Переход ad c windows server 2008 r2 на windows server 2016

Обновлено: 04.07.2024

Здравствуйте пытаюсь обновить контроллеры домена с 2008r2 до windows server 2016. У меня используется старый тип репликации ntfrs и я пытаюсь сначала сделать через DFS.

Проверяем, какой тип репликации используется для текущего каталога AD.
Для этого запускаем утилиту ADSI Edit на контроллере домена и подключаемся к «контексту именования по умолчанию». Далее ищем в вашем каталоге текущие контроллеры домена и выбираем один из них. Если вы видите каталог «CN=NTFRS Subscriptions» , значит у вас используется тип репликации «FRS». Если же «CN=DFSR-LocalSettings» – значит используется новый тип репликации DFS-R и тогда 5 шаг мы пропускаем.

Получаем текущее глобальное состояние миграции DFSR через команду
dfsrmig /getglobalstate
Начинаем процесс миграции. Выполняем команду
dfsrmig /setglobalstate 1
С помощью команды dfsrmig /getmigrationstate проверяем, когда 1 этап миграции завершится на всех контроллерах.
Чтобы ускорить процесс репликации между контроллерами, выполним команды
Repadmin /syncall /AeS
на каждом контроллере
Переходим к следующему этапу:
dfsrmig /setglobalstate 2
И опять ускоряем процесс синхронизации командой
Repadmin /syncall /AeS
Как только команда dfsrmig /getmigrationstate выдаст положительный результат, запускаем заключительный этап
dfsrmig /setglobalstate 3
и повторяем те же действия, чтобы завершить процесс перехода на DFS-R.

Миграция DFSR еще не инициализирована. Что бы начать миграцию установите глобальное состояние в нужное значение

Ошибка функции DsBindWithCred для Aed, состояние ошибки 1722 (0x6ba): Сервер RPC недоступен.

Lehhaa

Участник

Вы это не выполнили.

Делайте строго по порядку выше

Diversant

Участник

Спасибо, вроде заработало.
Но теперь дальше вылезают ошибки когда пытаюсь выполнить
Процесс DsReplicaConsistencyCheck() завершился ошибкой с кодом состояния 8453 (0x2105)
Доступ к репликации отвергнут
Что вообще делает команда repadmin /kcc ? Как проверить что DFS репликация работает?:dummy:

GoodWIN

Активный участник

repadmin /replsummary — отображает краткое состояние репликации и относительную работоспособность леса
repadmin /syncall — синхронизирует контроллер домена (указанный) со всеми партнерами репликации
repadmin /kcc — принуждает перерасчитать входящую топологию репликации
repadmin /replicate — запускает немедленную репликацию (указанного раздела)
repadmin /? — покажет подробную справку по командам

Вы сервер новый повысили до контроллера домена или нет? На каком вы сейчас шаге?:guru:

Diversant

Участник

DFSR вроде заработало. Но я не знаю как проверить точно.:botanik:
Сначала были ошибки:
EVENT id 1302

Служба репликации DFS обнаружила ошибку во время записи в файл журнала отладки. Сбой записи в журнал отладки может произойти из-за переполнения диска, сбоя в работе диска или достижения папкой, содержащей журналы, предела квоты. Ведение журнала будет отключено до тех пор, пока эта ошибка не будет исправлена.

Служба репликации DFS обнаружила, что по крайней мере одно подключение настроено для группы репликации Domain System Volume.

Дополнительные сведения:
Идентификатор группы репликации: B17FFC21-A8A4-44B1-A4ED-3B46503C5F3F
Идентификатор члена: 36C0DBFC-A593-401F-936B-2247396C0C91

Служба репликации DFS останавливает подключение к партнеру SDC группы репликации Domain System Volume из-за ошибки. Служба будет периодически пытаться повторить подключение.

