name *AD-Domain*

Mevcut bir Active Directory Etki Alanına Yeni Etki Alanı Denetleyicisi Ekleme

ADDS rolünü yükledikten sonra, Windows Server ana makinenizi üye sunucudan etki alanı denetleyicisine yükseltebilirsiniz.

Sunucu Yöneticisi konsolunda Bu sunucuyu etki alanı denetleyicisine yükselt'i tıklayın.

Ardından Mevcut bir etki alanına etki alanı denetleyicisi ekle'yi seçin.

Bu sunucuya bir DNS sunucusu yüklemek istediğinizi seçin ve Global Katalog rolünü etkinleştirin.

Ardından Dizin Hizmetleri Geri Yükleme Modunun (DRSM) parolasını ayarlayın.

DSRM modunda, bir AD Etki Alanı Denetleyicisini yedek kopyadan geri yükleyebilirsiniz.

Salt okunur bir etki alanı denetleyicisi dağıtmayı planlıyorsanız seçeneği etkinleştirin. Bu durumda normal (okuma/yazma, RW) bir DC dağıtmamız gerektiğinden bu seçeneği kullanmayacağız.

Yeni DC'yi yerleştirmek istediğiniz AD sitesini seçin (örneğimizde yeni oluşturduğumuz MUN sitesini seçtik).

Lütfen DNS sunucusu yetkilendirme adımını atlayın.

Daha sonra AD veritabanını yeni DC'nize çoğaltmak için kullanılacak en yakın etki alanı denetleyicisini seçebilirsiniz. Tüm DC'lerin yakında olması ve hızlı bağlantılarla bağlanması durumunda Herhangi bir etki alanı denetleyicisi'ni seçin. Dizin ve SYSVOL'un yeni DC'ye ilk çoğaltılmasının WAN bağlantılarında aşırı yüke neden olabileceğini unutmayın.

Zayıf veya dengesiz bağlantıya sahip uzak bir siteye yeni bir DC dağıtırken IFM (Medyadan yükle) modunu kullanabilirsiniz. Bu, mevcut bir DC'deki etki alanı bölümünün ve SYSVOL'un anlık görüntüsünü almanızı, bunu fiziksel bir ortama kopyalamanızı ve yeni DC'nin dağıtılması için şubeye aktarmanızı gerektirir.

Daha sonra ADDS veritabanına (ntds.dit) ve sysvol dizinlerine giden yolları sağlayın. Varsayılan yollar çoğu durumda düzgün çalışır:

  • C:\Windows\NTDS
  • C:\Windows\SYSVOL

Bu, doğrulama prosedürünün başlaması gereken zamandır. Tüm önkoşulları yerine getirdiyseniz aşağıdaki mesaj görünmelidir:

All prerequisite checks passed successfully.

Artık yapmanız gereken tek şey Yükle'yi tıklamak ve sunucunuzu bir DC'ye yükseltmektir.

Yeni bir etki alanı denetleyicisi dağıtmak için PowerShell'i de kullanabilirsiniz. Böylece yukarıda açıklanan tüm ayarlar tek bir komutla yapılandırılabilir:

Import-Module ADDSDeployment
Install-ADDSDomainController -NoGlobalCatalog:$false -CreateDnsDelegation:$false -CriticalReplicationOnly:$false -DatabasePath "C:\Windows\NTDS" -DomainName "a-d.loc" -InstallDns:$true -LogPath "C:\Windows\NTDS" -NoRebootOnCompletion:$false -SiteName "MUN" -SysvolPath "C:\Windows\SYSVOL" -Force:$true

Kurulum tamamlandığında sunucu otomatik olarak yeniden başlatılacaktır.

Yeni Etki Alanı Denetleyicisinin Durumu Nasıl Kontrol Edilir

Yeni bir DC kurulumundan sonra durumunu ve Active Directory'deki çoğaltmanın doğruluğunu kontrol etmeniz gerekecektir.

Öncelikle, yeni etki alanı denetleyicisinin ADUC konsolundaki Etki Alanı Denetleyicileri kapsayıcısı altında listelendiğini kontrol edin.

Yeni DC'niz hakkında bilgi almak için bir AD PowerShell modülünü de kullanabilirsiniz:

Get-ADDomainController -Identity MUN-DC02

Etki alanı denetleyicileri arasındaki çoğaltma durumunu şu şekilde kontrol edebilirsiniz:

repadmin /showrepl *
repadmin /replsummary

Belirli bir DC için çoğaltma ortakları hakkında ayrıntılı bilgi edinin:

repadmin /replsummary mun-dc02

Benim durumumda en büyük delta değeri bilinmiyor'du. Bunun nedeni genellikle çoğaltmanın henüz tamamlanmamasıdır. Active Directory Siteleri ve Hizmetleri konsolunu kullanarak çoğaltmayı zorlayabilirsiniz. Bunu yapmak için sitenizi genişletin, DC'nizi seçin, NTDS Ayarları'nı genişletin, ardından bağlantıyı tıklayın ve Tümünü Çoğalt'ı seçin.

Ayrıca şu komutla tam çoğaltma başlatabilirsiniz:

repadmin /syncall

Çoğaltma hatası olup olmadığını kontrol edin.

Etki alanı denetleyicilerinin durumunu ve AD çoğaltmasını kontrol etmek için bağlantıdaki komut dosyasını kullanabilirsiniz.

Yeni DC'niz artık istemcilere hizmet vermeye ve kendisine bağlı IP alt ağlarından/sitelerinden bilgisayarlar için oturum açma sunucusu görevi görmeye hazırdır.

Son olarak, size AD yöneticilerinin yararlı bulacağı birkaç makaleye daha bağlantı bırakıyorum:

  • FSMO rolleri nasıl taşınır/ele geçirilir

  • Etki alanı denetleyicisinin rütbesi nasıl düşürülür (kaldırılır)

  • Active Directory'de GPO'ları yönetme

  • Active Directory etki alanını yeniden adlandırın

  • AD etki alanı yöneticisinin parolasını sıfırlayın

İlgili makaleler