Upgrade auf AD FS unter Windows Server 2016 mit SQL Server

Wichtig

Anstelle eines Upgrades auf die neueste Version von AD FS empfiehlt Microsoft dringend die Migration zu Microsoft Entra ID. Weitere Informationen finden Sie unter Ressourcen für die Außerbetriebnahme von AD FS.

Hinweis

Beginnen Sie ein Upgrade nur mit einem klar umrissenen Zeitrahmen, der auf die Fertigstellung ausgelegt ist. Es wird davon abgeraten, AD FS für einen längeren Zeitraum in einem gemischten Modus zu betreiben, da AD FS im gemischten Modus zu Problemen mit der Farm führen kann.

Verschieben der Windows Server 2012 R2 AD FS-Farm zur Windows Server 2016 AD FS-Farm

In diesem Artikel wird beschrieben, wie Sie Ihre AD FS Windows Server 2012 R2-Farm auf AD FS unter Windows Server 2016 aktualisieren. Die Schritte gelten, wenn Sie einen SQL-Server für die AD FS-Datenbank verwenden.

Upgrade von AD FS auf Windows Server 2016 FBL

Neu in AD FS für Windows Server 2016 ist das Feature der Farmverhaltensebene (Farm Behavior Level, FBL). Dieses Feature gilt für die gesamte Farm und legt die Features fest, die die AD FS-Farm verwenden kann. Standardmäßig befindet sich die Farmverhaltensebene in einer AD FS-Farm unter Windows Server 2012 R2 auf der Windows Server 2012 R2-Farmverhaltensebene.

Ein Windows Server 2016 AD FS-Server kann einer Windows Server 2012 R2-Farm hinzugefügt werden und wird auf derselben FBL wie Windows Server 2012 R2 ausgeführt. Für einen Windows Server 2016 AD FS-Server, der auf diese Weise ausgeführt wird, wird Ihre Farm als „gemischt“ bezeichnet. Die neuen Windows Server 2016-Merkmale sind jedoch erst verfügbar, wenn die FBL auf Windows Server 2016 hochgestuft wird.

Einige der wichtigsten Merkmale der Arbeit mit einer gemischten Farm:

• Administratoren können einer vorhandenen Windows Server 2012 R2-Farm neue Windows Server 2016-Verbundserver hinzufügen. Infolgedessen befindet sich die Farm im „gemischten Modus“ und wird auf der Windows Server 2012 R2-Farmverhaltensebene betrieben. Um ein konsistentes Verhalten in der gesamten Farm sicherzustellen, können neue Windows Server 2016-Features nicht in diesem Modus konfiguriert oder verwendet werden.

• Administratoren können alle Windows Server 2012 R2-Verbundserver aus der im gemischten Modus betriebenen Farm entfernen. In diesem Szenario wird einer der neuen Windows Server 2016-Verbundserver auf die Rolle des primären Knotens hochgestuft. Der Administrator kann dann die FBL von Windows Server 2012 R2 auf Windows Server 2016 hochstufen. Daraufhin können alle neuen Windows Server 2016-Features von AD FS konfiguriert und verwendet werden.

• AD FS Windows Server 2012 R2-Organisationen, die ein Upgrade auf Windows Server 2016 durchführen möchten, müssen keine völlig neue Farm bereitstellen oder Konfigurationsdaten exportieren und importieren. Stattdessen können sie einer vorhandenen Farm Windows Server 2016-Knoten hinzufügen, während die Farm online ist, und es entsteht nur die relativ kurze Ausfallzeit zur Erhöhung der Farmverhaltensebene.

Im gemischten Farmmodus kann die AD FS-Farm keine neuen Features oder Funktionen nutzen, die in AD FS in Windows Server 2016 eingeführt wurden. Organisationen, die neue Funktionen ausprobieren möchten, können dies tun, nachdem die FBL hochgestuft wurde. Wenn Ihre Organisation die neuen Features testen möchte, bevor Sie die FBL hochstufen, müssen Sie eine separate Farm bereitstellen.

Der Rest des Artikels beschreibt die Schritte zum Hinzufügen eines Windows Server 2016-Verbundservers zu einer Windows Server 2012 R2-Umgebung. Diese Schritte wurden in einer Testumgebung ausgeführt, die im folgenden Architekturdiagramm dargestellt ist.

Hinweis

Bevor Sie zu AD FS in der Windows Server 2016-Farmverhaltensebene wechseln können, müssen Sie alle Windows 2012 R2-Knoten entfernen. Sie können ein Windows Server 2012 R2-Betriebssystem nicht auf Windows Server 2016 aktualisieren und es damit automatisch zu einem 2016-Knoten werden lassen. Dazu müssen Sie es entfernen und durch einen neuen 2016-Knoten ersetzen.

Wenn AlwaysOnAvailability-Gruppen oder die Mergereplikation in AD FS konfiguriert sind, entfernen Sie vor dem Upgrade die gesamte Replikation aller AD FS-Datenbanken, und lassen Sie alle Knoten auf die primäre SQL-Datenbank verweisen. Führen Sie anschließend das Farm-Upgrade wie beschrieben aus. Fügen Sie nach Abschluss des Upgrades AlwaysOnAvailability-Gruppen hinzu, oder führen Sie die Replikation zu den neuen Datenbanken zusammen.

Das folgende Architekturdiagramm zeigt die Einrichtung, die zum Überprüfen und Aufzeichnen der folgenden Schritte verwendet wurde.

Verknüpfen von Windows 2016 AD FS Server mit AD FS-Farm

1. Installieren Sie in Server Manager die Active Directory-Verbunddienste-Rolle unter Windows Server 2016.

2. Verbinden Sie im AD FS-Konfigurations-Assistenten den neuen Windows Server 2016-Server mit der vorhandenen AD FS-Farm.

3. Wählen Sie auf dem Begrüßungsbildschirm die Option Hinzufügen eines Verbundservers zu einer Verbundserverfarm und dann Weiter aus.

4. Geben Sie auf dem Bildschirm Mit Active Directory Domain Services verbindenein Administratorkonto mit Berechtigungen zum Ausführen der Verbunddienstkonfiguration an, und wählen Sie Weiter aus.

5. Geben Sie auf dem Bildschirm Farm angeben den Namen des SQL-Servers und der Instanz ein, und wählen Sie dann Weiter aus.

   

6. Geben Sie auf dem Bildschirm SSL-Zertifikat angeben das Zertifikat an, und wählen Sie Weiter aus.

   

7. Geben Sie auf dem Bildschirm Angeben des Dienstkontos das Dienstkonto an, und wählen Sie Weiter aus.

8. Überprüfen Sie auf dem Bildschirm Optionen überprüfen die Optionen, und wählen Sie Weiter aus.

9. Stellen Sie auf dem Bildschirm Voraussetzungsprüfungen sicher, dass alle Voraussetzungsprüfungen bestanden wurden, und wählen Sie dann Konfigurieren aus.

10. Stellen Sie auf dem Bildschirm Ergebnisse sicher, dass der Server erfolgreich konfiguriert wurde, und wählen Sie dann Schließen aus.

Entfernen des Windows Server 2012 R2 AD FS-Servers

Mit den folgenden Schritten wird der Windows Server 2012 R2 AD FS-Server entfernt.

Hinweis

Sie müssen den primären AD FS-Server nicht mit dem Set-AdfsSyncProperties -Role-Befehl festlegen, wenn Sie SQL als Datenbank verwenden. Alle Knoten werden in dieser Konfiguration als primär betrachtet.

1. Wechseln Sie in Server Manager zum Windows Server 2012 R2 AD FS-Server. Wählen Sie unter Verwalten die Option Rollen und Features entfernen aus:

   

2. Wählen Sie auf dem Bildschirm Vorbereitungen die Option Weiter und auf dem Bildschirm Serverauswahl ebenfalls Weiter aus.

3. Entfernen Sie auf dem Bildschirm Serverrollen die Markierung bei der Option Active Directory-Verbunddienste, und wählen Sie Weiter aus.

   

4. Wählen Sie auf dem Bildschirm Features die Option Weiter aus.

5. Wählen Sie auf dem Bildschirm Bestätigung die Option Entfernen aus.

6. Starten Sie den Server nach dem Entfernen der Features neu.

Erhöhen der Farmverhaltensstufe (FBL)

Mit den folgenden Schritten wird die FBL für den Server erhöht.

Wichtig

Bevor Sie mit dem Prozess in diesem Abschnitt fortfahren, überprüfen Sie die folgenden Voraussetzungen:

• Stellen Sie sicher, dass die Vorbereitungsprozesse für die Gesamtstruktur und die Domäne in Ihrer Active Directory-Umgebung abgeschlossen sind und dass Active Directory über das Windows Server 2016-Schema verfügt. Das in diesem Artikel beschriebene Verfahren basiert auf einer Architektur, die mit einem Windows 2016-Domänencontroller gestartet wurde. Für die Beispielarchitektur sind die Schritte in diesem Abschnitt nicht erforderlich, da die Aufgaben im AD-Installationsprozess enthalten sind.

• Stellen Sie sicher, dass Windows Server 2016 auf dem neuesten Stand ist, indem Sie Windows Update über die Einstellungen ausführen. Setzen Sie den Aktualisierungsvorgang fort, bis keine weiteren Aktualisierungen mehr erforderlich sind.

• Stellen Sie sicher, dass Ihr AD FS-Dienstkonto über Administratorberechtigungen auf dem SQL-Server und jedem Server in der ADFS-Farm verfügt.

1. Öffnen Sie PowerShell auf dem Windows Server 2016-Server, und führen Sie den folgenden Befehl aus:

   $cred = Get-Credential
   

2. Geben Sie Anmeldeinformationen mit Administratorrechten für SQL Server ein.

3. Geben Sie in PowerShell den folgenden Befehl ein:

   Invoke-AdfsFarmBehaviorLevelRaise -Credential $cred
   

4. Wählen Sie nach der Aufforderung J (Ja) aus, um mit der Erhöhung der Stufe zu beginnen. Nach Abschluss des Vorgangs haben Sie die FBL erfolgreich erhöht.

   

   Wenn Sie zur AD FS-Verwaltung wechseln, werden die neuen Knoten angezeigt.

5. Sie können das PowerShell-Cmdlet Get-AdfsFarmInformation verwenden, um die aktuelle FBL anzuzeigen:

   

Aktualisieren der Konfigurationsversion vorhandener WAP-Server

1. Konfigurieren Sie den WAP auf jedem Webanwendungsproxy neu, indem Sie den folgenden PowerShell-Befehl in einem Fenster mit erhöhten Rechten ausführen:

   $trustcred = Get-Credential -Message "Enter Domain Administrator credentials"
   Install-WebApplicationProxy -CertificateThumbprint {SSLCert} -fsname fsname -FederationServiceTrustCredential $trustcred
   

2. Führen Sie den folgenden Befehl aus, um alte Server aus dem Cluster zu entfernen und nur die WAP-Server mit der neuesten Serverversion (zuvor neu konfiguriert) auszuführen:

   Set-WebApplicationProxyConfiguration -ConnectedServersName WAPServerName1, WAPServerName2
   

3. Führen Sie den folgenden Befehl aus, um die WAP-Konfiguration zu überprüfen. Der ConnectedServersName-Wert gibt den Server an, der über den vorherigen Befehl ausgeführt wird:

   Get-WebApplicationProxyConfiguration
   

4. Führen Sie den folgenden PowerShell-Befehl aus, um die ConfigurationVersion der WAP-Server zu aktualisieren:

   Set-WebApplicationProxyConfiguration -UpgradeConfigurationVersion
   

5. Führen Sie den Get-WebApplicationProxyConfiguration-Befehl erneut aus, und überprüfen Sie, ob die ConfigurationVersion aktualisiert wurde.