Дополнительные сведения:
Ошибка: 9036 (Пауза по причине архивации или восстановления)
Идентификатор подключения: 248DFEAC-7E0A-42AD-B782-276A8C9FC717
Идентификатор группы репликации: B17FFC21-A8A4-44B1-A4ED-3B46503C5F3F

Служба репликации DFS успешно установила входящее подключение с партнером SDC для группы репликации Domain System Volume.

Дополнительные сведения:
Адрес использованного подключения: SDC.domen.Local
Идентификатор подключения: 248DFEAC-7E0A-42AD-B782-276A8C9FC717
Идентификатор группы репликации: B17FFC21-A8A4-44B1-A4ED-3B46503C5F3F

Diversant

Участник

Я делаю по этой статье. Вроде все повысилось без проблем, роли FSMO передал. Но теперь как то надо все проверить

Обновление контроллеров домена до Windows Server 2016

1. Проверяем, что каталоги AD синхронизируются без проблем. Запускаем
repadmin /replsum
Убеждаемся, что в столбце «Fails» нет ошибок, а дельта синхронизации не превышает той, которая настроена между сайтами.

2. Текущий уровень домена и леса должен быть не ниже Windows Server 2008. Если он ниже, то сначала поднимаем уровень домена до 2008 (этого не произойдет, если у вас остались в домене контроллеры, которые работают на Windows Server 2003 или 2003R2). После поднимаем уровень леса до 2008 (также надо предварительно убедиться, что все домены в лесу имеют уровень 2008). Поднятие уровня домена и леса осуществляется через оснастку «Active Directory – домены и доверие».

3. Разворачиваем новый сервер Windows Server 2016. Добавляем его в домен. Задаем статичный IP-адрес и имя хоста.

4. Проверяем, какой тип репликации используется для текущего каталога AD.
Для этого запускаем утилиту ADSI Edit на контроллере домена и подключаемся к «контексту именования по умолчанию». Далее ищем в вашем каталоге текущие контроллеры домена и выбираем один из них. Если вы видите каталог « CN=NTFRS Subscriptions » , значит у вас используется тип репликации «FRS». Если же « CN=DFSR-LocalSettings » – значит используется новый тип репликации DFS-R и тогда 5 шаг мы пропускаем.

5. Получим текущее глобальное состояние миграции DFSR через команду
dfsrmig /getglobalstate
Начинаем процесс миграции. Выполняем команду
dfsrmig /setglobalstate 1
С помощью команды dfsrmig /getmigrationstate проверяем, когда 1 этап миграции завершится на всех контроллерах.
Чтобы ускорить процесс репликации между контроллерами, выполним команды
Repadmin /syncall /AeS
на каждом контроллере
Переходим к следующему этапу:
dfsrmig /setglobalstate 2
И опять ускоряем процесс синхронизации командой
Repadmin /syncall /AeS
Как только команда dfsrmig /getmigrationstate выдаст положительный результат, запускаем заключительный этап
dfsrmig /setglobalstate 3
и повторяем те же действия, чтобы завершить процесс перехода на DFS-R.

6. Делаем новые сервера контроллерами домена: устанавливаем на них роль Active Directory Domain Services и DNS-сервера.

7. Запускаем службу KCC для создания новых связей с новыми контроллерами домена.
repadmin /kcc
и проверяем, что синхронизация проходит без ошибок на каждом из контроллеров

где dc-01 и dc-02 новые сервера на WS2016
Еще раз запускаем репликацию на всех контроллерах:
repadmin /syncall /AeS
Командой netdom query fsmo убеждаемся, что все роли переехали на нужные сервера.

9. На новых серверах в настройках сетевых адаптеров указываем в качестве DNS-сервера новые контроллеры домена.

10. Выполняем команду dcpromo на старых контроллерах для понижения уровня сервера. После отключения всех серверов не забываем запустить

В этом разделе содержатся общие сведения о домен Active Directory службы в Windows Server 2016 и объясняют процесс обновления контроллеров домена с Windows Server 2012 или Windows Server 2012 R2.

