Domain Controller Değişimi: Yeni DC Ekleme ve FSMO Rollerini Taşıma

DC değişiminde sorun çıkaran şey nadiren yeni sunucunun kendisidir. Unutulan FSMO rolleri, eski sunucuda kalan zaman kaynağı, cihazlara elle yazılmış DNS adresleri ve zaten sağlıksız olan replikasyonun üzerine yapılan değişiklikler işi bozar. Adımlar doğru sırayla atıldığında kullanıcılar değişimi fark etmez. Aşağıdaki sıra tek ormanlı, tek etki alanlı tipik bir ortam içindir; ön kontrolden eski sunucunun kaldırılmasına kadar uygulama sırasıyla ilerler.

Değişim öncesi kontroller

Sağlıksız bir dizine yeni DC eklerseniz sorunlar yeni sunucuya da kopyalanır. Başlamadan şu kontrolleri yapın ve çıktıları saklayın; değişimden sonra karşılaştırma bunlarla yapılacak:

repadmin /replsummary
repadmin /showrepl * /csv > C:\Temp\replikasyon.csv
dcdiag /e /q
netdom query fsmo
dfsrmig /getglobalstate

• repadmin /replsummary çıktısında başarısız replikasyon veya uzun “largest delta” olmamalı.
• dcdiag /e /q yalnızca hataları listeler; boş çıktı hedeftir.
• netdom query fsmo beş rolün hangi DC’de olduğunu gösterir. Kaydedin.
• dfsrmig /getglobalstate “Eliminated” dönmeli. SYSVOL hâlâ FRS ile çoğaltılıyorsa Windows Server 2019 ve sonrası DC olarak yükseltilemez; önce FRS’ten DFSR’a geçişi tamamlayın. Eski ortamlarda bu engele sahada sık takılınır.

Etki alanı ve orman işlev düzeyini de kontrol edin (Get-ADDomain, Get-ADForest); yeni DC sürümünün desteklediği en düşük işlev düzeyini Microsoft belgelerinden doğrulayın. Sonra eski DC’nin üzerinde DC dışında ne çalıştığını listeleyin: DHCP, sertifika yetkilisi (AD CS), dosya paylaşımı, yazdırma, NPS, eski uygulamaların lisans hizmetleri. Asıl sürprizler bu listeden çıkar. AD CS kurulu bir sunucu yeniden adlandırılamaz ve ayrı bir geçiş planı ister. Değişimden önce system state yedeğinin alındığını ve geri yüklenebildiğini doğrulayın; ayrıntı için Active Directory yedekleme ve geri yükleme yazısına bakın.

Yeni domain controller’ı yükseltme

Yeni sunucuya sabit IP verin, birincil DNS olarak mevcut sağlıklı bir DC’yi gösterin, sunucuyu etki alanına alın ve doğru AD sitesine düşeceğinden emin olun; alt ağ tanımı Sites and Services’ta yoksa sunucu yanlış siteye yerleşir. Ardından rolü kurup yükseltin:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName "contoso.local" -InstallDns `
  -SiteName "Merkez" -Credential (Get-Credential CONTOSO\admin.yetkili) `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM parolası")

Windows Server 2012 ve sonrasında şema ve etki alanı hazırlığı (adprep) gerektiğinde sihirbaz tarafından otomatik çalıştırılır; kullanılan hesabın Schema Admins ve Enterprise Admins üyesi olması gerekir. Yükseltme sonrası sunucu yeniden başlar. İlk replikasyonun bittiğini ve SYSVOL’ün paylaşıldığını doğrulayın:

repadmin /showrepl DC02
net share | findstr /i "SYSVOL NETLOGON"
Get-ADDomainController -Identity DC02 | Select-Object Name, Site, IsGlobalCatalog

DFS Replication günlüğündeki 4604 olayı, SYSVOL’ün ilk eşitlemesinin tamamlandığını ve paylaşımın açıldığını gösterir. Bu olay görünmeden FSMO taşımaya geçmeyin. Acele burada pahalıya patlar.

FSMO rollerini taşıma

Beş FSMO rolünün ikisi orman, üçü etki alanı düzeyindedir:

Rol sahibi çevrimiçiyken her zaman transfer yapılır. Tüm rolleri tek komutla yeni DC’ye taşıyabilirsiniz; orman rolleri için Enterprise Admins ve Schema Admins üyeliği gerekir:

Move-ADDirectoryServerOperationMasterRole -Identity "DC02" `
  -OperationMasterRole SchemaMaster, DomainNamingMaster, PDCEmulator, RIDMaster, InfrastructureMaster

netdom query fsmo

Parametreler Move-ADDirectoryServerOperationMasterRole belgesinde yer alır. Komut her rol için onay ister; betikte -Confirm:$false kullanılabilir. Taşımadan sonra netdom query fsmo çıktısını farklı DC’lerde çalıştırın; hepsi aynı rol sahiplerini göstermeli. Göstermiyorsa replikasyon henüz yetişmemiştir.

Zaman hizmeti ve PDC emülatörü

Orman kök etki alanının PDC emülatörü, etki alanı zaman hiyerarşisinin tepesidir. Kerberos varsayılan olarak beş dakikadan büyük saat farkını kabul etmez; PDC rolü taşındığında zaman kaynağı yapılandırması da taşınmalıdır. Sahada en çok atlanan adım budur: roller yeni sunucuya geçer, dış NTP ayarı eski sunucuda kalır. Yeni PDC’de güvenilir bir dış kaynak tanımlayın, eski PDC’yi hiyerarşiye geri döndürün:

# Yeni PDC emülatöründe (DC02)
w32tm /config /manualpeerlist:"0.tr.pool.ntp.org,0x8 1.tr.pool.ntp.org,0x8" /syncfromflags:manual /reliable:yes /update
Restart-Service w32time
w32tm /resync /rediscover

# Eski PDC'de (DC01)
w32tm /config /syncfromflags:domhier /reliable:no /update
Restart-Service w32time

# Doğrulama
w32tm /query /status
w32tm /monitor

NTP kaynağını kurum politikanıza göre seçin; dış NTP için güvenlik duvarında UDP 123 açık olmalı. PDC sanal makineyse hipervizörün konuk saat eşitlemesi (Hyper-V’de Time synchronization tümleştirme hizmeti) zaman kaynağını ezebilir. w32tm /query /source çıktısında “VM IC Time Synchronization Provider” görüyorsanız bu eşitlemeyi PDC için kapatın.

DNS, DHCP ve istemci ayarlarını yönlendirme

Eski DC’yi kapatmadan önce sunucu ve sistem altyapısında ona adresiyle başvuran her şeyi bulun ve yeni DC’ye çevirin:

• DHCP seçenek 006: Kapsamlardaki DNS sunucusu listesini güncelleyin: Set-DhcpServerv4OptionValue -ScopeId 10.10.10.0 -DnsServer 10.10.0.12,10.10.0.13.
• Sabit IP’li sunucular ve cihazlar: Sunucuların DNS istemci ayarlarını; yazıcı, tarayıcı, güvenlik duvarı ve depolama cihazlarındaki DNS, LDAP ve NTP adreslerini envanterleyin. Eski DC’nin olay günlüklerinde ve DNS sorgu günlüğünde hâlâ ona gelen istemciler görünür. Bu liste kapatma gününden önce boşalmalı.
• Diğer DC’lerin DNS istemci ayarı: Hiçbir DC birincil DNS olarak kaldırılacak sunucuyu göstermemeli.
• Forwarder’lar: Yeni DC’nin forwarder yapılandırması eskisiyle aynı mı, kontrol edin; sunucu düzeyindeki forwarder ayarı replike olmaz.

DNS tarafındaki doğru düzenin ayrıntısı Active Directory DNS yapılandırması yazısında. Eski DC üzerinde DHCP çalışıyorsa hizmeti kira bilgileriyle birlikte taşıyın:

# Eski sunucuda
Export-DhcpServer -ComputerName DC01 -File C:\Temp\dhcp.xml -Leases
# Yeni sunucuda
Import-DhcpServer -ComputerName DHCP02 -File C:\Temp\dhcp.xml -BackupPath C:\Temp\dhcpbak -Leases
Add-DhcpServerInDC -DnsName dhcp02.contoso.local -IPAddress 10.10.0.20
# Eski sunucuda hizmeti durdurduktan sonra
Remove-DhcpServerInDC -DnsName dc01.contoso.local -IPAddress 10.10.0.11

DHCP’yi taşırken tek sunucu bağımlılığını da kaldırmak mantıklıdır; bunun için Windows Server DHCP failover yazısına bakın.

Eski DC’yi kaldırma ve metadata temizliği

Yönlendirmeler bittikten sonra eski DC’yi hemen düşürmek yerine birkaç gün kapalı tutun. Gözden kaçan bağımlılık varsa bu sürede telefon çalar. Bu sürenin tombstone ömrüne (yeni ormanlarda varsayılan 180 gün) yaklaşmasına izin vermeyin. Sorun çıkmazsa sunucuyu açıp düzgünce düşürün:

Uninstall-ADDSDomainController -LocalAdministratorPassword (Read-Host -AsSecureString "Yerel yönetici parolası")
# Yeniden başlatma sonrası
Uninstall-WindowsFeature AD-Domain-Services -IncludeManagementTools

Düşürme işlemi sunucunun NTDS Settings nesnesini ve DNS kayıtlarını kendisi temizler. Ardından şu kalıntılara bakın:

• Sites and Services altında boş kalan sunucu nesnesi.
• DNS’te eski adrese ait A kayıtları, bölgelerin NS kayıtları ve _msdcs altındaki SRV kayıtları.
• DNS bölgelerindeki zone transfer ve bildirim listeleri.

Eski DC arızalı olduğu için düzgün düşürülemiyorsa, Windows Server 2008 ve sonrasındaki araçlarda Active Directory Users and Computers’ta Domain Controllers OU’sundan bilgisayar nesnesini silmek metadata temizliğini başlatır. Alternatif olarak ntdsutil içindeki metadata cleanup komut seti kullanılabilir.

Seize ne zaman gerekir

Seize, rol sahibi kalıcı olarak kaybedildiğinde rolü zorla almaktır. Doğru kullanım koşulları:

• Rol sahibi DC donanım arızası, bozulmuş veritabanı veya geri dönüşü olmayan bir olay nedeniyle bir daha çevrimiçi olmayacaksa.
• Rolün yokluğu gerçekten iş etkisi yaratıyorsa. Kısa kesintilerde çoğu rolün yokluğu hemen hissedilmez; RID Master’ın birkaç saat yokluğu, DC’lerin elindeki RID havuzu sayesinde genellikle sorun çıkarmaz. PDC emülatörünün yokluğu ise zaman ve hesap kilitleme davranışı yüzünden çabuk fark edilir.

Move-ADDirectoryServerOperationMasterRole -Identity "DC02" `
  -OperationMasterRole PDCEmulator, RIDMaster, InfrastructureMaster -Force

-Force, eski rol sahibine ulaşılamadığında rolün zorla alınmasını (seize) sağlar; yalnızca yukarıdaki koşullar doğrulandıktan sonra kullanın. Rolü seize edilen eski DC’yi asla ağa geri bağlamayın. Özellikle RID Master ve Schema Master için iki sahibin aynı anda bulunması yinelenen kimliklere ve dizin tutarsızlığına yol açar. Bu sunucu yeniden kurulur, metadata temizliği yapılır ve gerekiyorsa sıfırdan DC olarak yükseltilir. Geri dönüşü yoktur.

Değişim geniş bir sürüm geçişinin parçasıysa planlama için Windows Server 2016 destek sonu geçiş planı yazısına bakın. Birden fazla lokasyonu olan veya AD CS gibi bağımlı rolleri bulunan ortamlarda adımları altyapı danışmanlığı kapsamında birlikte planlayabiliriz.

Sık sorulan sorular

FSMO rollerini taşımak kullanıcıları etkiler mi?

Düzgün bir transfer kullanıcı oturumlarını kesmez; roller saniyeler içinde el değiştirir. Asıl etkiyi DNS adreslerinin değişmesi ve eski DC’nin kapatılması doğurur; bu adımları planlı pencerede yapın.

Yeni DC’ye eski DC’nin IP adresini vermek mantıklı mı?

DNS adresi elle girilmiş çok sayıda cihaz varsa, eski DC kaldırıldıktan sonra IP’yi yeni DC’ye taşımak işi kolaylaştırır. Bu durumda yeni DC’nin DNS kayıtlarını yeniden kaydettiğinden ve eski adrese ait A ve NS kayıtlarının temizlendiğinden emin olun.

Eski DC hâlâ çalışıyorsa seize kullanabilir miyim?

Kullanmayın. Rol sahibi çevrimiçiyse transfer yapılır. Seize yalnızca rol sahibinin kalıcı olarak kaybedildiği ve bir daha ağa bağlanmayacağı durumlar içindir.

Global catalog rolünü ayrıca taşımak gerekir mi?

Global catalog bir FSMO rolü değildir. Install-ADDSDomainController yeni DC’yi varsayılan olarak global catalog yapar; tek etki alanlı ormanlarda tüm DC’lerin GC olması önerilen düzendir.