Как добавить дополнительный контроллер домена в существующий домен

Зачем нужен второй контроллер домена

Active Directory изначально рассчитана на работу нескольких контроллеров домена с репликацией каталога между ними.

Дополнительный DC позволяет повысить отказоустойчивость инфраструктуры. Если один контроллер временно недоступен, второй продолжает обслуживать доменные запросы.

Это особенно важно для:

аутентификации пользователей и компьютеров;
работы DNS Active Directory;
применения групповых политик;
LDAP-запросов;
доступа приложений к Active Directory;
администрирования домена.

Что произойдёт при отказе единственного DC

Если единственный контроллер домена станет недоступен, это не обязательно означает, что все пользователи мгновенно потеряют возможность войти на свои компьютеры. Windows может использовать кэшированные доменные учётные данные для интерактивного входа ранее входивших пользователей.

Однако полноценная работа доменной инфраструктуры будет нарушена. Могут стать недоступны:

проверка новых доменных учётных данных;
LDAP и Kerberos;
DNS-зоны Active Directory, если DNS находился только на этом DC;
изменения объектов Active Directory;
часть групповых политик и сетевых ресурсов;
приложения, использующие доменную аутентификацию.

Именно поэтому второй контроллер домена — одна из базовых мер отказоустойчивости Active Directory.

Что проверить перед добавлением второго DC

Перед началом желательно убедиться, что существующий контроллер домена работает без критических ошибок.

Проверяем общую диагностику:

dcdiag

Проверяем состояние репликации, если в инфраструктуре уже несколько DC:

repadmin /replsummary

Также желательно проверить DNS существующего контроллера.

Подготавливаем новый Windows Server

В нашем примере используются:

DC01-2019 — существующий контроллер домена;
DC02-2019 — новый сервер, который станет дополнительным DC;
exoip.local — существующий домен.

Перед установкой AD DS новый сервер должен быть подготовлен.

Необходимо:

установить Windows Server;
установить обновления;
назначить постоянный IP-адрес;
задать корректное имя сервера;
настроить DNS;
проверить дату и время;
обеспечить сетевую доступность существующего DC.

Если сервер ещё не подготовлен, пригодятся инструкции:

Настраиваем DNS нового сервера

До повышения сервера до контроллера домена в качестве DNS-сервера указываем существующий DNS/DC Active Directory.

В нашем примере для DC02-2019 используется существующий контроллер:

DC01-2019

Настройка IP и DNS нового контроллера домена DC02-2019

Нужно ли заранее добавлять сервер в домен

В нашем примере DC02-2019 предварительно присоединён к домену exoip.local как обычный member server.

Это допустимый вариант, однако отдельное предварительное присоединение к домену не является обязательным шагом: мастер AD DS Configuration Wizard может добавить сервер в существующий домен непосредственно во время повышения до контроллера домена при наличии подходящих учётных данных и корректной DNS-настройки.

Устанавливаем роль Active Directory Domain Services

На сервере DC02-2019 открываем Server Manager.

Переходим:

Dashboard → Manage → Add Roles and Features

Добавление ролей и компонентов Windows Server через Server Manager

Нажимаем Next.

Мастер Add Roles and Features в Windows Server

Выбираем:

Role-based or feature-based installation

и нажимаем Next.

Выбор Role-based or feature-based installation

На следующем этапе выбираем сервер из Server Pool.

В нашем примере:

DC02-2019
192.168.1.52

Выбор сервера DC02-2019 для установки AD DS

В списке ролей устанавливаем флажок:

Active Directory Domain Services

Выбор роли Active Directory Domain Services

Мастер предложит добавить необходимые компоненты.

Нажимаем:

Add Features

Добавление компонентов Active Directory Domain Services

Нажимаем Next.

Дополнительные Features для нашего сценария выбирать не требуется. Нажимаем Next.

Выбор дополнительных компонентов Windows Server

На информационной странице Active Directory Domain Services снова нажимаем Next.

Информация о роли Active Directory Domain Services

Проверяем выбранные компоненты и нажимаем:

Install

Запуск установки Active Directory Domain Services

Дожидаемся завершения установки роли.

Установка роли Active Directory Domain Services

Повышаем сервер до контроллера домена

После установки роли AD DS в Server Manager появится уведомление.

Нажимаем:

Promote this server to a domain controller

Promote this server to a domain controller

Добавляем DC в существующий домен

Выбираем:

Add a domain controller to an existing domain

Указываем существующий домен и учётные данные с необходимыми правами.

Добавление контроллера домена в существующий домен Active Directory

Настраиваем Domain Controller Options

На следующем этапе задаются параметры нового контроллера домена.

Для типового дополнительного DC обычно используются:

Domain Name System (DNS) server;
Global Catalog (GC).

Также вводим пароль Directory Services Restore Mode (DSRM).

Настройка параметров дополнительного контроллера домена и пароля DSRM

Предупреждение DNS Delegation

На следующем этапе мастер может показать предупреждение о невозможности создать DNS delegation.

Для обычного сценария добавления дополнительного DNS/DC в существующий внутренний домен такое предупреждение может быть ожидаемым и само по себе не означает ошибку установки.

Выбираем источник репликации

Далее мастер позволяет выбрать контроллер домена, с которого будет выполняться первоначальная репликация.

В нашем примере существует только один действующий DC:

DC01-2019

Выбор источника репликации Active Directory

Можно выбрать конкретный контроллер или оставить:

Any domain controller

Выбор Any domain controller для репликации

Проверяем пути базы AD DS

На следующем этапе мастер предлагает пути для:

базы данных Active Directory;
журналов;
SYSVOL.

Если специальных требований к размещению нет, можно оставить значения по умолчанию.

Пути базы данных журналов и SYSVOL Active Directory

Проверяем выбранные параметры.

Проверка параметров нового контроллера домена

Запускаем установку

После выполнения prerequisite check мастер проверит готовность сервера.

Если критических ошибок нет, нажимаем:

Install

Запуск повышения сервера до контроллера домена

Начнётся настройка AD DS и первоначальная репликация.

Процесс повышения сервера до контроллера домена

После завершения сервер автоматически перезагрузится.

Завершение добавления дополнительного контроллера домена

Проверяем новый контроллер домена

После перезагрузки не стоит считать работу законченной только потому, что сервер успешно загрузился.

Необходимо проверить:

DNS;
наличие нового DC в Active Directory;
репликацию;
SYSVOL и NETLOGON;
общее состояние контроллера домена.

Настраиваем DNS на двух контроллерах домена

После повышения DC02 в нашей инфраструктуре появились два DNS-сервера Active Directory.

В исходной конфигурации статьи для DC02-2019 используются:

Preferred DNS — DC01-2019, 192.168.1.51;
Alternate DNS — 127.0.0.1.

Настройка DNS на дополнительном контроллере домена DC02-2019

А для DC01-2019:

Preferred DNS — DC02-2019, 192.168.1.52;
Alternate DNS — 127.0.0.1.

Настройка DNS на контроллере домена DC01-2019

Проверяем контроллеры в Active Directory Users and Computers

Открываем:

Active Directory Users and Computers

Переходим в контейнер:

Domain Controllers

В нём должны отображаться оба контроллера:

DC01-2019;
DC02-2019.

Два контроллера домена в Active Directory Users and Computers

При необходимости список всех контроллеров можно получить через PowerShell. Подробнее: Как найти все контроллеры домена с помощью PowerShell.

Проверяем репликацию Active Directory

Один из важнейших этапов после добавления нового DC — проверка репликации.

Выполняем:

repadmin /showrepl *

Команда показывает состояние входящей репликации контроллеров домена.

В нашем примере успешная репликация выглядит так:

Repadmin: running command /showrepl against full DC DC01-2019.exoip.local
Default-First-Site-Name\DC01-2019

==== INBOUND NEIGHBORS ======================================

DC=exoip,DC=local
    Default-First-Site-Name\DC02-2019 via RPC
        Last attempt was successful.

CN=Configuration,DC=exoip,DC=local
    Default-First-Site-Name\DC02-2019 via RPC
        Last attempt was successful.

CN=Schema,CN=Configuration,DC=exoip,DC=local
    Default-First-Site-Name\DC02-2019 via RPC
        Last attempt was successful.

Для быстрой сводки выполняем:

repadmin /replsummary

При нормальной работе количество ошибок должно быть равно нулю.

Пример:

Source DSA          largest delta    fails/total %%   error
DC01-2019                 19m:06s    0 /   5    0
DC02-2019                 09m:06s    0 /   5    0

Destination DSA     largest delta    fails/total %%   error
DC01-2019                 09m:05s    0 /   5    0
DC02-2019                 19m:06s    0 /   5    0

Проверяем SYSVOL и NETLOGON

После повышения нового DC полезно убедиться, что системные общие ресурсы доступны.

На новом контроллере выполняем:

net share

В списке должны присутствовать:

NETLOGON
SYSVOL

Также можно проверить:

dcdiag /test:Advertising
dcdiag /test:SysVolCheck
dcdiag /test:NetLogons

Запускаем итоговую диагностику DC

После установки полезно выполнить:

dcdiag

Для более подробной диагностики:

dcdiag /v

Также повторно проверяем:

repadmin /replsummary

Если новый DC одновременно является DNS-сервером, можно дополнительно выполнить:

dcdiag /test:dns

Нужно ли переносить FSMO на новый контроллер

Нет, добавление второго контроллера домена само по себе не требует переноса FSMO.

После повышения дополнительного DC существующие владельцы FSMO сохраняются.

Перенос имеет смысл, например, если:

старый контроллер планируется вывести из эксплуатации;
выполняется миграция на новую версию Windows Server;
изменяется архитектура Active Directory;
новый DC должен стать основным владельцем соответствующих операций.

Проверить текущих владельцев можно командой:

netdom query fsmo

Подробнее: Как проверить роли FSMO в Active Directory.

Если роли необходимо передать новому DC, используйте инструкцию Как перенести роли FSMO в Active Directory.

FAQ

Обязательно ли иметь два контроллера домена?

Нет, Active Directory технически может работать с одним DC. Однако для рабочей инфраструктуры рекомендуется иметь как минимум два контроллера домена, чтобы отказ одного сервера не оставил домен без доступного DC.

Нужно ли заранее присоединять будущий DC к домену?

Не обязательно. Сервер можно предварительно присоединить к домену как member server, как сделано в нашем примере, либо указать существующий домен и необходимые учётные данные непосредственно при повышении сервера до контроллера домена.

Какой DNS нужно указать новому серверу перед повышением до DC?

Он должен использовать DNS-сервер, который корректно разрешает записи существующего домена Active Directory. Обычно это IP-адрес уже работающего контроллера домена с DNS Server.

Нужно ли переносить FSMO после добавления второго DC?

Нет. Дополнительный контроллер домена не получает FSMO автоматически, и переносить их только из-за появления второго DC не требуется.

Как проверить репликацию после добавления контроллера?

Для подробной проверки используйте repadmin /showrepl *, а для сводки — repadmin /replsummary. Также полезно выполнить dcdiag.

Как проверить, что SYSVOL и NETLOGON появились на новом DC?

Выполните net share. Среди общих ресурсов нового контроллера должны присутствовать SYSVOL и NETLOGON. Дополнительно можно использовать тесты dcdiag.

Можно ли использовать публичный DNS 8.8.8.8 непосредственно на контроллере домена?

Сетевой интерфейс контроллера домена должен использовать DNS, обслуживающий Active Directory. Для разрешения внешних имён обычно настраиваются DNS Forwarders на внутренних DNS-серверах, а не публичный DNS непосредственно в сетевых настройках DC.

Заключение

Добавление второго контроллера домена — одна из базовых мер повышения отказоустойчивости Active Directory. Для этого необходимо подготовить Windows Server, правильно настроить DNS, установить роль Active Directory Domain Services и повысить сервер до дополнительного DC существующего домена.

Но успешное завершение мастера AD DS — только часть работы. После перезагрузки обязательно проверьте DNS, наличие SYSVOL и NETLOGON, состояние нового контроллера через dcdiag и репликацию через repadmin.

Переносить FSMO только из-за добавления второго DC не требуется. Роли можно оставить на существующем контроллере и переносить их уже при изменении архитектуры или выводе старого сервера из эксплуатации.

После ввода второго контроллера рекомендую проверить всю инфраструктуру с помощью статьи Как проверить работоспособность Active Directory с помощью PowerShell.