Предварительные требования

рекомендуемый способ обновления домена — повысить уровень контроллеров домена, на которых работают более новые версии Windows Server, и при необходимости понизить прежние контроллеры домена. Этот метод является предпочтительным для обновления операционной системы существующего контроллера домена. в этом списке описаны общие шаги, которые необходимо выполнить перед повышением уровня контроллера домена, на котором работает более новая версия Windows Server.

Убедитесь, что целевой сервер отвечает требованиям к системе.
Проверьте совместимость приложений.
проверьте Рекомендации для перехода на Windows Server 2016
Проверьте параметры безопасности. Дополнительные сведения см. в разделе устаревшие функции и изменения в работе, связанные с AD DS в Windows Server 2016.
Проверьте подключение к целевому серверу с компьютера, где планируется установка.
Проверьте доступность необходимых ролей хозяина операций.
- чтобы установить первый контроллер домена, работающий Windows Server 2016 в существующем домене и лесу, на компьютере, где выполняется установка, необходимо подключиться к хозяину схемы , чтобы запустить adprep/forestprep и хозяин инфраструктуры для запуска adprep/домаинпреп.
- Чтобы установить первый контроллер домена в домене, где схема леса уже расширена, требуется подключение только к хозяину инфраструктуры.
- Для установки или удаления домена в существующем лесу необходимо подключение к хозяину именования доменов.
- Для установки контроллера домена также требуется подключение к хозяину RID.
- Если вы устанавливаете первый контроллер домена только для чтения в существующем лесу, вам потребуется подключение к хозяину инфраструктуры для каждого раздела каталога приложений, также известного как контекст именования не в ДОМЕНЕ или нднк.

Этапы установки и требуемые административные уровни

В следующей таблице приведена сводка этапов обновления и требования к разрешениям для выполнения этих действий.

Действие установки	Требования к учетным данным
Установка нового леса	Локальный администратор на целевом сервере
Установка нового домена в существующем лесу	Администраторы предприятия
Установка дополнительного контроллера домена в существующем домене	Администраторы домена
Выполнение команды adprep /forestprep	Администраторы схемы, администраторы предприятия и администраторы домена
Выполнение команды adprep /domainprep	Администраторы домена
Выполнение команды adprep /domainprep /gpprep	Администраторы домена
Выполнение команды adprep /rodcprep	Администраторы предприятия

дополнительные сведения о новых возможностях в Windows Server 2016 см. в разделе новые возможности Windows Server 2016.

Поддерживаемые варианты обновления на месте

контроллеры домена, на которых работают 64-разрядные версии Windows Server 2012 или Windows Server 2012 R2, можно обновить до Windows Server 2016. поддерживаются только обновления 64-разрядных версий, так как Windows Server 2016 поступает только в 64-разрядной версии.

Используемый выпуск	Доступно обновление до следующих выпусков
Windows Server 2012 Standard	Windows Server 2016 Standard или Datacenter
Windows Server 2012 Datacenter	Windows Server 2016 Datacenter
Windows Server 2012 R2 Standard	Windows Server 2016 Standard или Datacenter
Windows Server 2012 R2 Datacenter	Windows Server 2016 Datacenter
Windows Server 2012 R2 Essentials	Windows Server 2016 Essentials
Windows Storage Server 2012 Standard	Windows Storage Server 2016 Standard
Windows Storage Server 2012 Workgroup	Windows Storage Server 2016 Workgroup
Windows Storage Server 2012 R2 Standard	Windows Storage Server 2016 Standard
Windows Storage Server 2012 R2 Workgroup	Windows Storage Server 2016 Workgroup

Дополнительные сведения о поддерживаемых путях обновления см. в разделе Поддерживаемые варианты обновления .

Adprep и domainprep

при выполнении обновления на месте существующего контроллера домена до Windows Server 2016 операционной системы необходимо выполнить adprep/forestprep и adprep/domainprep вручную. Adprep/forestprep необходимо запустить в лесу только один раз. Средство adprep/domainprep необходимо запускать один раз в каждом домене, в котором имеются контроллеры домена, на которых выполняется обновление до Windows Server 2016.

