Paginabeschrijvingen van configuratiewizards van Active Directory Domain Services (AD DS)

De wizard Ad DS-configuratie (Active Directory Domain Services) is een hulpprogramma in Serverbeheer waarmee beheerders servers kunnen promoveren naar domeincontrollers of ze naar behoefte kunnen verlagen. Dit artikel bevat een gedetailleerd overzicht van de pagina's van de wizard, inclusief hun besturingselementen en opties, om u te helpen de installatie- en verwijderingsprocessen effectief te doorlopen. Of u nu een nieuw forest maakt, een domeincontroller toevoegt aan een bestaand domein of een domeincontroller degradeert, in deze handleiding worden de stappen en overwegingen voor elke bewerking beschreven.

Bekijk de volgende video voor een overzicht van het promoten en degraderen van domeincontrollers met behulp van de wizard AD DS-configuratie:

Samenvatting van elke pagina

De tabellen in deze sectie geven een overzicht van de pagina's die u ziet wanneer u de wizard Active Directory Domain Services-configuratie gebruikt om een server te promoveren naar een domeincontroller of om een domeincontroller te degraderen. Selecteer de koppeling voor elke pagina voor meer informatie over de opties en besturingselementen die u op die pagina ziet.

Wanneer u een server promoveren naar een domeincontroller, navigeert u door de volgende pagina's:

Active Directory-configuratiepagina	Description
Implementatieconfiguratie	Selecteer het type implementatiebewerking dat u wilt uitvoeren: maak een nieuw forest (eerste domeincontroller), maak een nieuw domein binnen een bestaand forest of voeg een extra domeincontroller toe aan een bestaand domein. Deze pagina valideert ook de basisvereisten en vraagt om domeinnamen.
Opties voor domeincontroller	Configureer forest- en domeinfunctionaliteitsniveaus, selecteer domeincontrollerfuncties, waaronder DNS-server, Globale catalogus en Read-Only domeincontrolleropties. Stel het DSRM-wachtwoord (Directory Services Restore Mode) in dat is vereist voor offline AD DS-bewerkingen en -onderhoud.
DNS-opties	Configureer instellingen voor DNS-delegering bij het installeren van de DNS-serverfunctie. Maak delegatierecords in de bovenliggende DNS-zone om ervoor te zorgen dat de juiste naamsomzetting en autoriteitsoverdracht plaatsvinden voor de DNS-zone van de nieuwe domeincontroller.
RODC-opties	Stel gedelegeerde admin-accounts in waarmee de Read-Only Domeincontroller (RODC) lokaal kan worden beheerd, en configureer de Password Replication Policy om te bepalen welke wachtwoorden voor gebruikers- en computeraccounts in de cache op de RODC kunnen worden opgeslagen voor authenticatie.
Aanvullende opties	Geef de NetBIOS-domeinnaam op voor nieuwe domeinen, selecteer een specifieke domeincontroller als de replicatiebron en configureer installatie vanuit mediaopties met behulp van back-upmedia die zijn gemaakt met Windows Server Backup of ntdsutil.exe om de installatietijd te verkorten.
Paths	Stel aangepaste bestandssysteemlocaties in voor de Active Directory-database (ntds.dit), databasetransactielogboeken en SYSVOL gedeelde map in plaats van de standaardlocatie voor systeemstations te gebruiken voor betere prestaties of opslagbeheer.
Voorbereidingsopties	Geef ondernemingsadministratoren, schemabeheerders of domeinadministratorreferenties op om vereiste adprep.exe opdrachten (forestprep, domainprepof rodcprep) uit te voeren wanneer het huidige gebruikersaccount onvoldoende machtigingen heeft voor schema- of domeinvoorbereiding.
Opties beoordelen	Controleer en valideer alle geselecteerde configuratie-instellingen voordat u het installatieproces start. Exporteer de configuratie als een Windows PowerShell-script voor automatisering of documentatiedoeleinden en breng indien nodig de laatste aanpassingen aan.
Controle van vereisten	Geef uitgebreide resultaten weer van vereistenvalidatiecontroles, waaronder netwerkconnectiviteit, DNS-omzetting, verificatie van machtigingen en systeemvereisten. Geeft eventuele waarschuwingen of fouten weer die moeten worden opgelost voordat u doorgaat.
Results	Geef de uiteindelijke resultaten en status van het installatie- of promotieproces van de domeincontroller weer, inclusief bevestiging na de installatie, eventuele waarschuwingen na de installatie en opties om de server opnieuw op te starten om de configuratie te voltooien.

Wanneer u een domeincontroller degraderen, navigeert u door de volgende pagina's:

Active Directory-configuratiepagina	Description
Credentials	Geef de vereiste referenties op voor degradatiebewerking, inclusief domeinadministratorreferenties voor extra domeincontrollers of ondernemingsadministratorreferenties voor de laatste domeincontroller in een domein. Configureer geforceerde verwijderingsopties als de domeincontroller geen contact kan opnemen met andere domeincontrollers.
Warnings	Bekijk waarschuwingen over het verwijderen van kritieke rollen en services die worden gehost door de domeincontroller, zoals DNS-server, globale catalogus of Operations Master-rollen. Bevestig de impact van het verwijderen van deze rollen voordat u doorgaat met degradatie.
Verwijderingsopties	Configureer opties voor het verwijderen van DNS-zonedelegering wanneer de domeincontroller wordt gedegradeerd als host voor DNS-zones. Verwijder de DNS-server uit zonedelegaties om problemen met DNS-omzetting na degradatie te voorkomen.
Nieuw beheerderswachtwoord	Stel een nieuw wachtwoord in voor het ingebouwde lokale Administrator-account dat wordt gebruikt na degradatie wanneer de computer een lidserver of werkgroepcomputer wordt in plaats van een domeincontroller.
Opties beoordelen	Controleer en valideer alle degradatie-instellingen voordat u het proces start. Exporteer de configuratie als een Windows PowerShell-script voor automatiseringsdoeleinden en bevestig de uiteindelijke instellingen voordat u begint met de degradatie van de domeincontroller.

Pagina's bij het promoveren van een server naar een domeincontroller

In de volgende secties worden de pagina's beschreven die u ziet wanneer u de wizard Active Directory Domain Services-configuratie gebruikt om een server te promoveren naar een domeincontroller.

Implementatieconfiguratie

Serverbeheer begint elke domeincontrollerinstallatie met de pagina Implementatieconfiguratie . De opties en vereiste velden die u op deze pagina en de volgende pagina's ziet, zijn afhankelijk van de implementatiebewerking die u selecteert.

De wizard voert enkele validaties en tests uit op de pagina Implementatieconfiguratie en later opnieuw als onderdeel van vereistencontroles. Er wordt bijvoorbeeld een controle uitgevoerd wanneer u de eerste Windows Server-domeincontroller in een forest probeert te installeren. Als het functionele niveau van het forest geen ondersteuning biedt voor de Windows Server-versie van de domeincontroller, wordt er een fout weergegeven op deze pagina.

In de volgende secties worden de implementatiebewerkingen beschreven die u op deze pagina kunt selecteren.

Een forest maken

In de volgende schermopname ziet u de opties die worden weergegeven wanneer u een forest maakt:

• Wanneer u een forest maakt, moet u een naam opgeven voor het foresthoofddomein.

  • De hoofddomeinnaam van het forest kan niet met één label worden gelabeld. Het moet example-domain.com bijvoorbeeld in plaats van example-domain.
  • Er moeten toegestane DNS-domeinnaamconventies (Domain Name System) worden gebruikt. Zie Naamconventies in Active Directory voor computers, domeinen, sites en OE's voor meer informatie over naamconventies voor DNS-domeinen.
  • U kunt een geinternationaliseerde domeinnaam (IDN) opgeven.

• De naam van een Active Directory-forest dat u maakt, moet afwijken van uw externe DNS-naam. Als uw INTERNET-DNS-URL bijvoorbeeld is https://example-domain.com, moet u een andere naam voor uw interne forest kiezen om toekomstige compatibiliteitsproblemen te voorkomen. Deze naam moet uniek en onwaarschijnlijk zijn voor webverkeer, bijvoorbeeld corp.example-domain.com.

• U moet lid zijn van de groep Administrators op de server waarop u een forest wilt maken.

Zie Een nieuw Windows Server 2012 Active Directory-forest (niveau 200) installeren voor meer informatie over het maken van een forest.

Een domein maken

In de volgende schermopname ziet u de opties die worden weergegeven wanneer u een domein maakt:

Note

Als u een tree-domein maakt, moet u de naam van het forest root-domein opgeven in plaats van het bovenliggende domein. De overige wizardpagina's en opties zijn echter hetzelfde, ongeacht of u een onderliggend domein of een structuurdomein maakt.

• Als bovenliggende domeinnaam selecteert u Selecteren om naar het bovenliggende domein of de Active Directory-structuur te gaan of voert u een geldige bovenliggende domein- of structuurnaam in.

• Voer bij Nieuwe domeinnaam de naam van het nieuwe domein in.

  • Geef voor een structuurdomein een geldige, volledig gekwalificeerde basisdomeinnaam op. De naam kan niet met één label worden gelabeld en moet voldoen aan de dns-domeinnaamvereisten.
  • Geef voor een subdomein een geldige, enkelvoudige subdomeinnaam op. De naam moet voldoen aan de dns-domeinnaamvereisten.

• Als uw huidige referenties niet van het domein komen, vraagt de configuratiewizard van Active Directory Domain Services u om domeinreferenties. Selecteer Wijzigen om domeinreferenties op te geven.

Zie Een nieuw Windows Server 2012 Active Directory-onder- of structuurdomein (niveau 200) installeren voor meer informatie over het maken van een domein.

Een domeincontroller toevoegen aan een bestaand domein

In de volgende schermopname ziet u de opties die worden weergegeven wanneer u een nieuwe domeincontroller aan een bestaand domein toevoegt:

• Selecteer voor Domeinselecteren om naar het domein te gaan of voer een geldige domeinnaam in.

• Serverbeheer vraagt u indien nodig om geldige referenties. Voor het installeren van een extra domeincontroller is lidmaatschap van de groep Domeinadministrators vereist.

  Voor het installeren van de eerste domeincontroller waarop Windows Server in een forest wordt uitgevoerd, zijn referenties vereist die groepslidmaatschappen bevatten in zowel de groepen Ondernemingsadministrators als Schema-beheerders. De configuratiewizard voor Active Directory Domain Services zal u later vragen als uw huidige gebruikersgegevens niet over voldoende machtigingen of groepslidmaatschappen beschikken.

Zie Een Replica Windows Server 2012-domeincontroller installeren in een bestaand domein (niveau 200) voor meer informatie over het toevoegen van een domeincontroller aan een bestaand domein.

Opties voor domeincontroller

De opties die u op de pagina Opties voor domeincontroller ziet, zijn afhankelijk van uw implementatiebewerking. In de volgende secties worden de opties beschreven die u voor elke bewerking configureert.

Nieuwe bosopties

Wanneer u een forest maakt, worden op de pagina Opties voor domeincontroller de opties weergegeven die worden weergegeven in de volgende schermopname:

• De standaardwaarden van het forest- en domeinfunctionaliteitsniveau zijn afhankelijk van uw Windows Server-versie.

  Vanaf Windows Server 2012 biedt het functionele domeinniveau de volgende instellingen in het KDC-beheersjabloonbeleid (Key Distribution Center) KDC-ondersteuning voor claims, samengestelde verificatie en Kerberos-beveiliging:

  • Altijd claims opgeven
  • Verwerpt niet gepantserde authenticatieverzoeken

  Zie Ondersteuning voor claims, samengestelde verificatie en Kerberos-beveiliging voor meer informatie.

  Alle domeinen die u in een forest maakt, worden automatisch uitgevoerd op het functionele domeinniveau dat gelijk is aan het geselecteerde functionele forestniveau. Alle domeincontrollers in het domein voeren ook de Windows Server-versie van het geselecteerde functionele domeinniveau uit.

  Zie Functionele niveaus van Active Directory Domain Services voor meer informatie over functies die beschikbaar zijn op verschillende functionele niveaus.

  De functies die beschikbaar zijn op een domeincontroller, zijn afhankelijk van de versie van Windows Server die door de domeincontroller wordt uitgevoerd.

• Wanneer u een forest maakt, wordt de optie DNS-server (Domain Name System) standaard geselecteerd. De eerste domeincontroller in het forest moet een globale catalogusserver zijn en kan geen alleen-lezen domeincontroller (RODC) zijn.

• Als u zich wilt aanmelden bij een domeincontroller waarop AD DS niet wordt uitgevoerd, hebt u het DSRM-wachtwoord (Directory Services Restore Mode) nodig. Het wachtwoord dat u opgeeft, moet voldoen aan het wachtwoordbeleid dat op de server is toegepast. Standaard is voor dat beleid geen sterk wachtwoord vereist. Hiervoor is alleen een niet-leeg wachtwoord vereist. Kies altijd een sterk, complex wachtwoord of, bij voorkeur, een wachtwoordzin. Voor informatie over het synchroniseren van het DSRM-wachtwoord met het wachtwoord van een domeingebruikersaccount raadpleegt u het ondersteuningsartikel over het synchroniseren van wachtwoorden.

Zie Een nieuw Windows Server 2012 Active Directory-forest (niveau 200) installeren voor meer informatie over het maken van een forest.

Nieuwe opties voor subdomein

Wanneer u een onderliggend domein maakt, worden op de pagina Opties voor domeincontroller de opties weergegeven die worden weergegeven in de volgende schermopname:

• De standaardwaarde van het functionele domeinniveau is afhankelijk van uw Windows Server-versie. U kunt elke waarde opgeven die groter is dan of gelijk is aan het functionele forestniveau.

• U kunt de volgende domeincontrolleropties configureren:

  • Domain Name System (DNS)-server
  • Globale Catalogus (GC)

  U kunt de eerste domeincontroller in een nieuw domein niet configureren als een RODC.

  We raden aan dat alle domeincontrollers DNS- en globale catalogusservices bieden voor hoge beschikbaarheid in gedistribueerde omgevingen. Daarom schakelt de wizard deze opties standaard in wanneer u een domein maakt.

• U kunt deze pagina ook gebruiken om een geschikte logische Active Directory-sitenaam te selecteren in de forestconfiguratie. Standaard is de site met het meest juiste subnet geselecteerd. Als er slechts één site is, wordt die site automatisch geselecteerd.

  Important

  Als de server geen deel uitmaakt van een Active Directory-subnet en er meer dan één site is, is er niets geselecteerd. De knop Volgende is pas beschikbaar als u een site in de lijst selecteert.

Zie Een nieuw Windows Server 2012 Active Directory-onder- of structuurdomein (niveau 200) installeren voor meer informatie over het maken van een domein.

Opties voor het toevoegen van een domeincontroller aan een domein

Wanneer u een domeincontroller aan een domein toevoegt, worden op de pagina Opties voor domeincontroller de opties weergegeven die worden weergegeven in de volgende schermopname:

U kunt de volgende domeincontrolleropties configureren:

• Domain Name System (DNS)-server
• Globale Catalogus (GC)
• Alleen-lezen domeincontroller (RODC)

We raden aan dat alle domeincontrollers DNS- en globale catalogusservices bieden voor hoge beschikbaarheid in gedistribueerde omgevingen. Daarom zijn deze opties standaard ingeschakeld. Zie Read-Only Plannings- en implementatiehandleiding voor domeincontrollers voor meer informatie over het implementeren van RODC's.

Zie Een Replica Windows Server 2012-domeincontroller installeren in een bestaand domein (niveau 200) voor meer informatie over het toevoegen van een domeincontroller aan een bestaand domein.

DNS-opties

Als u de DNS-serverfunctie installeert, wordt de volgende pagina DNS-opties weergegeven:

Wanneer u de DNS-serverfunctie installeert, moeten delegeringsrecords die verwijzen naar de DNS-server als gezaghebbend voor de zone worden gemaakt in de bovenliggende DNS-zone. Overdrachtsrecords naamomzettingsautoriteit. Ze bieden ook een juiste verwijzing naar andere DNS-servers en -clients van nieuwe servers die gezaghebbend zijn voor de nieuwe zone. Deze resourcerecords bevatten de volgende records:

• Een naamserverbronrecord (NS) om de overdracht te activeren. Deze bronrecord kondigt aan dat de server met de naam ns1.na.example.microsoft.com een gezaghebbende server is voor het gedelegeerde subdomein.
• Een host-resource-record (A of AAAA), ook wel een lijmrecord genoemd. Dit record moet aanwezig zijn om de naam van de server die is opgegeven in de NS-resourcerecord op te lossen naar het IP-adres. Het proces waarbij de hostnaam in deze Resourcerecord wordt omgezet naar de gedelegeerde DNS-server in de NS-Resourcerecord, wordt soms aangeduid als glue chasing.

U kunt de Active Directory Domain Services-configuratiewizard deze records automatisch laten aanmaken. Als u Volgende selecteert op de pagina Opties voor domeincontroller, controleert de wizard of de juiste records aanwezig zijn in de bovenliggende DNS-zone. Als de wizard niet kan controleren of de records aanwezig zijn in het bovenliggende domein, biedt de wizard u de mogelijkheid om automatisch een DNS-delegering te maken voor een nieuw domein (of de bestaande delegering bij te werken) en door te gaan met de installatie van de nieuwe domeincontroller.

U kunt deze DNS-delegeringsrecords ook maken voordat u de DNS-serverfunctie installeert. Als u een zonedelegering wilt maken, opent u DNS-beheer, klikt u met de rechtermuisknop op het bovenliggende domein en selecteert u Nieuwe delegatie. Volg de stappen in de Wizard voor de nieuwe delegatie om de delegatie te maken.

Het installatieproces probeert de delegatie te maken om ervoor te zorgen dat computers in andere domeinen DNS-query's voor hosts, waaronder domeincontrollers en lidcomputers, in het DNS-subdomein kunnen oplossen. De delegatierecords kunnen alleen automatisch worden gemaakt op Microsoft DNS-servers. Als de bovenliggende DNS-domeinzone zich op niet-Microsoft DNS-servers zoals Berkeley Internet Name Domain (BIND)-servers bevindt, wordt er een waarschuwing weergegeven over de fout bij het maken van DNS-delegeringsrecords op de pagina Controle van vereisten . Zie Bekende problemen voor het installeren en verwijderen van AD DS voor meer informatie over de waarschuwing.

Delegaties tussen het bovenliggende domein en het subdomein dat wordt gepromoveerd, kunnen vóór of na de installatie worden gemaakt en gevalideerd. Er is geen reden om de installatie van een nieuwe domeincontroller uit te stellen omdat u de DNS-delegatie niet kunt maken of bijwerken.

Zie Zonedelegering begrijpen voor meer informatie over delegatie. Als zonedelegering niet mogelijk is in uw situatie, kunt u andere methoden overwegen voor het bieden van naamsresolutie van uit andere domeinen voor de hosts in uw domein. De DNS-beheerder van een ander domein kan bijvoorbeeld voorwaardelijk doorsturen, stub-zones of secundaire zones configureren om namen in uw domein op te lossen. Zie de volgende bronnen voor meer informatie:

• Informatie over zonetypen
• Begrijpen van stub-zones
• Informatie over doorstuurservers

RODC-opties

In de volgende schermopname ziet u de opties die worden weergegeven wanneer u een RODC installeert.

Schermopname van de RODC-optiespagina van de wizard, met accounts die wachtwoorden repliceren en accounts die dat niet doen, en knoppen voor het bewerken van de accounts.

• U kunt de optie Gedelegeerd beheerdersaccount gebruiken om de accounts op te geven waaraan lokale beheerdersmachtigingen zijn toegewezen aan de RODC. Deze gebruikers kunnen werken met bevoegdheden die gelijk zijn aan de groep Administrators van de lokale computer. Ze zijn geen lid van de domeinadministratoren of de ingebouwde beheerdersgroepen van het domein. Deze optie is handig voor het delegeren van filiaalbeheer zonder domeinbeheerdersmachtigingen te verlenen. Het configureren van delegering van beheer is niet vereist. Zie Scheiding van beheerdersrollen voor meer informatie.

• U kunt de resterende opties op de pagina gebruiken om het wachtwoordreplicatiebeleid (PRP) te configureren, dat fungeert als een toegangsbeheerlijst (ACL). Dit beleid bepaalt of een RODC een wachtwoord in de cache kan opslaan. Nadat de RODC een geverifieerde gebruiker of computeraanmelding heeft ontvangen, verwijst deze naar de PULLP om te bepalen of het wachtwoord voor het account in de cache moet worden opgeslagen. Hetzelfde account kan vervolgens efficiënter volgende aanmeldingen uitvoeren. Wanneer een account in de cache wordt opgeslagen, kan de RODC dit verifiëren, zelfs als de WAN-koppeling naar de hubsite offline is.

  De PRP bevat twee soorten accounts:

  • Accounts met wachtwoorden die in de cache kunnen worden opgeslagen
  • Accounts met wachtwoorden die expliciet zijn geweigerd om in de cache te worden opgeslagen

  Als een gebruikers- of computeraccount zich in de lijst met accounts bevindt die in de cache kunnen worden opgeslagen, heeft de RODC het wachtwoord voor dat account niet per se in de cache opgeslagen. Een beheerder kan bijvoorbeeld vooraf de accounts opgeven die door een RODC moeten worden opgeslagen.

  De wachtwoorden worden niet in de cache opgeslagen voor gebruikers- of computeraccounts die niet worden geweigerd of toegestaan, expliciet of impliciet. Als deze gebruikers of computers geen toegang hebben tot een beschrijfbare domeincontroller, hebben ze geen toegang tot door AD DS geleverde resources of functionaliteit. Zie Wachtwoordreplicatiebeleid voor meer informatie over de PULLP. Zie Het beleid voor wachtwoordreplicatie beheren voor meer informatie over het beheren van de PRP.

Zie Een Windows Server 2012 Active Directory-Read-Only-domeincontroller (RODC) (niveau 200) installeren voor meer informatie over het installeren van RODC's.

Aanvullende opties

In de volgende schermopname ziet u de optie die wordt weergegeven op de pagina Extra opties wanneer u een domein maakt:

In de volgende schermopname ziet u de opties die worden weergegeven op de pagina Extra opties wanneer u een domeincontroller aan een bestaand domein toevoegt:

• U kunt de optie Repliceren gebruiken om een domeincontroller op te geven als de replicatiebron of om de wizard toe te staan een domeincontroller als replicatiebron te kiezen.

• U kunt de optie Installeren vanaf media gebruiken om een back-up van een mediabron op te geven die moet worden gebruikt om de domeincontroller te installeren. Als de installatiemedia lokaal zijn opgeslagen, kunt u de optie Pad gebruiken om de bestandslocatie te selecteren. Deze optie is niet beschikbaar voor een externe installatie. U kunt Controleren selecteren om te controleren of het opgegeven pad geldige media is. U moet de media maken die u voor deze optie gebruikt met Behulp van Windows Server Backup of ntdsutil.exe vanaf een andere bestaande Windows Server-computer. U kunt geen besturingssysteem gebruiken dat ouder is dan Windows Server 2012 om media voor de domeincontroller te maken. Als de media zijn beveiligd met een SysKey-wachtwoord, vraagt Serverbeheer tijdens de verificatie om het wachtwoord van de installatiekopie.

Zie Een nieuw Windows Server 2012 Active Directory-onder- of structuurdomein (niveau 200) installeren voor meer informatie over het maken van een domein. Zie Een Replica Windows Server 2012-domeincontroller installeren in een bestaand domein (niveau 200) voor meer informatie over het toevoegen van een domeincontroller aan een bestaand domein.

Paths

In de volgende schermopname ziet u de opties die worden weergegeven op de pagina Paden :

U kunt de pagina Paden gebruiken om de standaardmaplocaties van de AD DS-database (NTDS) te overschrijven. DIT), de databasetransactielogboeken en de SYSVOL-share. De standaardlocaties bevinden zich altijd in de %systemroot% map. Voor een lokale installatie kunt u een locatie selecteren voor het opslaan van de bestanden.

Voorbereidingsopties

In de volgende schermopname ziet u de pagina Voorbereidingsopties :

Op deze pagina wordt u gevraagd om referenties op te geven die moeten worden uitgevoerd adprep.exe. In de wizard wordt deze pagina weergegeven wanneer aan beide van de volgende voorwaarden wordt voldaan:

• U bent momenteel niet aangemeld met voldoende inloggegevens om adprep.exe opdrachten uit te voeren.
• Als u de AD DS-installatie wilt voltooien, adprep.exe moet u deze uitvoeren.

Het adprep.exe hulpprogramma is vereist om in de volgende situaties uit te voeren:

• De adprep /forestprep opdracht moet worden uitgevoerd om de eerste domeincontroller met Windows Server 2012 toe te voegen aan een bestaand forest. Als u deze opdracht wilt uitvoeren, moet u lid zijn van de groep Ondernemingsadministrators, de groep Schemaadministrators en de groep Domeinadministrators van het domein dat als host fungeert voor de schemamaster. Als deze opdracht succesvol moet worden uitgevoerd, moet er verbinding zijn tussen de computer waarop de opdracht wordt uitgevoerd en de schemamaster van het forest.

• De adprep /domainprep opdracht moet worden uitgevoerd om de eerste domeincontroller met Windows Server 2012 toe te voegen aan een bestaand domein. Deze opdracht moet worden uitgevoerd door een lid van de groep Domeinadministrators van het domein waarop u de domeincontroller installeert waarop Windows Server wordt uitgevoerd. Als u deze opdracht wilt uitvoeren, moet er verbinding zijn tussen de computer waarop u de opdracht en de infrastructuurmaster voor het domein uitvoert.

• De adprep /rodcprep opdracht moet worden uitgevoerd om de eerste RODC toe te voegen aan een bestaand forest. Deze opdracht moet worden uitgevoerd door een lid van de groep Ondernemingsadministrators. Als u deze opdracht wilt uitvoeren, moet er connectiviteit zijn tussen de computer waarop u de opdracht uitvoert en de infrastructuurmaster voor elke toepassingsdirectory-partitie in de forest.

Zie adprep.exe en Running Adprep.exevoor meer informatie.

Opties beoordelen

In de volgende schermopname ziet u de pagina Opties controleren :

• U kunt de pagina Opties controleren gebruiken om uw instellingen te valideren en ervoor te zorgen dat deze voldoen aan uw vereisten voordat u de installatie start. Deze pagina is niet de laatste kans in Serverbeheer om de installatie te stoppen. U kunt deze pagina gebruiken om uw instellingen te controleren en te bevestigen voordat u doorgaat met de configuratie.

• Op deze pagina kunt u ook de knop Script weergeven gebruiken om een Unicode-tekstbestand te maken dat de huidige ADDSDeployment moduleconfiguratie bevat als één Windows PowerShell-script. Als gevolg hiervan kunt u de grafische interface serverbeheer gebruiken als een Windows PowerShell-implementatiestudio:

  • Gebruik de wizard Active Directory Domain Services-configuratie om opties te configureren.
  • Exporteer de configuratie.
  • De wizard annuleren.

  Met dit proces maakt u een geldig en syntactisch correct voorbeeld voor verdere wijziging of direct gebruik.

Controle van vereisten

In de volgende schermopname ziet u de pagina Controle van vereisten :

Op deze pagina worden mogelijke problemen weergegeven die tijdens de controle van vereisten worden gedetecteerd. De resultaten kunnen waarschuwingen weergeven, waaronder de volgende:

• Domeincontrollers met Windows Server hebben een standaardinstelling, cryptografiealgoritmen toestaan die compatibel zijn met Windows NT 4, waardoor clients die zwakkere cryptografiealgoritmen gebruiken geen beveiligde kanaalsessies tot stand kunnen brengen. Zie De instelling AllowNT4Crypto uitschakelen op alle betrokken domeincontrollers voor meer informatie over de mogelijke impact en een tijdelijke oplossing.

• Een DNS-delegatie kan niet worden gemaakt of bijgewerkt. Zie DNS-opties voor meer informatie.

• WMI-aanroepen (Windows Management Instrumentation) mislukken. Voor de controle van vereisten zijn WMI-aanroepen vereist. Als een WMI-aanroep wordt geblokkeerd door firewallregels, kan deze mislukken en een fout retourneren van een onbeschikbare server voor externe procedureaanroepen (RPC).

Zie Vereistentests voor meer informatie over de specifieke controles van vereisten die worden uitgevoerd voor de INSTALLATIE van AD DS.

Results

In de volgende schermopname ziet u de pagina Resultaten :

Op deze pagina kunt u de resultaten van de installatie bekijken.

U kunt de doelserver ook opnieuw opstarten vanaf deze pagina nadat de wizard is voltooid. Maar als de installatie slaagt, wordt de server opnieuw opgestart, ongeacht of u die optie selecteert.

In sommige gevallen kan de doelserver niet opnieuw worden opgestart. Als de wizard is voltooid op een doelserver die niet is gekoppeld aan het domein vóór de installatie, kan de systeemstatus van de doelserver de server onbereikbaar maken op het netwerk. De systeemstatus kan ook voorkomen dat u machtigingen hebt om de externe server te beheren.

Als de doelserver in deze gevallen niet opnieuw kan worden opgestart, moet u deze handmatig opnieuw opstarten. U kunt geen hulpprogramma's zoals shutdown.exe Windows PowerShell gebruiken om deze opnieuw op te starten. U kunt Extern bureaublad-services gebruiken om u aan te melden en de doelserver op afstand af te sluiten.

Pagina's bij het degraderen van een domeincontroller

In de volgende secties worden de pagina's beschreven die u ziet wanneer u de wizard Active Directory Domain Services-configuratie gebruikt om een domeincontroller te degraderen.

Credentials

In de volgende schermopname ziet u de pagina Referenties die wordt weergegeven aan het begin van het degradatieproces.

Op deze pagina configureert u degradatieopties. De volgende referenties zijn nodig om de degradatie in verschillende situaties uit te voeren:

• Voor het degraderen van een extra domeincontroller zijn domeinadministratorreferenties vereist. Als u Force verwijderen van de domeincontroller selecteert, wordt de domeincontroller gedegradeert zonder de metagegevens van het domeincontrollerobject uit Active Directory te verwijderen.

  Important

  Selecteer niet de optie Forceer het verwijderen van deze domeincontroller , tenzij de domeincontroller geen contact kan opnemen met andere domeincontrollers en er geen redelijke manier is om dat netwerkprobleem op te lossen. Geforceerde demotie laat verweesde metagegevens achter in Active Directory op de resterende domeincontrollers in het forest. Bovendien gaan alle niet-gerepliceerde wijzigingen op die domeincontroller, zoals wachtwoorden of nieuwe gebruikersaccounts, voor altijd verloren. Zwevende metagegevens vormen de hoofdoorzaak in een aanzienlijk percentage microsoft-ondersteuningsaanvragen voor AD DS, Microsoft Exchange, SQL Server en andere software. Als u een domeincontroller geforceerd degraderen, moet u het opschonen van metagegevens onmiddellijk handmatig uitvoeren. Zie Metagegevens van de server opschonen voor instructies.

• Voor het degraderen van de laatste domeincontroller in een domein is het groepslidmaatschap Ondernemingsadministrators vereist, omdat met deze actie het domein zelf wordt verwijderd. Als het domein het laatste in het bos is, zal met deze actie ook het bos worden verwijderd. Serverbeheer informeert u of de huidige domeincontroller de laatste domeincontroller in het domein is. Selecteer Laatste domeincontroller in het domein om te bevestigen dat de domeincontroller de laatste domeincontroller in het domein is.

Zie Active Directory Domain Services (niveau 100) verwijderen en domeincontrollers en domeinen degraderen voor meer informatie over het verwijderen van AD DS.

Warnings

Wanneer u Serverbeheer gebruikt om een domeincontroller te degraderen, worden in bepaalde gevallen waarschuwingen weergegeven in de wizard. Als de domeincontroller ook andere rollen host, zoals de DNS-server of globale catalogusserverfuncties, wordt de volgende pagina Waarschuwingen weergegeven:

Voordat u Volgende kunt selecteren om door te gaan, moet u Doorgaan met verwijderen selecteren om te bevestigen dat het degraderen van de domeincontroller deze rollen niet beschikbaar maakt.

Als u het verwijderen van een domeincontroller afdwingen:

• Wijzigingen in Active Directory-objecten die niet naar andere domeincontrollers in het domein worden gerepliceerd, gaan verloren.

• Alle toepassingsmappartities op de domeincontroller worden verwijderd. Als de domeincontroller de laatste replica van een of meer toepassingsmappartities bevat, bestaan deze partities niet meer wanneer de verwijderingsbewerking is voltooid.

• Kritieke bewerkingen in het domein en forest kunnen op de volgende manieren worden beïnvloed als de domeincontroller als host fungeert voor bepaalde rollen:

  Role	Resultaat van het verwijderen van de domeincontroller	Actie die moet worden ondernomen voordat u doorgaat
  Wereldwijde catalogus	Gebruikers kunnen problemen ondervinden bij het aanmelden bij domeinen in het forest.	Zorg ervoor dat er voldoende globale catalogusservers zich in het forest en de site bevinden om aanmeldingen van gebruikers te kunnen uitvoeren. Wijs indien nodig een andere globale catalogusserver aan en werk clients en toepassingen bij met de nieuwe informatie.
  DNS server	Alle DNS-gegevens die zijn opgeslagen in geïntegreerde Active Directory-zones, gaan verloren. Nadat u AD DS hebt verwijderd, kan de DNS-server geen naamomzetting uitvoeren voor de DNS-zones die met Active Directory zijn geïntegreerd.	Werk de DNS-configuratie bij van alle computers die momenteel verwijzen naar het IP-adres van de DNS-server voor naamomzetting. Configureer deze met het IP-adres van een nieuwe DNS-server.
  Infrastructuurbeheerder	Clients in het domein kunnen problemen hebben met het vinden van objecten in andere domeinen.	Breng de infrastructuurhoofdrol over naar een domeincontroller die geen globale catalogusserver is.
  Relatieve ID (RID)-master	Mogelijk hebt u problemen met het maken van gebruikersaccounts, computeraccounts en beveiligingsgroepen.	Draag de RID-hoofdrol over naar een domeincontroller in hetzelfde domein als de domeincontroller die u degraderen.
  Primaire domeincontrolleremulator (PDC)	Bewerkingen die worden uitgevoerd door de PDC-emulator, zoals updates voor groepsbeleid en wachtwoordherstel voor niet-AD DS-accounts, werken niet goed.	Breng de hoofdrol van de PDC-emulator over naar een domeincontroller die zich in hetzelfde domein bevindt als de domeincontroller die u degraderen.
  Schema-hoofd	U kunt het schema voor het forest niet meer wijzigen.	De schemamasterrol overdragen naar een domeincontroller in het hoofddomein in het forest.
  Naamgevingsmaster van het domein	U kunt geen domeinen meer toevoegen aan of verwijderen uit het forest.	Draag de naamgevingshoofdrol van het domein over naar een domeincontroller in het hoofddomein in het forest.

Voordat u een domeincontroller verwijdert die als host fungeert voor operations master-rollen, probeert u de rol over te dragen naar een andere domeincontroller.

Als het niet mogelijk is om de rol over te dragen, verwijdert u eerst AD DS van de computer. Neem vervolgens de rol door gebruik te maken van ntdsutil.exe op de domeincontroller die u wilt overnemen. Gebruik indien mogelijk een recente replicatiepartner op dezelfde site als de domeincontroller die u gaat degraderen. Zie Operations Master-rollen overdragen of in beslag nemen in Active Directory Domain Services voor meer informatie over het overdragen en inschakelen van operations-masterrollen.

Als de wizard niet kan bepalen of de domeincontroller als host fungeert voor een Operations Master-rol, voert u de netdom.exe opdracht uit om te bepalen of de domeincontroller operations master-rollen uitvoert.

Nadat u AD DS hebt verwijderd van de laatste domeincontroller in het domein, bestaat het domein niet meer.

Verwijderingsopties

Als de domeincontroller die u degradeert een DNS-server is die is gedelegeerd voor het hosten van de DNS-zone, ziet u de volgende pagina. Het biedt de mogelijkheid om de DNS-server te verwijderen uit de delegering van de DNS-zone.

Zie Active Directory Domain Services (niveau 100) verwijderen en domeincontrollers en domeinen degraderen voor meer informatie over het verwijderen van AD DS.

Nieuw beheerderswachtwoord

Op de pagina Wachtwoord voor nieuwe beheerder moet u een wachtwoord opgeven voor het ingebouwde beheerdersaccount van de lokale computer. Dit wachtwoord wordt gebruikt wanneer de degradatie is voltooid en de computer een domeinlidserver of werkgroepcomputer wordt.

Zie Active Directory Domain Services (niveau 100) verwijderen en domeincontrollers en domeinen degraderen voor meer informatie over het verwijderen van AD DS.

Opties beoordelen

De volgende screenshot toont de pagina Reviewopties die u ziet wanneer u een domeincontroller verlaagt.

U kunt deze pagina gebruiken om uw selecties te controleren en de degradatie te starten.

Deze pagina biedt u ook de mogelijkheid om de configuratie-instellingen voor degradatie te exporteren naar een Windows PowerShell-script, zodat u andere degradaties kunt automatiseren.

Als u de server wilt degraderen, selecteert u Demote.