Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
In dit onderwerp wordt uitgelegd hoe u onderliggende en boomstructuurdomeinen toevoegt aan een bestaand Windows Server 2012-forest met Serverbeheer of Windows PowerShell.
Werkstroom voor Kind en Boom Domein
In het volgende diagram ziet u het configuratieproces van Active Directory Domain Services wanneer u de AD DS-rol eerder hebt geïnstalleerd en u de wizard Active Directory Domain Services-configuratie hebt gestart met Serverbeheer om een nieuw domein in een bestaand forest te maken.
Onderliggend en structuurdomein Windows PowerShell
| ADDSDeployment-cmdlet | Argumenten (vetgedrukte argumenten zijn vereist. Cursieve argumenten kunnen worden opgegeven met Behulp van Windows PowerShell of de wizard AD DS-configuratie.) |
|---|---|
| Install-AddsDomain | -SkipPreChecks -NewDomainName -ParentDomainName -SafeModeAdministratorPassword -ADPrepCredential -AllowDomainReinstall -Confirm -CreateDNSDelegation -Credential -DatabasePath -DNSDelegationCredential -NoDNSOnNetwork -DomainMode -DomainType -Force -InstallDNS -LogPath -NewDomainNetBIOSName -NoGlobalCatalog -NoNorebootoncompletion -ReplicationSourceDC -SiteName -SkipAutoConfigureDNS -SYSVOLPath -Whatif |
Note
Het argument -credential is alleen vereist wanneer u momenteel niet bent aangemeld als lid van de groep Ondernemingsadministrators. Het argument -NewDomainNetBIOSName is vereist als u de automatisch gegenereerde naam van 15 tekens wilt wijzigen op basis van het voorvoegsel van de DNS-domeinnaam of als de naam langer is dan 15 tekens.
Deployment
Implementatieconfiguratie
In de volgende schermopname ziet u de opties voor het toevoegen van een onderliggend domein:
In de volgende schermopname worden de opties voor het toevoegen van een boomdomein getoond.
Serverbeheer begint elke domeincontrollerpromotie met de pagina Implementatieconfiguratie . De resterende opties en vereiste velden worden op deze pagina en volgende pagina's gewijzigd, afhankelijk van de implementatiebewerking die u selecteert.
In dit onderwerp worden twee afzonderlijke bewerkingen gecombineerd: promotie van kinddomeinen en promotie van boomdomeinen. Het enige verschil tussen de twee bewerkingen is het domeintype dat u wilt maken. Alle andere stappen zijn identiek tussen de twee bewerkingen.
Als u een nieuw onderliggend domein wilt maken, klikt u op Een domein toevoegen aan een bestaand Forest en kiest u Onderliggend domein. Voor bovenliggende domeinnaamtypt of selecteert u de naam van het bovenliggende domein. Typ vervolgens de naam van het nieuwe domein in het vak Nieuwe domeinnaam. Geef een geldige subdomeinnaam met een enkel label op; de naam moet voldoen aan de DNS-domeinnaamvereisten.
Als u een structuurdomein binnen een bestaand bos wilt maken, klikt u op Domein toevoegen aan een bestaand bos en kiest u Structuurdomein. Typ de naam van het foresthoofddomein en typ vervolgens de naam van het nieuwe domein. Geef een geldige, volledig gekwalificeerde basisdomeinnaam op; de naam mag niet één label hebben en moet dns-domeinnaamvereisten gebruiken.
Zie Naamconventies in Active Directory voor computers, domeinen, sites en OE'svoor meer informatie over DNS-namen.
De wizard Configuratie van Active Directory-domeindiensten in Serverbeheerder vraagt u om domeininloggegevens als uw huidige inloggegevens niet van het domein zijn. Klik op Wijzigen om domeinreferenties op te geven voor de promotiebewerking.
De Deployment Configuration ADDSDeployment-cmdlet en argumenten zijn:
Install-AddsDomain
-domaintype <{childdomain | treedomain}>
-parentdomainname <string>
-newdomainname <string>
-credential <pscredential>
Opties voor domeincontroller
De domeincontrolleropties pagina geeft de domeincontrolleropties voor de nieuwe domeincontroller. De configureerbare domeincontrolleropties omvatten DNS-server en Globale catalogus; u kunt de alleen-lezen domeincontroller niet configureren als de eerste domeincontroller in een nieuw domein.
Microsoft raadt aan dat alle domeincontrollers DNS- en GC-services bieden voor hoge beschikbaarheid in gedistribueerde omgevingen. GC is altijd standaard geselecteerd en DNS wordt standaard geselecteerd als het huidige domein DNS al op zijn DC's host, gebaseerd op een Start-of-Authority-query. U moet ook een domeinfunctioneringsniveau opgeven. Het standaardfunctionaliteitsniveau is Windows Server 2012 en u kunt elke andere waarde kiezen die gelijk is aan of groter is dan het huidige functionele forestniveau.
Met de domeincontrolleropties pagina kunt u ook de juiste logische Active Directory sitenaam kiezen van de forestconfiguratie. Standaard is de site met het meest juiste subnet geselecteerd. Als er slechts één site is, wordt deze automatisch geselecteerd.
Important
Als de server geen deel uitmaakt van een Active Directory-subnet en er meer dan één Active Directory-site is, is er niets geselecteerd en is de knop Volgende niet beschikbaar totdat u een site in de lijst kiest.
Het opgegeven Wachtwoord voor de Directory Services-herstelmodus moet voldoen aan het wachtwoordbeleid dat op de server is toegepast. Kies altijd een sterk, complex wachtwoord of bij voorkeur een wachtwoordzin.
De opties voor domeincontrollers ADDSDeployment-cmdlet-argumenten zijn:
-InstallDNS <{$false | $true}>
-NoGlobalCatalog <{$false | $true}>
-DomainMode <{Win2003 | Win2008 | Win2008R2 | Win2012 | Default}>
-Sitename <string>
-SafeModeAdministratorPassword <secure string>
-Credential <pscredential>
Important
De sitenaam moet al bestaan wanneer deze wordt opgegeven als een waarde voor het argument sitenaam . De cmdlet install-AddsDomainController maakt geen sitenamen. U kunt de cmdlet new-adreplicationsite gebruiken om nieuwe sites te maken.
De cmdlet-argumenten Install-ADDSDomainController volgen dezelfde standaardwaarden als Serverbeheer als deze niet zijn opgegeven.
De bewerking van het argument SafeModeAdministratorPassword is speciaal:
Als dit niet als argument is opgegeven , wordt u door de cmdlet gevraagd een gemaskeerd wachtwoord in te voeren en te bevestigen. Dit is het voorkeursgebruik bij het interactief uitvoeren van de cmdlet.
Als u bijvoorbeeld een nieuw subdomein genaamd NorthAmerica wilt maken in het Contoso.com forest en daarbij gevraagd wordt een gemaskeerd wachtwoord in te voeren en te bevestigen:
Install-ADDSDomain "NewDomainName NorthAmerica "ParentDomainName Contoso.com "DomainType ChildAls u hebt opgegeven met een waarde, moet de waarde een beveiligde tekenreeks zijn. Dit is niet het voorkeursgebruik wanneer u de cmdlet interactief uitvoert.
U kunt bijvoorbeeld handmatig om een wachtwoord vragen met behulp van de cmdlet Read-Host om de gebruiker om een beveiligde tekenreeks te vragen:
-safemodeadministratorpassword (read-host -prompt "Password:" -assecurestring)
Warning
Aangezien de vorige optie het wachtwoord niet bevestigt, moet u uiterst voorzichtig zijn: het wachtwoord is niet zichtbaar.
U kunt ook een beveiligde tekenreeks opgeven als een geconverteerde variabele voor duidelijke tekst, hoewel dit sterk wordt afgeraden.
-safemodeadministratorpassword (convertto-securestring "Password1" -asplaintext -force)
Ten slotte kunt u het verborgen wachtwoord opslaan in een bestand en het later opnieuw gebruiken, zonder dat het wachtwoord voor duidelijke tekst ooit wordt weergegeven. Voorbeeld:
$file = "c:\pw.txt"
$pw = read-host -prompt "Password:" -assecurestring
$pw | ConvertFrom-SecureString | Set-Content $file
-safemodeadministratorpassword (Get-Content $File | ConvertTo-SecureString)
Warning
Het is niet raadzaam om een duidelijk of verborgen tekstwachtwoord op te geven of op te slaan. Iedereen die deze opdracht uitvoert in een script of over uw schouder kijkt, kent het DSRM-wachtwoord van die domeincontroller. Iedereen met toegang tot het bestand kan dat verborgen wachtwoord omkeren. Met die kennis kunnen ze zich aanmelden bij een DC die is gestart in DSRM en uiteindelijk de domeincontroller zelf imiteren, waardoor hun bevoegdheden worden verhoogd naar het hoogste niveau in een AD-forest. Een extra set stappen met System.Security.Cryptography voor het versleutelen van de tekstbestandsgegevens is raadzaam, maar valt buiten het bereik. De best practice is om wachtwoordopslag volledig te voorkomen.
De ADDSDeployment-module biedt een extra optie om de automatische configuratie van DNS-clientinstellingen, doorstuurservers en hoofdhints over te slaan. Dit kan niet worden geconfigureerd wanneer u Serverbeheer gebruikt. Dit argument is alleen van belang als u de DNS Server-service al hebt geïnstalleerd voordat u de domeincontroller configureert:
-SkipAutoConfigureDNS
DNS-opties en DNS-delegatiegegevens
Op de pagina DNS-opties kunt u alternatieve DNS-beheerdersreferenties opgeven voor delegering.
Wanneer u een nieuw domein installeert in een bestaand forest, waarbij u DNS-installatie hebt geselecteerd op de domeincontrolleropties pagina, kunt u geen opties configureren; de overdracht gebeurt automatisch en onherroepelijk. U kunt alternatieve DNS-beheerdersreferenties opgeven met rechten om die structuur bij te werken.
De DNS-opties ADDSDeployment Windows PowerShell-argumenten zijn:
-creatednsdelegation
-dnsdelegationcredential <pscredential>
Zie Understanding Zone Delegationvoor meer informatie over DNS-delegering.
Aanvullende opties
Op de pagina Extra opties ziet u de NetBIOS-naam van het domein en kunt u deze overschrijven. Standaard komt de NetBIOS-domeinnaam overeen met het meest linkse label van de volledig gekwalificeerde domeinnaam die is opgegeven op de pagina Implementatieconfiguratie . Als u bijvoorbeeld de volledig gekwalificeerde domeinnaam van corp.contoso.com hebt opgegeven, is de standaard NetBIOS-domeinnaam CORP.
Als de naam 15 tekens of minder is en niet conflicteert met een andere NetBIOS-naam, is deze ongewijzigd. Als deze conflicteert met een andere NetBIOS-naam, wordt er een getal toegevoegd aan de naam. Als de naam langer is dan 15 tekens, biedt de wizard een unieke, afgekapte suggestie. In beide gevallen valideert de wizard eerst dat de naam nog niet in gebruik is via een WINS-zoekactie en NetBIOS-uitzending.
Zie Naamconventies in Active Directory voor computers, domeinen, sites en OE'svoor meer informatie over DNS-namen.
De argumenten Install-AddsDomain volgen dezelfde standaardwaarden als Serverbeheer als deze niet zijn opgegeven. De bewerking DomainNetBIOSName is speciaal:
Als het argument NewDomainNetBIOSName niet is opgegeven met een NetBIOS-domeinnaam en de domeinnaam voor het voorvoegsel met één label in het argument DomainName 15 tekens of minder is, wordt de promotie voortgezet met een automatisch gegenereerde naam.
Als het argument NewDomainNetBIOSName niet is opgegeven met een NetBIOS-domeinnaam en de domeinnaam voor het voorvoegsel met één label in het argument DomainName 16 tekens of meer is, mislukt de promotie.
Als het argument NewDomainNetBIOSName is opgegeven met een NetBIOS-domeinnaam van 15 tekens of minder, gaat de promotie verder met die opgegeven naam.
Als het argument NewDomainNetBIOSName is opgegeven met een NetBIOS-domeinnaam van 16 tekens of meer, mislukt de promotie.
Het argument Extra opties addsDeployment cmdlet is:
-newdomainnetbiosname <string>
Paths
Op de pagina Paden kunt u de standaardmaplocaties van de AD DS-database, de transactielogboeken van de gegevensbasis en de SYSVOL-share overschrijven. De standaardlocaties bevinden zich altijd in submappen van %systemroot%.
De cmdlet-argumenten addsDeployment paden zijn:
-databasepath <string>
-logpath <string>
-sysvolpath <string>
Opties controleren en script weergeven
Op de pagina Opties controleren kunt u uw instellingen valideren en ervoor zorgen dat deze voldoen aan uw vereisten voordat u de installatie start. Dit is niet de laatste mogelijkheid om de installatie te stoppen bij het gebruik van Serverbeheer. Dit is gewoon een optie om uw instellingen te bevestigen voordat u doorgaat met de configuratie
De pagina Opties controleren in Serverbeheer biedt ook een optionele knop Script weergeven om een Unicode-tekstbestand te maken dat de huidige ADDSDeployment-configuratie bevat als één Windows PowerShell-script. Hiermee kunt u de grafische interface serverbeheer gebruiken als een Windows PowerShell-implementatiestudio. Gebruik de wizard voor het configureren van Active Directory Domain Services om opties te configureren, de configuratie te exporteren en vervolgens de wizard te annuleren en te sluiten. Met dit proces maakt u een geldig en syntactisch correct voorbeeld voor verdere wijziging of direct gebruik. Voorbeeld:
#
# Windows PowerShell Script for AD DS Deployment
#
Import-Module ADDSDeployment
Install-ADDSDomain `
-NoGlobalCatalog:$false `
-CreateDNSDelegation `
-Credential (Get-Credential) `
-DatabasePath "C:\Windows\NTDS" `
-DomainMode "Win2012" `
-DomainType "ChildDomain" `
-InstallDNS:$true `
-LogPath "C:\Windows\NTDS" `
-NewDomainName "research" `
-NewDomainNetBIOSName "RESEARCH" `
-ParentDomainName "corp.contoso.com" `
-Norebootoncompletion:$false `
-SiteName "Default-First-Site-Name" `
-SYSVOLPath "C:\Windows\SYSVOL"
-Force:$true
Note
Serverbeheer vult over het algemeen alle argumenten in met waarden bij het promoveren en is niet afhankelijk van standaardwaarden (omdat deze kunnen veranderen tussen toekomstige versies van Windows of servicepacks). De enige uitzondering hierop is het argument -safemodeadministratorpassword (dat opzettelijk uit het script wordt weggelaten). Als u een bevestigingsprompt wilt afdwingen, laat u de waarde weg wanneer u de cmdlet interactief uitvoert.
Gebruik het optionele Whatif-argument met de cmdlet Install-ADDSForest om configuratiegegevens te controleren. Hiermee kunt u de expliciete en impliciete waarden van de argumenten voor een cmdlet bekijken.
installeren
Controle van vereisten
De controle van vereisten is een nieuwe functie in de configuratie van het AD DS-domein. Deze nieuwe fase valideert dat de serverconfiguratie een nieuw AD DS-domein kan ondersteunen.
Wanneer u een nieuw foresthoofddomein installeert, roept de wizard Configuratie van Serverbeheer Active Directory Domain Services een reeks geserialiseerde modulaire tests aan. Deze tests waarschuwen u met voorgestelde herstelopties. U kunt de tests zo vaak uitvoeren als nodig is. Het proces van de domeincontroller kan pas worden voortgezet als alle vereiste tests zijn geslaagd.
Met de controle van vereisten worden ook relevante informatie weergegeven, zoals beveiligingswijzigingen die van invloed zijn op oudere besturingssystemen.
Zie Vereisten controleren voor meer informatie over de specifieke vereistencontroles.
U kunt de controle van vereisten niet omzeilen wanneer u Serverbeheer gebruikt, maar u kunt het proces overslaan wanneer u de CMDLET AD DS-implementatie gebruikt met het volgende argument:
-skipprechecks
Warning
Microsoft ontmoedigt het overslaan van de controle van vereisten, omdat deze kan leiden tot een gedeeltelijke promotie van domeincontrollers of beschadigde AD DS-forests.
Klik op Installeren om het promotieproces van de domeincontroller te starten. Dit is de laatste mogelijkheid om de installatie te annuleren. U kunt het promotieproces niet annuleren zodra het begint. De computer wordt automatisch opnieuw opgestart aan het einde van de promotie, ongeacht de promotieresultaten.
Installation
Wanneer de installatiepagina wordt weergegeven, wordt de configuratie van de domeincontroller gestart en kan deze niet worden gestopt of geannuleerd. Gedetailleerde bewerkingen worden op deze pagina weergegeven en worden naar logboeken geschreven:
%systemroot%\debug\dcpromo.log
%systemroot%\debug\dcpromoui.log
Als u een nieuw Active Directory-domein wilt installeren met behulp van de module ADDSDeployment, gebruikt u de volgende cmdlet:
Install-addsdomain
Zie Windows PowerShell- kind- en boomdomein voor verplichte en optionele argumenten. De Install-addsdomain-cmdlet heeft slechts twee fasen (controle van vereisten en installatie). In de twee onderstaande afbeeldingen ziet u de installatiefase met de minimaal vereiste argumenten van -domaintype, -newdomainname, -parentdomainname en -credential. Zoals serverbeheer, herinnert Install-ADDSDomain u eraan dat de promotie de server automatisch opnieuw opstart.
Als u de prompt voor opnieuw opstarten automatisch wilt accepteren, gebruikt u de argumenten -force of -confirm:$false met een ADDSDeployment Windows PowerShell-cmdlet. Gebruik het argument -norebootoncompletion om te voorkomen dat de server automatisch opnieuw wordt opgestart aan het einde van de promotie.
Warning
Het overschrijven van het opnieuw opstarten wordt niet aanbevolen. De domeincontroller moet opnieuw worden opgestart om correct te functioneren
Results
Op de pagina Resultaten ziet u het succes of falen van de promotie en belangrijke administratieve informatie. De domeincontroller wordt na 10 seconden automatisch opnieuw opgestart.