если вы повышаете уровень сервера Windows Server 2016, вам не нужно запускать их вручную. Они встроены в PowerShell и диспетчер сервера возможности.

Дополнительные сведения о запуске Adprep см. в разделе Выполнение Adprep .

Возможности режимов работы и требования

для Windows Server 2016 требуется функциональный уровень леса Windows Server 2003. это значит, что перед добавлением контроллера домена, выполняющего Windows Server 2016 к существующему Active Directory лесу, режим работы леса должен быть Windows Server 2003 или более поздней версии. Если в лесу есть контроллеры домена под управлением Windows Server 2003 или новее, но режим работы леса соответствует Windows 2000, то установка также блокируется.

перед добавлением контроллеров домена Windows Server 2016 в лес необходимо удалить контроллеры домена Windows 2000. В этом случае порядок действий будет следующим.

Установите контроллеры домена под управлением Windows Server 2003 или более поздней версии. Эти контроллеры домена можно развертывать в ознакомительной версии Windows Server. Для этого шага нужно также запустить программу adprep.exe для соответствующей операционной системы.
Удалите контроллеры домена под управлением Windows 2000. В частности, надлежащим образом понизьте уровень контроллеров домена под управлением Windows Server 2000 или принудительно удалите их из домена и при помощи компонента "Пользователи и компьютеры Active Directory" удалите учетные записи для всех удаленных контроллеров домена.
Повысьте режим работы леса до Windows Server 2003 или выше.
Установите контроллеры домена, на которых выполняется Windows Server 2016.
Удалите контроллеры домена под управлением более ранних версий Windows Server.

Откат функциональных уровней

После настройки режима работы леса (FFL) на определенное значение невозможно выполнить откат или понижение режима работы леса, за исключением следующих:

при обновлении с Windows Server 2012 R2 FFL можно уменьшить до Windows Server 2012 R2.
при обновлении с Windows server 2008 R2 FFL можно уменьшить его до Windows Server 2008 R2.

После того как для режима работы домена задано определенное значение, откат или понижение режима работы домена невозможно, за исключением следующих:

при повышении режима работы домена до Windows Server 2016 а также в том случае, если режим работы леса Windows Server 2012 или ниже, вы можете вернуть функциональный уровень домена к Windows Server 2012 или Windows Server 2012 R2.

Дополнительные сведения о возможностях, доступных при более низких режимах работы, см. в разделе Общее представление о режимах работы доменных служб Active Directory (AD DS).

Взаимодействие доменных служб Active Directory с другими ролями сервера и операционными системами Windows

Доменные службы Active Directory не поддерживаются в следующих операционных системах Windows:

Windows MultiPoint Server
Windows Server 2016 Essentials

Доменные службы Active Directory нельзя установить на сервере, на котором выполняются следующие роли или службы ролей:

Microsoft Hyper-V Server 2016
Посредник подключений к удаленному рабочему столу

администрирование серверов Windows Server 2016

используйте средства удаленного администрирования сервера для Windows 10 управления контроллерами домена и другими серверами, на которых выполняется Windows Server 2016. Windows Server 2016 средства удаленного администрирования сервера можно запустить на компьютере, на котором выполняется Windows 10.

Пошаговые инструкции по обновлению до Windows Server 2016

ниже приведен простой пример обновления леса Contoso с Windows Server 2012 R2 до Windows Server 2016.

присоедините новый Windows Server 2016 к лесу. При появлении запроса перезагрузите компьютер.

войдите в новую Windows Server 2016 с учетной записью администратора домена.

В Диспетчер серверав разделе Добавление ролей и компонентовустановите службы домен Active Directory на новом Windows Server 2016. Программа Adprep будет автоматически запущена в лесу и домене 2012 R2.

В Диспетчер серверащелкните желтый треугольник и в раскрывающемся списке выберите повысить уровень сервера до контроллера домена.

На экране Конфигурация развертывания выберите Добавить контроллер домена в существующий лес и нажмите кнопку Далее.

На экране параметры контроллера домена введите пароль в режиме восстановления служб каталогов (DSRM) и нажмите кнопку Далее.

В оставшейся части экрана нажмите кнопку Далее.

На экране Проверка готовности нажмите кнопку установить. После завершения перезагрузки можно снова войти в систему.

на сервере Windows Server 2012 R2 в диспетчер серверав разделе средства выберите Active Directory модуль для Windows PowerShell.

В Windows PowerShell используйте Move-ADDirectoryServerOperationMasterRole, чтобы переместить роли FSMO. Можно ввести имя каждого параметра-Оператионмастерроле или использовать числа, чтобы указать роли. Дополнительные сведения см. в разделе Move-аддиректорисервероператионмастерроле .

чтобы убедиться, что роли перемещены, перейдите на Windows Server 2016 сервер, в диспетчер серверав разделе средствавыберите Active Directory модуль для Windows PowerShell. Используйте Get-ADDomain Get-ADForest командлеты и для просмотра владельцев ролей FSMO.

понизьте и удалите контроллер домена Windows Server 2012 R2. Сведения о понижении роли контроллера домена см. в статье понижение роли контроллеров доменов и доменов .

После понижения и удаления сервера можно повысить функциональные уровни работы леса и домена, чтобы Windows Server 2016.

1)Повышение функциональных уровней домена и леса Active Directory. (Raising the domain functional level and forest)
2)Миграция репликации SYSVOL с File Replication Service (FRS) на Distributed File System (DFS) Replication migration.
3)Добавление контроллеров домена Active Directory Adding Domain Controllers.
4)Перемещение хозяев FSMO-ролей Moving Hosts.
5)Вывод из эксплуатации контроллеров домена Active Directory Decommissioning domain controllers.

Функциональные уровни домена/леса Domain / Forest Functional Levels

1)Используя adsi.msc edit проверим тип репликации между домен котроллерами File Replication Service (FRS) и Distributed File System (DFS)
adsi edit подключаемся к контексту именования по умолчанию,
Domain controlles

2)Если тип подписки CN=NTFRS Subcritions необходимо мигрировать тип подписки с FRS на DFS

3)Проверка репликацией между домен контроллерами ; проверяем fails 0
хост ad2 , dc01

4)Повышение функционального уровня домена Rise domain functional level до 2008

5)Повышение функционального уровня домена леса Raising the forest functional level of the domain 2008

6)Миграция FRS на DFS

6.1)проверка статус миграции

начало миграции FRS на DFS

DFSR global state Start

Проверка перехода в состояние Start начало

Для ускорения запустим репликацию нахосте ad2 , dc01

Ещё раз проверяем состояние миграции должно быть Prepared

проверяем через adsi.msc что появилась запись DFRS

Для ускорения запустим репликацию на хосте ad2 , dc01

Миграция в исключенном состоянии является необратимой, и откат из этого состояния невозможен, поэтому используйте значение 3 SYSVOL. Migration to the Eliminated state is irreversible and rollback from that state is not possible, so use a value of 3 for state only when you are fully committed to using DFS Replication for SYSVOL replication.

7)Добавляем роли AD DS доменны служб на Windows Server 2016 add role

Используя Диспетчер сервера Server Manager

Add roles and features Роли и компоненты :Доменные службы Active Directory Active Directory Domain Services

8)Повышение сервера до домен контроллера Promote this server to a domain controller

8.1)Добавить контроллер домена в существующий лес, Домен:nh.local
8.2)Параметры контроллера домена , Укажите возможности контроллера домена и сведения о сайте
DNS-сервер , Глобальный каталог (GC). пароль для режима восстановления служб каталогов (DSRM)
8.3)Параметры DNS
8.4)Дополнительные параметры источник репликации (Любой контроллер домена иил конкретный домен контроллер)
8.5)Укажите расположение баз данных AD DS, файлов журналов и папки SYSVOL

9)Обновим топологию репликации ps на сервере 2016

9.1)Выполним репликацию на сервере 2016

9.2)Повторяем на серверах 2008 2008r2

10)На ad02 Windows server 2016 core no gui ставим Windows Admin Center (ранее Project Honolulu): веб-интерфейс управления серверами Windows Server

11)Установка ролей и компонентов через WindowsAdminCenter

12)Установка ролей и компонентов через PowerShell

проверка состояние компонентов

добавляем компоненты и консоли управления

13)Добавление домен контроллера AD DS через PowerShell

Import-Module ServerManager
13.1)Ввод учетных данных для добавление сервера в домен , через переменную

13.2)Пароль для режима восстановления DSRM . добавим через переменную и конвертацию текстового пароля

13.3)Устанавливаем контроллер домена

14)После перезагрузки ad02 Windows server 2016 core no gui делаем проверку репликации

14.1)Replsum, позволяет получить информацию о статусе репликации всех контроллеров доменов

15)Вывод контроллеров домена AD 2008 2008 R ; dcpromo

15.1)Проверяем владельца хозяина ролей командой

Проверка расположение ролей
netdom query fsmo

16)Замена DNS в Свойствах tcp/ipv4 ,на серверах AD01 , AD02

между собой самих на себя

17)Для понижения роли серверов 2008 2008R AD2 DC01 запустим dcpromo.exe (2012 ps Uninstall-ADDSDomainController) до рядового сервера
не удаляем домен, вводим новый пароль для учетной записи администратора, далее , готово , перезагрузка

18)Повышение режима работы домена

20)Проверим dns адреса на клиентский рабочих станциях пк
установить ip AD02 DC02

3. Разворачиваем новый сервер Windows Server 2016. Добавляем его в домен. Задаем статичный IP-адрес и имя хоста.

4. Проверяем, какой тип репликации используется для текущего каталога AD.
Для этого запускаем утилиту ADSI Edit на контроллере домена и подключаемся к «контексту именования по умолчанию». Далее ищем в вашем каталоге текущие контроллеры домена и выбираем один из них. Если вы видите каталог «CN=NTFRS Subscriptions» , значит у вас используется тип репликации «FRS». Если же «CN=DFSR-LocalSettings» – значит используется новый тип репликации DFS-R и тогда 5 шаг мы пропускаем.

6. Делаем новые сервера контроллерами домена: устанавливаем на них роль Active Directory Domain Services и DNS-сервера.

7. Запускаем службу KCC для создания новых связей с новыми контроллерами домена.
repadmin /kcc
и проверяем, что синхронизация проходит без ошибок на каждом из контроллеров
Repadmin /syncall /AeS
repadmin /replsum

8. Перераспределяем роли FSMO:
Move-ADDirectoryServerOperationMasterRole -Identity “dc-01” -OperationMasterRole SchemaMaster, DomainNamingMaster
Move-ADDirectoryServerOperationMasterRole -Identity “dc-02” -OperationMasterRole RIDMaster,PDCEmulator, InfrastructureMaster
где dc-01 и dc-02 новые сервера на WS2016
Еще раз запускаем репликацию на всех контроллерах:
repadmin /syncall /AeS
Командой netdom query fsmo убеждаемся, что все роли переехали на нужные сервера.

9. На новых серверах в настройках сетевых адаптеров указываем в качестве DNS-сервера новые контроллеры домена.

10. Выполняем команду dcpromo на старых контроллерах для понижения уровня сервера. После отключения всех серверов не забываем запустить
repadmin /kcc
repadmin /syncall /AeS
repadmin /replsum

11. Через оснастку «Active Directory – домены и доверие» поднимаем уровень домена и леса до 2016.

Читайте также: