Erforderliche Erstsynchronisierung für Windows 2000 Server- und Windows Server 2003-Domänencontroller, die Inhaber von Betriebsmasterfunktionen sind

Dieser Artikel beschreibt die erforderliche Erstsynchronisierung für Domänencontroller mit den Betriebssystemen Microsoft Windows Server 2003 oder Microsoft Windows 2000 Service Pack 3 (SP3) (oder höher), die Inhaber von Betriebsmasterfunktionen sind. Die Erstsynchronisierung muss durchgeführt werden, bevor abhängige Operationen in einer Active Directory-Domäne oder -Gesamtstruktur stattfinden können.

Hinweis: Die Betriebsmasterfunktionen werden auch als FSMO (Flexible Single Master Operations) bezeichnet.

Ein Active Directory-Domänencontroller versucht, bei jedem Start des Domänencontrollers eingehende Änderungen für jede lokal gespeicherte Verzeichnispartition (auch als Namenskontext bezeichnet) zu replizieren. In Microsoft Windows Server 2003 und in Microsoft Windows 2000 SP3 oder höher müssen die Domänencontroller, die Inhaber von Betriebsmasterfunktionen sind, eingehende Änderungen für die Verzeichnispartition, die den Status der Betriebsmasterfunktion repliziert und verwaltet, erfolgreich replizieren. Die erfolgreiche Replikation muss erfolgt sein, bevor abhängige Operationen durchgeführt werden können. Dadurch wird sichergestellt, dass der FSMO-Funktionsbesitzer über alle aktuellen Änderungen an dem Attribut informiert ist, das die Informationen über den aktuellen FSMO-Funktionsbesitzer enthält. Wenn dieses Attribut im Offline-Zustand geändert wurde, wird der FSMO-Funktionsbesitz aufgegeben. Wenn es immer noch auf den lokalen Domänencontroller zeigt, beginnt es als Funktionsbesitzer zu agieren.

Windows Server 2003-Domänencontroller protokollieren die folgenden Ereignisse:

Typ: Information
Quelle: NTDS-Replikation
Kategorie: Replikation
Ereigniskennung: 1555
Datum: 21.05.2004
Uhrzeit: 15:58:14
Benutzer: Jeder
Beschreibung: Der lokale Domänencontroller wird erst durch den Domänencontroller-Locatordienst als verfügbarer Domänencontroller angekündigt, wenn die erste Synchronisierung der schreibbaren Verzeichnispartitionen abgeschlossen ist. Diese ersten Synchronisierungen sind zurzeit noch nicht abgeschlossen. Die Synchronisierungen werden fortgesetzt. Weitere Informationen erhalten Sie im Hilfe- und Supportcenter unter http://go.microsoft.com/fwlink/events.asp.

Die folgende Tabelle zeigt die Partition, die ein Domänencontroller, der Inhaber von Betriebsmasterfunktionen ist, erfolgreich replizieren muss, bevor die Betriebsmasterfunktionen funktionieren.


Nehmen Sie zum Beispiel an, dass die Informationen über den aktuellen RID-Betriebsmaster und seinen Status in der Domänenpartition einer Beispieldomäne namens "Contoso.com" repliziert werden. Ein Domänencontroller mit dem Namen "DC1.Contoso.com" (DC1) ist der RID-Master in der Domäne "Contoso.com". Wenn die Konfigurationspartition auf der Active Directory-Kopie von DC1 Verweise auf einen anderen Domänencontroller (DC2.Contoso.com) enthält, der die schreibbare "Contoso.com"-Partition repliziert, wird die RID-Master-Funktion für die Domäne "Contoso.com" erst funktionsfähig, wenn eines der folgenden Szenarios eintritt:

• Die RID-Master-Funktion führt eine eingehende Replikation für die schreibbare "Contoso.com"-Domänenpartition mit DC2 oder einem anderen Domänencontroller in der Domäne "Contoso.com" durch.
• Sie entfernen Verweise auf Domänencontroller, die schreibbare Kopien der "Contoso.com"-Domänenpartition von der Gesamtstruktur enthalten.

Bis die RID-Master-Funktion funktionsfähig wird, kann DC1 die neuen RID-Pools nicht ausgeben, die erforderlich sind, um Benutzer, Computer (einschließlich zusätzliche Domänencontroller) und Sicherheitsgruppen in der Domäne "Contoso.com" zu erstellen. Entsprechend müssen die anderen in der Betriebsmasterfunktionen-Tabelle aufgelisteten Betriebsmaster eingehende Änderungen auf der Host-Partition erfolgreich replizieren, bevor die Betriebsmaster abhängige Operationen durchführen können. Die erforderliche Synchronisierung soll sicherstellen, dass in jeder Domäne oder Gesamtstruktur nur ein einziger Domänencontroller eine bestimmte Betriebsmasterfunktion einnimmt.

Hinweis: Für einen Domänencontroller, der Inhaber einer Betriebsmasterfunktion ist, die sich in einer Partition ohne Replikationspartner befindet (das heißt, eine Funktion, die ein einzelner Domänencontroller im domänen- oder gesamtstrukturweiten Replikationsbereich dieser Funktion innehat), muss die Erstsynchronisierung nicht durchgeführt werden, weil der Domänencontroller keine Replikationspartner hat. Die Synchronisierung ist nur erforderlich, wenn das Attribut hasMastersNC des aktuellen Funktionsinhabers Verweise auf mehr als einen Domänencontroller enthält, der die Betriebsmaster-Partition repliziert. (Das Attribut hasMastersNC ist Teil des NTDS-Einstellungsobjekts eines Domänencontrollers in der Partition CN=Configuration eines Betriebsmasters.) Wenn zum Beispiel die Konfigurationspartition für die Beispieldomäne "Contoso.com" keine Verweise auf andere Domänencontroller enthält, die die Partition "Contoso.com" enthalten, wird der aktuelle RID-Betriebsmaster (DC1) funktionsfähig, nachdem der Computer DC1.Contoso.com gestartet wurde.

Änderungen bei der erforderlichen Erstsynchronisierung in Windows Server 2003 mit Service Pack 1

Windows Server 2003 Originalversion

Wenn in der Originalversion von Windows Server 2003 ein Domänencontroller als Inhaber einer Betriebsmasterfunktion neu gestartet wird, versucht er, die Replikation nur mit anderen Domänencontrollern an seinem eigenen Standort durchzuführen. Wenn ein geeigneter Quell-Domänencontroller im selben Active Directory-Standort wie der Betriebsmaster-Funktionsbesitzer existiert, wird die erforderliche Erstsynchronisierung typischerweise kurz nach dem Start des Betriebssystems durchgeführt. Auf diese Weise können von der Betriebsmasterfunktion abhängige Operationen sofort stattfinden. Es können Verzögerungen auftreten, wenn der einzige geeignete Quell-Domänencontroller sich auf einem Remotestandort befindet. Die Replikation findet erst statt, wenn der Zeitplan zur Standortverknüpfung oder zum Verbindungsobjekt sich öffnet. Alle Operationen, die Zugriff auf die Schemamaster-, Domänennamen-Master- oder RID-Master-Funktion erfordern, schlagen fehl, bis die eingehende Replikation von einem schreibbaren Quell-Domänencontroller stattfindet.

Windows Server 2003 mit Service Pack 1

Wenn ein Domänencontroller, der Inhaber einer Betriebsmasterfunktion ist, neu gestartet wird, versucht er, die Erstsynchronisierung mit all seinen vorhandenen Partnern durchzuführen, bis die Synchronisierung erfolgreich ist. Der Partner für die Synchronisierung wird nach dem Zufallsprinzip aus allen Replikationspartnern ausgewählt, die der Domänencontroller für jeden gehaltenen Namenskontext hat. Es gibt keine Präferenz für standortinterne Replikationspartner. Jeder Partner kommt einzeln an die Reihe, bis eine erfolgreiche Replikation stattfindet.

Mögliche Ursachen von Fehlern bei der Erstsynchronisierung und Lösungsvorschläge

Die folgenden Szenarios beschreiben mögliche Ursachen von Fehlern bei der eingehenden Replikation auf einem Betriebsmaster. Wenn ein Domänencontroller, der eine Betriebsmasterfunktion innehat, seine erforderliche Erstsynchronisierung nicht durchführen kann, können abhängige Operationen fehlschlagen oder verzögert werden. Zu jedem Szenario gibt es eine vorgeschlagene Methode, mit der der Betriebsmaster aktiviert werden kann.

• Die aktuelle Funktion befindet sich auf einem Domänencontroller, dessen Objekt "NTDS-Einstellungen" (NTDS-DSA) aus dem Active Directory gelöscht wurde. Dieses Szenario kann aus einem der folgenden Gründe auftreten:
  • Sie haben das Snap-In Active Directory-Standorte und -Dienste, das Dienstprogramm "Ntdsutil.exe" oder ein ähnliches Programm verwendet, um das Objekt NTDS-DSA aus dem Active Directory eines Domänencontrollers zu löschen. Die Betriebsmasterfunktion des Domänencontrollers wurde jedoch nicht auf einen anderen Domänencontroller in der Domäne oder der Gesamtstruktur übertragen.
  • Sie haben den Befehl dcpromo /forceremoval verwendet, um die Herabstufung eines Domänencontrollers zu erzwingen, der eine Betriebsmasterfunktion innehatte.
    Weitere Informationen zum Befehl "dcpromo /forceremoval" finden Sie im folgenden Artikel der Microsoft Knowledge Base:
    332199

    (http://support.microsoft.com/kb/332199/DE/ )

    Domänencontroller können durch Verwendung des Active Directory-Installationsassistenten für eine erzwungene Herabstufung in Windows Server 2003 und Windows 2000 Server nicht herabgestuft werden
  • Sie haben den Active Directory-Installationsassistenten verwendet, um einen Betriebsmaster-Domänencontroller herabzustufen, aber die lokal gehaltenen Betriebsmasterfunktionen werden nicht auf aktive Domänencontroller in der Domäne oder der Gesamtstruktur übertragen.
  In allen diesen Fällen müssen Sie Betriebsmasterfunktionen übernehmen oder auf einen vorhandenen Domänencontroller übertragen.
  
  Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
  255504

  (http://support.microsoft.com/kb/255504/DE/ )

  Übertragen von FSMO-Funktionen auf einen Domänencontroller mithilfe des Programms "Ntdsutil.exe"
  
  
• Der Domänencontroller, der die Betriebsmasterfunktion innehat, enthält Verweise auf Domänencontroller, die Active Directory nicht mehr ausführen, aber immer noch Metadaten haben.
  
  Entfernen Sie zum Beheben dieses Problems die Metadaten für Offline-Domänencontroller, die die Partition enthalten, wenn diese nicht mehr in der Gesamtstruktur aktiv sind und nie wieder verwendet werden. Nachdem Sie die Metadaten für die Domänencontroller entfernt haben, die Active Directory nicht mehr ausführen, starten Sie den aktuellen Besitzer der Betriebsmasterfunktion neu.
  
  Weitere Informationen zum Entfernen von Metadaten für einen Offline-Domänencontroller finden Sie im folgenden Artikel der Microsoft Knowledge Base:
  216498

  (http://support.microsoft.com/kb/216498/DE/ )

  Entfernen von Daten aus Active Directory nach fehlgeschlagener Domänencontroller-Herabstufung
• Die Replikation auf der Verzeichnispartition, die die Betriebsmasterfunktion innehat, schlägt fehl.
  
  In diesem Fall müssen Sie den Active Directory-Replikationsfehler beheben, der verhindert, dass der Besitzer der Betriebsmasterfunktion die Partition des Betriebsmasters mit der Partition eines vorhandenen Domänencontrollers repliziert. Replikationsprobleme können durch Fehler bei der Verbindung, bei der Namensauflösung, bei der Authentifizierung oder im Replikationsmodul verursacht werden.
• Der Replikationspartner für eine Betriebsmasterfunktion-Partition befindet sich auf einem Active Directory-Remotestandort.
  
  Wenn der Betriebsmaster sich auf einem anderen Active Directory-Standort als andere Domänencontroller befindet, die die Partition des Betriebsmasters replizieren, müssen Sie warten, bis sich der Replikationszeitplan öffnet, oder die eingehende Replikation zum aktuellen Betriebsmaster von einem Domänencontroller erzwingen, der eine Kopie dieser Partition enthält.
• Der Domänencontroller wird auf einem isolierten Netzwerk gestartet und kann infolge einer fehlenden Netzwerkverbindung nicht mit Domänencontrollern in seiner Domäne oder Gesamtstruktur replizieren.
  
  Ein Netzwerk ist "isoliert", wenn an den Domänencontroller, der eine Betriebsmasterfunktion innehat, kein Netzwerkkabel angeschlossen ist, oder wenn der Domänencontroller sich in einem Test- oder Labornetzwerk ohne Netzwerkzugriff auf Partner-Domänencontroller befindet.
  
  Fügen Sie zum Beheben dieses Problems einen Domänencontroller zu der Domäne hinzu, sodass der Domänencontroller, der die Betriebsmasterfunktionen innehat, die notwendigen domänen- oder gesamtstrukturweiten Partitionen replizieren kann, wenn er gestartet wird.
  
  Hinweis: Windows Server 2003-Domänencontroller, die sich nur in einem isolierten Netzwerk befinden, können mithilfe des Dienstprogramms "Ntdsutil" den Besitz der Betriebsmasterfunktion selbst übernehmen. Microsoft empfiehlt, diese Operation der Selbstübernahme nur als letztes Mittel und nur dann zu verwenden, nachdem Sie sich vergewissert haben, dass jede Betriebsmasterfunktion in der Gesamtstruktur einen eindeutigen Besitzer hat. Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:
  255504

  (http://support.microsoft.com/kb/255504/DE/ )

  Übertragen von FSMO-Funktionen auf einen Domänencontroller mithilfe des Programms "Ntdsutil.exe"

Alle Betriebsmasterfunktionen können eine gewisse Ausfallzeit verkraften. Das bedeutet, dass Sie die Betriebsmasterfunktionen nicht übernehmen müssen, wenn der Computer vorübergehend offline geschaltet werden muss. Weitere Informationen zur Ausfallzeit für die einzelnen Betriebsmasterfunktionen können Sie der folgenden Liste entnehmen:

• Schema-Betriebsmaster: Es ist nicht dringend, die Schema-Betriebsmasterfunktion zu reaktivieren, sofern Sie nicht das Schema ändern möchten, bevor der Inhaber der Schema-Betriebsmasterfunktion durch Reparatur oder Wiederherstellung reaktiviert wird.
• Domänennamen-Betriebsmaster: Die Domänennamen-Betriebsmasterfunktion ist nur erforderlich, wenn Sie einen Namenskontext in der Gesamtstruktur hinzufügen oder entfernen möchten. Sie müssen diese Funktion nur übernehmen, wenn sie nicht durch Reparatur oder Wiederherstellung wieder online geschaltet wird, bevor ein Namenskontext in der Gesamtstruktur hinzugefügt oder entfernt wird.
• Infrastruktur-Betriebsmaster: Die Aufgaben der Infrastruktur-Betriebsmasterfunktion werden im Hintergrund ausgeführt. Wenn dieser Computer für einige Tage nicht online war und keine größeren Kontoänderungen in der Gesamtstruktur vorgenommen wurden, kann der Computer die Änderungen problemlos durchführen, nachdem er wieder online geschaltet wurde.
• PDC-Emulator-Betriebsmaster: Wenn keine Vor-Active-Directory-Clients in der Domäne sind, dient die PDC-Emulator-Betriebsmasterfunktion (PDC = Primärer Domänencontroller) nur dazu, den Übergang zu erleichtern, wenn Benutzer Kennwörter ändern. Nur der Inhaber der PDC-Emulator-Betriebsmasterfunktion kann Kennwörter für Vertrauensstellungen ändern. Daher ist eine zu lange Ausfallzeit ungünstig.
• RID-Betriebsmaster: Wenn Sie keine Konten erstellen, kann auch die RID-Betriebsmasterfunktion eine gewisse Ausfallzeit verkraften. Hat ein Domänencontroller keine RIDs mehr zur Verfügung, sollte ein anderer Domänencontroller zur Verteilung von RIDs herangezogen werden, wenn der ursprüngliche Funktionsbesitzer erst in einigen Stunden wieder aktiv wird.

Verwenden des Programms "Repadmin.exe" zur Behandlung von Problemen mit der Erstsynchronisierung

Gehen Sie folgendermaßen vor, um Probleme mit der Erstsynchronisierung zu behandeln:

1. Suchen Sie das Programm "Repadmin.exe" in den Microsoft Windows 2000-Supporttools. (Die Windows 2000-Supporttools sind auf der Windows 2000 Server-CD-ROM verfügbar. Führen Sie zum Installieren der Windows 2000-Supporttools das Setup-Programm aus dem Ordner "Support\Tools" aus.)
2. Geben Sie an der Eingabeaufforderung auf dem Domänencontroller, der ein Besitzer der Betriebsmasterfunktion ist, den Befehl repadmin /showreps ein.
3. Überprüfen Sie die Ausgabe und stellen Sie fest, ob der Domänencontroller die Daten von seinen Partnern seit dem letzten Neustart erfolgreich repliziert hat. Wenn Fehler aufgetreten sind, versuchen Sie, die Replikationsprobleme bei den betroffenen Replikationspartnern zu beheben, und warten Sie dann, bis die Replikation abgeschlossen ist.
   
   Jeder Domänencontroller muss erfolgreich das Schema, die Domäne und die Konfigurationspartition replizieren.

Hinweis: Sie können den Befehl repadmin /delete verwenden, um Replikationsverknüpfungen zu Partner-Domänencontrollern zu entfernen, die die Partition mit der fraglichen Betriebsmasterfunktion enthalten.

Warnung: Beim Verwenden des Befehls repadmin /delete besteht die Gefahr, dass die Active Directory-Installation beschädigt wird. Microsoft empfiehlt, den Befehl repadmin /delete nur unter fachlicher Anleitung von Microsoft Support Services zu verwenden. Informationen zur Kontaktaufnahme mit Microsoft Support Services finden Sie auf folgender Website von Microsoft: Weitere Informationen zum Verwenden des Programms "Repadmin.exe" finden Sie im folgenden Artikel der Microsoft Knowledge Base:

Fehlermeldungen bei Erstsynchronisierung

Wenn die Erstsynchronisierung durch einen Besitzer der Betriebsmasterfunktion nicht erfolgreich abgeschlossen wurde, kann unter den folgenden Umständen eine Fehlermeldung angezeigt werden:

• RID-Master

  Wenn der RID-Master nicht kontaktiert werden kann und der RID-Pool unter 20 Prozent fällt, enthält das Verzeichnisdienst-Ereignisprotokoll die folgende Ereignismeldung:

  Quelle: SAM
  Ereigniskennung: 16651
  Beschreibung:
  Die Anforderung eines neuen Kontenidentifizierungspools ist fehlgeschlagen. Der Vorgang wird solange wiederholt, bis er erfolgreich ausgeführt wird. Der Fehler ist %n " %1 "

  Weitere Informationen zu einer ähnlichen Fehlermeldung, die angezeigt werden kann, wenn der RID-Master nicht verfügbar ist, finden Sie im folgenden Artikel der Microsoft Knowledge Base:
  248410

  (http://support.microsoft.com/kb/248410/DE/ )

  Fehlermeldung: sich konnte zu nicht richtig von der Account-Identifier-Zuweisung initialisiert werden

• Schemamaster

  Wenn Sie den Befehl adprep /forestprep ausführen, um Ihre Windows 2000-Gesamtstruktur und deren Domänen auf die Hinzufügung von Windows Server 2003-Domänencontrollern vorzubereiten, schlägt der Befehl adprep /forestprep fehl, und das Protokoll "Adprep.log" enthält die folgende Meldung:
  Fehler: Die FSMO-Funktion konnte nicht übertragen werden: 52 (Nicht verfügbar) Wenn der Fehlercode "Keine ausreichenden Rechte" lautet, müssen Sie sicherstellen, dass Sie als Mitglied der Schemaadministratorgruppe angemeldet sind. Adprep konnte das Schema auf dem Schemamaster nicht aktualisieren.
  Die Ursache dieses Fehlers kann auch ein ungültiger DNS-Eintrag im DNS für einen Server sein, der kein DNS-Server mehr ist. Wenn Sie versuchen, eine Schema-Eigenschaft zu ändern, wird möglicherweise die folgende Fehlermeldung angezeigt:
  Der FSMO-Funktionsbesitz konnte nicht überprüft werden, da die zugehörige Verzeichnispartition nicht mit mindestens einem Replikationspartner repliziert wurde.

• Domänennamen-Master

  Wenn Sie versuchen, eine neue untergeordnete Domäne oder eine Struktur zu der Gesamtstruktur hinzuzufügen, wird möglicherweise die folgende Fehlermeldung angezeigt:
  02/17 17:02:16 [Info] Fehler - Der Verzeichnisdienst hat das Objekt CN=UCD,CN=Partitions,CN=Configuration,DC=Domain,DC=loc nicht erstellt. Überprüfen Sie das Ereignisprotokoll, ob Systemfehler aufgetreten sind. (8610)
  
  Weitere Informationen zur Bedeutung des Domänennamen-Masters beim Hinzufügen oder Entfernen einer Domäne finden Sie in den folgenden Artikeln der Microsoft Knowledge Base:
  254933

  (http://support.microsoft.com/kb/254933/DE/ )

  Eine Domäne während Dcpromo hinzufügen oder das Entfernen erfordert Zugriff auf die Domäne, die Master FSMO Role Inhaber bezeichnet
  
  
  255229

  (http://support.microsoft.com/kb/255229/DE/ )

  Dcpromo-Herabstufung: Letzter Domänencontroller in Unterdomäne

Weitere Informationen zum Installieren der Windows 2000-Supporttools finden Sie im folgenden Artikel der Microsoft Knowledge Base:
Weitere Informationen zu FSMO-Funktionen finden Sie in den folgenden Artikeln der Microsoft Knowledge Base: Weitere Informationen zum Einleiten der Active Directory-Replikation finden Sie im folgenden Artikel der Microsoft Knowledge Base: