Anmelden

Select the product you need help with

Heraufstufen der Funktionsebenen von Active Directory-Dom�nen und -Gesamtstruktur

Artikel-ID: 322692 - Produkte anzeigen, auf die sich dieser Artikel bezieht

Dieser Artikel beschreibt die Vorgehensweise zum Heraufstufen der Dom�nen- und Gesamtstrukturfunktionsebenen, die von Microsoft Windows Server 2003-basierten oder neueren Dom�nencontrollern unterst�tzt werden. Es gibt vier Versionen von Active Directory, und nur die Ebenen, die sich seit Windows NT Server 4.0 ge�ndert haben, erfordern besondere Ber�cksichtigung. Daher werden die �brigen Ebenen�nderungen unter Verwendung der neueren, aktuellen oder �lteren Versionen des Dom�nencontroller-Betriebssystems, der Dom�ne oder der Funktionsebene der Gesamtstrukur erw�hnt.

Funktionsebenen sind eine Erweiterung der Konzepte "gemischter Modus" und "einheitlicher Modus", die in Microsoft Windows 2000 Server eingef�hrt wurden, um neue Active Directory-Features zu erm�glichen. Einige zus�tzliche Active-Directory-Features stehen zur Verf�gung, wenn auf allen Dom�nencontrollern in einer Dom�ne oder Gesamtstruktur die neueste Version von Windows Server ausgef�hrt wird und der Administrator die entsprechende Funktionsebene in der Dom�ne oder Gesamtstruktur aktiviert.

Damit die neuen Dom�nenfeatures aktiviert werden k�nnen, m�ssen alle Dom�nencontroller in der Dom�ne mit der neuesten Version des Windows Server-Betriebssystems arbeiten. Wenn das der Fall ist, kann der Administrator die Dom�nenfunktionsebene heraufstufen.
Damit die neuen, gesamtstrukturweit geltenden Features aktiviert werden k�nnen, m�ssen alle Dom�nencontroller in der Gesamtstruktur mit der neuesten Version des Windows Server-Betriebssystems arbeiten, die der erw�nschten Gesamtstrukturfunktionsebene entsprechen. Au�erdem muss die aktuelle Dom�nenfunktionsebene sich bereits auf der neuesten Ebene befinden. Wenn diese Bedingungen erf�llt sind, kann der Administrator die Gesamtstrukturfunktionsebene heraufstufen.

Generell k�nnen die �nderungen an den Dom�nen- und Gesamtstrukturfunktionsebenen nicht r�ckg�ngig gemacht werden. Wenn die �nderung r�ckg�ngig gemacht werden kann, muss dazu eine Gesamtstrukturwiederherstellung durchgef�hrt werden. Mit dem Windows Server 2008 R2-Betriebssystem kann f�r die �nderungen an den Dom�nen- und Gesamtstrukturfunktionsebenen ein Rollback ausgef�hrt werden. Das Rollback ist allerdings nur in den speziellen Szenarien m�glich, die im Technet-Artikel �ber die Active Directory-Funktionsebenen

(http://technet.microsoft.com/de-de/library/cc787290(WS.10).aspx)

beschrieben sind.

Hinweis Die neuesten Dom�nen- und Gesamtstrukturfunktionsebenen haben nur Auswirkungen darauf, wie die Dom�nencontroller als Gruppe zusammenarbeiten. Die Clients, die mit der Dom�ne oder Gesamtstruktur interagieren, sind davon nicht betroffen. Au�erdem bleiben auch die Anwendungen von den �nderungen an den Dom�nen- oder Gesamtstrukturfunktionsebenen unber�hrt. Anwendungen k�nnen jedoch von den neuesten Dom�nen- und Gesamtstrukturfeatures profitieren.

Weitere Informationen finden Sie im TechNet-Artikel �ber die Features der verschiedenen Funktionsebenen

(http://technet.microsoft.com/de-de/library/cc771294.aspx)

Heraufstufen der Funktionsebene

Achtung Stufen Sie die Funktionsebene nicht herauf, wenn die Dom�ne �ber einen Dom�nencontroller verf�gt oder verf�gen wird, der eine �ltere als die f�r diese Ebene vorgegebene Version aufweist. Eine Windows Server 2008-Funktionsebene setzt beispielsweise voraus, dass auf allen Dom�nencontrollern in der Dom�ne oder Gesamtstruktur Windows Server 2008 oder ein h�heres Betriebssystem installiert ist. Nachdem die Dom�nenfunktionsebene auf eine h�here Ebene heraufgestuft wurde, kann sie nur mithilfe einer Gesamtstrukturwiederherstellung auf eine �ltere Ebene zur�ckgestuft werden. Diese Einschr�nkung besteht, weil durch die Features oft die Kommunikation zwischen den Dom�nencontrollern ge�ndert wird oder weil die Features die Speicherung der Active Directory-Daten in der Datenbank �ndern.

Die am h�ufigsten verwendete Methode zum Aktivieren der Dom�nen- und Gesamtstrukturfunktionsebenen besteht in der Verwendung der Benutzeroberfl�chen-Verwaltungstools, die im TechNet-Artikel �ber die Windows Server 2003 Active Directory-Funktionsebenen dokumentiert sind

(http://technet.microsoft.com/de-de/library/cc759280(WS.10).aspx)

. Dieser Artikel befasst sich mit Windows Server 2003, die Schritte sind in den neueren Betriebssystemversionen jedoch dieselben. Au�erdem kann die Funktionsebene manuell oder unter Verwendung von Windows PowerShell-Skripts konfiguriert werden. Weitere Informationen zum manuellen Konfigurieren der Funktionsebene finden Sie im Abschnitt "Anzeigen und manuelles Einrichten der Funktionsebene".

Weitere Informationen zur Verwendung eines Windows PowerShell-Skripts zum Konfigurieren der Funktionsebene finden Sie im TechNet-Artikel, in dem diese Methode beschrieben wird

(http://technet.microsoft.com/de-de/library/cc730985.aspx)

Anzeigen und manuelles Einrichten der Funktionsebene

LDAP-Programme (Lightweight Directory Access Protocol) wie "Ldp.exe" und "Adsiedit.msc" k�nnen dazu verwendet werden, die aktuellen Einstellungen f�r die Dom�nen- und Gesamtstrukturfunktionsebene anzuzeigen und zu �ndern. Wenn Sie die Attribute der Funktionsebene manuell �ndern, besteht die bew�hrte Methode darin, die Attribut�nderungen am FSMO-Dom�nencontroller (Flexible Single Master Operations) vorzunehmen, auf den die Microsoft-Verwaltungstools normalerweise ausgerichtet sind.

Einstellungen der Dom�nenfunktionsebene

Das Attribut msDS-Behavior-Version befindet sich im Kopf des Stammnamenskontexts (Naming Context, NC) in jeder der folgenden Dom�nen:

DC=Mydomain
DC=ForestRootDom
DC=tld object

Die folgenden Werte k�nnen f�r dieses Attribut festgelegt werden:

Wert 0 oder nicht gesetzt=Dom�nenebene "gemischt"
Wert 1=Dom�nenebene "Windows Server 2003"
Wert 2=Dom�nenebene "Windows Server 2003"
Wert 3=Dom�nenebene "Windows Server 2008"
Wert 4=Dom�nenebene "Windows Server 2008 R2"

Einstellungen des gemischten und des einheitlichen Modus

Das Attribut ntMixedDomain befindet sich im Kopf des Stammnamenskontexts (Naming Context, NC) in jeder der folgenden Dom�nen:

DC=Mydomain
DC=ForestRootDom
DC=tld object

Die folgenden Werte k�nnen f�r dieses Attribut festgelegt werden:

Wert 0=Dom�nenebene "pur"
Wert 1=Dom�nenebene "gemischt"

Einstellung der Gesamtstrukturfunktionsebene

Das Attribut msDS-Behavior-Version befindet sich im Kopf des Stammnamenskontexts (Naming Context, NC) in jeder der folgenden Dom�nen:

CN=Partitions
CN=Configuration
DC=ForestRootDom
DC=tld object

Die folgenden Werte k�nnen f�r dieses Attribut festgelegt werden:

Wert 0 oder nicht gesetzt=Gesamtstruktur der Ebene "gemischt"
Wert 1=Gesamtstrukturebene "Windows Server 2003-interim"
Wert 2=Gesamtstrukturebene "Windows Server 2003"

Hinweis Wenn Sie das Attribut msDS-Behavior-Version mit "usingAdsiedit.msc" vom Wert 0 auf den Wert 1 erh�hen, wird folgende Fehlermeldung angezeigt:
Der �nderungsvorgang war unzul�ssig. Die �nderung ist in einer Hinsicht nicht erlaubt.
Wert 3=Dom�nenebene "Windows Server 2008"
Wert 4=Dom�nenebene "Windows Server 2008 R2"

Klicken Sie nach Verwendung der LDAP-Tools (Lightweight Directory Access Protocol) zum Bearbeiten der Funktionsebene auf OK, um fortzufahren. Die Attribute f�r den Partitionscontainer und den Dom�nenkopf werden richtig erh�ht. Wenn von der Datei "Ldp.exe" eine Fehlermeldung angezeigt wird, k�nnen Sie diese unbesorgt ignorieren. Aktualisieren Sie die Attributliste, und �berpr�fen Sie dann die aktuelle Einstellung, um sich zu vergewissern, dass die Heraufstufung erfolgreich durchgef�hrt wurde. Diese Fehlermeldung kann auch auftreten, nachdem Sie die Heraufstufung auf dem autorisierenden FSMO durchgef�hrt haben, wenn diese �nderung noch nicht an den lokalen Dom�nencontroller repliziert wurde.

Schnelles Anzeigen der aktuellen Einstellungen �ber die Datei "Ldp.exe"

Starten Sie die Datei "Ldp.exe".
Klicken Sie im Men� Verbindung (Connection) auf Verbinden (Connect).
Geben Sie den Dom�nencontroller an, den Sie abfragen m�chten, oder machen Sie keine Angabe, wenn eine Verbindung zu einem beliebigen Dom�nencontroller hergestellt werden soll.

Nachdem die Verbindung zu einem Dom�nencontroller hergestellt ist, werden die RootDSE-Informationen f�r diesen Dom�nencontroller angezeigt. Diese umfassen Informationen zur Gesamtstruktur, zur Dom�ne und zu den Dom�nencontrollern. Im folgenden Beispiel ist ein Windows Server 2003-basierter Dom�nencontroller dargestellt. In diesem Beispiel wird davon ausgegangen, dass der Dom�nenmodus Windows Server 2003 und der Gesamtstrukturmodus Windows 2000 Server ist.

Hinweis Die Dom�nencontrollerfunktionalit�t stellt die h�chste m�gliche Funktionsebene f�r diesen Dom�nencontroller dar.

1> domainFunctionality: 2=(DS_BEHAVIOR_WIN2003)
1> forestFunctionality: 0=(DS_BEHAVIOR_WIN2000)
1> domainControllerFunctionality: 2=(DS_BEHAVIOR_WIN2003)

Voraussetzungen f�r das manuelle �ndern der Funktionsebene

Wenn eine der folgenden Bedingungen zutrifft, m�ssen Sie den Dom�nenmodus in den einheitlichen Modus �ndern, bevor Sie die Dom�nenebene heraufstufen:
- Die Dom�nenfunktionsebene wird programmseitig durch direktes �ndern des Werts f�r das Attribut msdsBehaviorVersion im domainDNS-Objekt auf die zweite Funktionsebene heraufgestuft.
- Die Dom�nenfunktionsebene wird unter Verwendung der Hilfsprogramme "Ldp.exe" oder "Adsiedit.msc" auf die zweite Funktionsebene heraufgestuft.
Wenn Sie den Dom�nenmodus nicht in den einheitlichen Modus �ndern, bevor Sie die Dom�nenebene heraufstufen, wird der Vorgang nicht erfolgreich abgeschlossen, und es werden folgende Fehlermeldungen angezeigt:
SV_PROBLEM_WILL_NOT_PERFORM
ERROR_DS_ILLEGAL_MOD_OPERATION
Au�erdem wird die folgende Fehlermeldung im Ereignisprotokoll der Verzeichnisdienste protokolliert:
Active Directory konnte die Funktionsebene der folgenden Dom�ne nicht heraufstufen, weil die Dom�ne in einem gemischten Modus ist.

In diesem Szenario k�nnen Sie den Dom�nenmodus in den einheitlichen Modus �ndern, indem Sie das Snap-In Active Directory-Benutzer und -Computer oder das UI MMC-Snap-In Active Directory-Dom�nen und -Vertrauensstellungen verwenden, oder indem Sie den Wert des Attributs ntMixedDomain im domainDNS-Objekt programmgesteuert in 0 �ndern. Wenn diese Vorgehensweise zum Heraufstufen der Dom�nenfunktionsebene auf 2 (Windows Server 2003) verwendet wird, wird der Dom�nenmodus automatisch in den einheitlichen Modus ge�ndert.
Durch den �bergang vom gemischten Modus in den einheitlichen Modus wird der Umfang der Sicherheitsgruppen "Schemaadministratoren" und "Unternehmensadministratoren" in universelle Gruppen ge�ndert. Wenn diese Gruppen in universelle Gruppen ge�ndert wurden, wird die folgende Meldung im Systemprotokoll protokolliert:
Typ: Informationen
Ereignisquelle: SAM
Ereigniskennung: 16408
Computer: Servername
Beschreibung: "Der Dom�nenmodus wurde in einheitlichen Modus ge�ndert. Die �nderung kann nicht r�ckg�ngig gemacht werden."
Wenn die Windows Server 2003-Verwaltungstools verwendet werden, um die Dom�nenfunktionsebene aufzurufen, wird sowohl das Attribut ntmixedmode als auch das Attribut msdsBehaviorVersion in der richtigen Reihenfolge ge�ndert. Dies ist jedoch nicht immer der Fall. Im folgenden Szenario wird der einheitliche Modus implizit auf den Wert 0 festgelegt, ohne dass der Umfang der Sicherheitsgruppen "Schemaadministratoren" und "Unternehmensadministratoren" in universell ge�ndert wird:
- Das Attribut msdsBehaviorVersion, das den Dom�nenfunktionsmodus steuert, wird manuell oder programmseitig auf den Wert 2 festgelegt.
- Der Gesamtstrukturfunktionsmodus wird mit einer beliebigen Methode auf 2 festgelegt.
In diesem Szenario blockieren die Dom�nencontroller die �bertragung an die Gesamtstrukturfunktionsebene, bis alle Dom�nen im LAN auf den einheitlichen Modus konfiguriert sind und die erforderliche Attribut�nderung in den Umf�ngen der Sicherheitsgruppen vorgenommen wurde.

F�r Windows 2000 Server relevante Funktionsebenen

Windows 2000 Server unterst�tzt nur den gemischten Modus und den einheitlichen Modus. Au�erdem werden nur diese Modi auf die Dom�nenfunktionalit�t angewendet. In den folgenden Abschnitten sind die Windows Server 2003-Dom�nenmodi aufgef�hrt, weil diese Modi Auswirkungen darauf haben, wie Windows NT 4.0- und Windows 2000 Server-Dom�nen aktualisiert werden.

Beim Heraufstufen der Betriebssystemebene des Dom�nencontrollers sind eine Reihe von �berlegungen zu ber�cksichtigen, die sich aus den Speicherungs- und Replikationsbeschr�nkungen der verlinkten Attribute in Windows 2000 Server-Modi ergeben.

Windows 2000 Server-gemischt (Standard)

Unterst�tzte Dom�nencontroller: Microsoft Windows NT 4.0, Windows 2000 Server , Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
Aktivierte Funktionen: lokale und globale Gruppen, Unterst�tzung des globalen Katalogs

Windows 2000 Server-pur

Unterst�tzte Dom�nencontroller: Windows 2000 Server, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
Aktivierte Funktionen: Verschachtelung von Gruppen, universelle Gruppen, SID-Verlauf, Konvertieren zwischen Sicherheitsgruppen und Verteilergruppen, Heraufstufen von Dom�nenebenen durch Heraufstufen der Einstellungen f�r die Gesamtstrukturebene

Windows Server 2003-interim

Unterst�tzte Dom�nencontroller: Windows NT 4.0, Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
Unterst�tzte Funktionen: Auf dieser Ebene sind keine dom�nenweiten Funktionen aktiviert. Alle Dom�nen in einer Gesamtstruktur werden automatisch auf diese Ebene heraufgestuft, wenn die Gesamtstrukturebene auf "interim" heraufgestuft wird. Dieser Modus wird nur dann verwendet, wenn Sie ein Upgrade von Dom�nencontrollern in Windows NT 4.0-Dom�nen auf Windows Server 2003-Dom�nencontroller durchf�hren.

Windows Server 2003

Unterst�tzte Dom�nencontroller: Windows Server 2003, Windows Server 2008, Windows Server 2008 R2
Unterst�tzte Funktionen: Umbenennen von Dom�nencontrollern, Aktualisierung und Replikation des Anmeldezeitstempel-Attributs. Unterst�tzung des Benutzerkennworts f�r die Objektklasse "InetOrgPerson". Erzwungene Delegation, Umleitung der Container "Benutzer" und "Computer".

Dom�nen, die von Windows NT 4.0 aktualisiert oder durch Heraufstufung eines Windows Server 2003-Computers erstellt werden, arbeiten auf der Ebene "Windows 2000-gemischt". Windows 2000 Server-Dom�nen behalten bei einem Upgrade auf Windows Server 2003 ihre aktuelle Dom�nenfunktionsebene bei. Sie k�nnen die Dom�nenfunktionsebene entweder auf "Windows 2000 Server-pur" oder auf "Windows Server 2003" heraufstufen.

Interimebene - Upgrade von einer Windows NT 4.0-Dom�ne

Windows Server 2003 Active Directory erm�glicht eine spezielle Gesamtstruktur- und Dom�nenfunktionsebene namens "Windows Server 2003-interim". Diese Funktionsebene steht f�r Upgrades vorhandener Windows NT 4.0-Dom�nen zur Verf�gung, wenn einer oder mehrere Windows NT 4.0-Reservedom�nencontroller (Backup Domain Controller, BDC) nach dem Upgrade funktionsf�hig sein m�ssen. Windows 2000 Server-Dom�nencontroller werden in diesem Modus nicht unterst�tzt. Windows Server 2003-interim ist f�r folgende Szenarien relevant:

Upgrades von Dom�nen von Windows NT 4.0 auf Windows Server 2003.
Ein direktes Upgrade von Windows NT 4.0-BDCs ist nicht m�glich.
Windows NT 4.0-Dom�nen, die Gruppen mit mehr als 5000 Mitgliedern enthalten (die Gruppe der Dom�nenbenutzer nicht eingeschlossen).
Es ist nicht geplant, Windows Server 2000-Dom�nencontroller zu irgendeinem Zeitpunkt in die Gesamtstruktur aufzunehmen.

Windows Server 2003-interim bietet zwei wichtige Erweiterungen, wobei die Replikation auf Windows NT 4.0-BDCs weiterhin m�glich ist:

Effiziente Replikation von Sicherheitsgruppen und Unterst�tzung von �ber 5000 Mitgliedern pro Gruppe.
Verbesserte KCC-Algorithmen f�r die Erstellung der standort�bergreifenden Topologie.

Wegen der effizienten Abwicklung der Gruppenreplikation, die auf der Interimebene aktiviert ist, ist die Interimebene die empfohlene Ebene f�r alle Windows NT 4.0-Upgrades. Lesen Sie in diesem Artikel den Abschnitt "Empfohlene Verfahren", um weitere Informationen zu erhalten.

Einstellen der Gesamtstrukturfunktionsebene "Windows Server 2003-interim"

Es gibt drei verschiedene M�glichkeiten, Windows Server 2003-interim zu aktivieren. Die ersten zwei Methoden sind sehr zu empfehlen, da Sicherheitsgruppen nach einem Upgrade des prim�ren Dom�nencontrollers (PDC) der Windows NT 4.0-Dom�ne auf einen Windows Server 2003-Dom�nencontroller die Linked-Value-Replikation (LVR) verwenden. Die dritte Option ist weniger zu empfehlen, da f�r die Mitgliedschaft in Sicherheitsgruppen ein einziges mehrwertiges Attribut verwendet wird, das zu Replikationsproblemen f�hren kann. Es gibt folgende M�glichkeiten, Windows Server 2003-interim zu aktivieren:

W�hrend des Upgrades.

Diese Option wird im Dcpromo-Installations-Assistenten angeboten, wenn Sie den PDC einer Windows NT 4.0-Dom�ne aktualisieren, der als erster Dom�nencontroller in der Stammdom�ne einer neuen Gesamtstruktur dient.
Bevor Sie den Windows NT 4.0-PDC einer Windows NT 4.0-Dom�ne als ersten Dom�nencontroller einer neuen Dom�ne in einer vorhandenen Gesamtstruktur aktualisieren, indem Sie die Gesamtstrukturfunktionsebene manuell �ber LDAP (Lightweight Directory Access Protocol) konfigurieren.

Untergeordnete Dom�nen erben die gesamtstrukturweiten Einstellungen der Funktionalit�t von der Gesamtstruktur, in die sie heraufgestuft werden. Die Aktualisierung des PDC einer Windows NT 4.0-Dom�ne als untergeordnete Dom�ne in einer vorhandenen Windows Server 2003-Gesamtstruktur, wobei die Interim-Gesamtstrukturfunktionsebenen �ber die Datei "Ldp.exe" oder "Adsiedit.msc" konfiguriert wurden, erm�glicht es Sicherheitsgruppen, nach dem Upgrade der Betriebssystemversion die Linked-Value-Replikation zu nutzen.
Nach dem Upgrade �ber LDAP-Programme.

Verwenden Sie die zwei letztgenannten Optionen, wenn Sie w�hrend eines Upgrades einer vorhandenen Windows Server 2003-Gesamtstruktur beitreten. Dies ist ein h�ufig anzutreffendes Szenario, wenn eine "leere" Stammdom�ne vorhanden ist. Die aktualisierte Dom�ne wird als untergeordnete Dom�ne der leeren Stammdom�ne hinzugef�gt und erbt die Dom�neneinstellung von der Gesamtstruktur.

Empfohlene Vorgehensweisen

Der folgende Abschnitt erl�utert die Verfahren, die f�r die Heraufstufung von Funktionsebenen empfohlen werden. Der Abschnitt besteht aus zwei Teilen. "Vorbereitende Ma�nahmen vor der Heraufstufung der Funktionsebene" beschreibt die Schritte, die vor der Heraufstufung durchzuf�hren sind, und "Optimales Konfigurieren von Funktionsebenen" behandelt die Voraussetzungen und Methoden f�r verschiedene Szenarien bei der Heraufstufung von Funktionsebenen.

Gehen Sie folgenderma�en vor, um Windows NT 4.0-Dom�nencontroller zu ermitteln:

�ffnen Sie Active Directory-Benutzer und -Computer auf einem Windows Server 2003-Dom�nencontroller.
Wenn der Dom�nencontroller nicht bereits mit der richtigen Dom�ne verbunden ist, gehen Sie folgenderma�en vor, um die Verbindung herzustellen:
1. Klicken Sie mit der rechten Maustaste auf das aktuelle Dom�nenobjekt, und klicken Sie auf Verbindung zur Dom�ne herstellen.
2. Geben Sie im Dialogfeld Dom�ne den gew�nschten DNS-Namen der Dom�ne ein, zu der Sie die Verbindung herstellen m�chten, und klicken Sie anschlie�end auf OK. Oder klicken Sie auf Durchsuchen, um die Dom�ne aus der Dom�nenstruktur auszuw�hlen, und klicken Sie anschlie�end auf OK.
Klicken Sie mit der rechten Maustaste auf das Dom�nenobjekt, und klicken Sie auf Suchen.
Klicken Sie im Dialogfeld Suchen auf Benutzerdefinierte Suche.
Klicken Sie auf die Dom�ne, deren Funktionsebene Sie �ndern m�chten.
Klicken Sie auf die Registerkarte Erweitert.
Geben Sie im LDAP-Abfragefeld Folgendes ein. Die Zeichen d�rfen nicht durch Leerzeichen voneinander getrennt sein:
(&(objectCategory=computer)(operatingSystem Version=4*)(userAccountControl:1.2.840.113556.1.4.803:=8192))
Hinweis Bei der Abfrage wird nicht zwischen Gro�- und Kleinschreibung unterschieden.
Klicken Sie auf Jetzt suchen.

Es wird eine Liste angezeigt, die die Computer in der Dom�ne enth�lt, die mit Windows NT 4.0 arbeiten und als Dom�nencontroller fungieren.

Ein Dom�nencontroller kann aus folgenden Gr�nden in der Liste erscheinen:

Der Dom�nencontroller arbeitet mit Windows NT 4.0 und muss aktualisiert werden.
Der Dom�nencontroller wird auf Windows Server 2003 aktualisiert, aber die �nderung wird nicht auf den Zieldom�nencontroller repliziert.
Der Dom�nencontroller ist nicht mehr in Betrieb, aber das Computerobjekt des Dom�nencontrollers wurde nicht aus der Dom�ne entfernt.

Bevor Sie die Dom�nenfunktionsebene auf Windows Server 2003 �ndern k�nnen, m�ssen Sie alle Dom�nencontroller in der Liste physisch ermitteln, den aktuellen Status der einzelnen Dom�nencontroller feststellen und sie abh�ngig von den Gegebenheiten aktualisieren oder entfernen.

Hinweis Im Gegensatz zu Windows Server 2000-Dom�nencontrollern blockieren die Windows NT 4.0-Dom�nencontroller eine Heraufstufung der Funktionsebene nicht. Wenn Sie die Dom�nenfunktionsebene �ndern, wird die Replikation auf die Windows NT 4.0-Dom�nencontroller beendet. Wenn Sie jedoch versuchen, eine Heraufstufung auf die Windows Server 2003-Gesamtstrukturebene mit Dom�nen in Windows Server 2000 durchzuf�hren, wird die gemischte Ebene blockiert. Das Fehlen von Windows NT 4.0-BDCs ist impliziert, indem die Anforderung der Gesamtstrukturebene, dass alle Dom�nen die Ebene "Windows Server 2000-pur" oder h�her haben m�ssen, erf�llt wird.

Beispiel: Vorbereitende Ma�nahmen vor der Heraufstufung der Funktionsebene

In diesem Beispiel wird die Umgebung vom Modus "Windows Server 2000-gemischt" auf den Windows Server 2003-Gesamtstrukturmodus heraufgestuft.

Ermitteln Sie Dom�nencontroller �lterer Versionen in der Gesamtstruktur.
Wenn eine genaue Serverliste nicht zur Verf�gung steht, gehen Sie folgenderma�en vor:

Verwenden Sie das MMC-Snap-In "Active Directory-Dom�nen und Vertrauensstellungen", um Dom�nen mit gemischter Funktionsebene, Windows Server 2000-Dom�nencontroller oder Dom�nencontroller mit besch�digten oder fehlenden Objekten zu finden.
Klicken Sie im Snap-In auf Gesamtfunktionsstrukturebene heraufstufen und anschlie�end auf Speichern unter, um einen detaillierten Bericht zu erzeugen.
Wenn keine Probleme gefunden wurden, steht die Option zur Heraufstufung der Windows Server 2003-Gesamtstrukturfunktionsebene im Listenfeld Verf�gbare Gesamtstrukturfunktionsebenen zur Verf�gung. Wenn Sie versuchen, die Gesamtstrukturfunktionsebene heraufzustufen, werden die Dom�nencontrollerobjekte in den Konfigurationscontainern auf Dom�nencontroller durchsucht, bei denen msds-behavior-version nicht auf die gew�nschte Zielebene festgelegt ist. Bei diesen Objekten wird angenommen, dass es sich entweder um Windows Server 2000-Dom�nencontrollerobjekte oder um neuere Windows Server-Dom�nencontrollerobjekte handelt, die besch�digt sind.
Wenn Dom�nencontroller �lterer Versionen oder Dom�nencontroller mit besch�digten oder fehlenden Computerobjekten gefunden werden, werden sie in den Bericht aufgenommen. Der Status dieser Dom�nencontroller muss untersucht werden, und die Darstellung der Dom�nencontroller in Active Directory muss mit der Datei "Ntdsutil" repariert oder entfernt werden.

Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:

216498

(http://support.microsoft.com/kb/216498/ )

Entfernen von Daten aus Active Directory nach fehlgeschlagener Dom�nencontroller-Herabstufung

�berpr�fen, ob die durchg�ngige Replikation in der Gesamtstruktur funktioniert

Um zu �berpr�fen, ob die durchg�ngige Replikation in der Gesamtstruktur funktioniert, wenden Sie Repadmin aus Windows Server 2003 oder einer neueren Version auf die Windows Server 2000- oder Windows Server 2003-Dom�nencontroller an:

Repadmin/Replsum * /Sort:Delta[/Errorsonly] f�r eine erste Bestandsaufnahme.
Repadmin/Showrepl * /CSV>showrepl.csv. Importieren Sie die Datei nach Excel, und identifizieren Sie die Replikationsfeatures �ber Daten->AutoFilter.

Verwenden Sie Replikationstools wie "Repadmin", um sich zu vergewissern, dass die gesamtstrukturweite Replikation richtig funktioniert.

�berpr�fen Sie die Kompatibilit�t aller Programme oder Dienste mit den neueren Windows Server 2003-Dom�nencontrollern und dem h�heren Windows Server-Dom�nen- und -Gesamtstrukturmodus. Pr�fen Sie Produktionsprogramme und -dienste sorgf�ltig in einer Testumgebung auf Kompatibilit�t. Setzen Sie sich mit den Anbietern in Verbindung, um sich die Funktionsf�higkeit best�tigen zu lassen.

Bereiten Sie einen Ausweichplan vor, der eine der folgenden Aktionen vorsieht:

Trennen Sie mindestens zwei Dom�nencontroller von den einzelnen Dom�nen in der Gesamtstruktur.
F�hren Sie f�r mindestens zwei Dom�nencontroller jeder Dom�ne in der Gesamtstruktur eine Sicherung des Systemstatus durch.

Bevor der Ausweichplan eingesetzt werden kann, m�ssen alle Dom�nencontroller in der Gesamtstruktur vor dem Wiederherstellungsvorgang au�er Betrieb genommen werden.

Hinweis Heraufstufungen k�nnen nicht autorisierend wiederhergestellt werden. Das bedeutet, dass alle Dom�nencontroller au�er Betrieb gesetzt werden m�ssen, die die Heraufstufung repliziert haben.

Fahren Sie danach die zuvor getrennten Dom�nencontroller hoch, oder stellen Sie die Dom�nencontroller aus der Sicherung wieder her. Entfernen Sie die Metadaten von allen anderen Dom�nencontrollern und stufen Sie sie erneut herauf. Diese Vorgehensweise ist schwierig und sollte vermieden werden.

Beispiel: �bergang von der Ebene "Windows Server 2000-gemischt" zur Windows Server 2003-Gesamtstrukturebene

Stufen Sie alle Dom�nen auf die Ebene "Windows Server 2000-pur" herauf. Stufen Sie danach die Funktionsebene f�r die Gesamtstrukturstammdom�ne auf die Gesamtstrukturebene "Windows Server 2003" herauf. Wenn die Gesamtstrukturebene auf die PDCs f�r die einzelnen Dom�nen in der Gesamtstruktur repliziert wird, wird die Dom�nenebene automatisch auf "Windows Server 2003" heraufgestuft. Diese Vorgehensweise hat folgende Vorteile:

Die gesamtstrukturweite Heraufstufung der Ebene wird nur einmal durchgef�hrt. Sie m�ssen nicht jede einzelne Dom�ne in der Gesamtstruktur manuell auf die Dom�nenfunktionsebene "Windows Server 2003" heraufstufen.
Eine Pr�fung auf Windows Server 2000-Dom�nencontroller wird vor der Heraufstufung durchgef�hrt (siehe Vorbereitungsschritte). Die Heraufstufung wird blockiert, bis problematische Dom�nencontroller entfernt oder aktualisiert sind. Ein detaillierter Bericht kann erzeugt werden, der die f�r die Blockierung verantwortlichen Dom�nencontroller auflistet und Informationen f�r die weitere Vorgehensweise liefert.
Eine Pr�fung auf Dom�nen auf der Ebene "Windows Server 2000-gemischt" oder "Windows Server 2003-interim" wird durchgef�hrt. Die Heraufstufung wird blockiert, bis die Dom�nenebenen mindestens auf Windows Server 2000-pur angehoben sind. Dom�nen der Interimebene m�ssen auf die Dom�nenebene "Windows Server 2003" heraufgestuft werden. Ein detaillierter Bericht kann erzeugt werden, der die Dom�nen auflistet, die f�r die Blockierung verantwortlich sind.

Windows NT 4.0-Upgrades

Bei Windows NT 4.0-Upgrades sollten Sie w�hrend des PDC-Upgrades immer die Interimebene verwenden, es sei denn, Windows Server 2000-Dom�nencontroller werden in die Gesamtstruktur aufgenommen, in die der PDC aktualisiert wird. Wenn der Interimmodus w�hrend des PDC-Upgrades verwendet wird, verwenden die vorhandenen gro�en Gruppen direkt die LVR-Replikation, wodurch die zuvor erw�hnten, m�glichen Replikationsprobleme vermieden werden k�nnen. Verwenden Sie eine der folgenden Methoden, um w�hrend des Upgrades auf die Interimebene zu gelangen:

W�hlen Sie die Interimebene w�hrend der Ausf�hrung von "Dcpromo". Diese Option wird nur dann angeboten, wenn der PDC beim Upgrade in eine neue Gesamtstruktur aufgenommen wird.
Setzen Sie die Gesamtstrukturebene einer vorhandenen Gesamtstruktur auf "interim". Nehmen Sie Dom�nencontroller dann w�hrend des PDC-Upgrades in die Gesamtstruktur auf. Die aktualisierte Dom�ne erbt die Gesamtstruktureinstellung.
Nachdem alle Windows NT 4.0-BDCs aktualisiert oder entfernt sind, muss jede Dom�ne auf Gesamtstrukturebene gebracht werden und kann in den Gesamtstrukturmodus "Windows Server 2003" �berf�hrt werden.

Der Interimmodus sollte vermieden werden, wenn geplant ist, nach dem Upgrade oder irgendwann in der Zukunft Windows Server 2000-Dom�nencontroller zu implementieren.

Besondere Erw�gungen bei gro�en Gruppen in Windows NT 4.0

In manchen Windows NT 4.0-Dom�nen kann es Sicherheitsgruppen mit weit mehr als 5000 Mitgliedern geben. Wenn sich in Windows NT 4.0 ein Mitglied einer Sicherheitsgruppe �ndert, wird nur die Einzel�nderung der Mitgliedschaft auf die Reservedom�nencontroller repliziert. In Windows Server 2000 sind Gruppenmitgliedschaften verkn�pfte Attribute, die in einem einzelnen, mehrwertigen Attribut des Gruppenobjekts gespeichert sind. Wenn an der Mitgliedschaft einer Gruppe eine einzelne �nderung vorgenommen wird, wird die gesamte Gruppe als eine Einheit repliziert. Da die Gruppenmitgliedschaft als Einheit repliziert wird, besteht die M�glichkeit, dass Aktualisierungen der Gruppenmitgliedschaft verloren gehen, wenn verschiedene Mitglieder gleichzeitig auf verschiedenen Dom�nencontrollern hinzugef�gt oder entfernt werden. Au�erdem kann die Gr��e dieses Einzelobjekts die Gr��e des Puffers �berschreiten, der dazu verwendet wird, einen Eintrag in die Datenbank zu �bertragen. Weitere Informationen finden Sie im Abschnitt "Versionsspeicherprobleme bei gro�en Gruppen" in diesem Artikel. Aus diesen Gr�nden betr�gt die empfohlene H�chstanzahl f�r Gruppenmitglieder 5000.

Die Ausnahme bei dieser Regel ist die prim�re Gruppe (standardm��ig die Gruppe "Dom�nenbenutzer"). Die prim�re Gruppe verwendet einen "berechneten" Mechanismus, der auf der "primarygroupID" des Benutzers basiert, um die Mitgliedschaft zu ermitteln, und speichert Mitglieder nicht als mehrwertige, verkn�pfte Attribute. Wird die prim�re Gruppe des Benutzers in eine benutzerdefinierte Gruppe ge�ndert, wird ihre Mitgliedschaft in der Gruppe der Dom�nenbenutzer in das verkn�pfte Attribut f�r die Gruppe geschrieben und nicht mehr berechnet. Die neue RID der prim�ren Gruppe wird in "primarygroupID" geschrieben, und der Benutzer wird aus dem Mitgliedsattribut der Gruppe entfernt.

Wenn der Administrator nicht die Interimebene f�r die Upgradedom�ne ausw�hlt, m�ssen Sie diese Schritte vor dem Upgrade ausf�hren:

Ermitteln Sie alle gro�en Gruppen und alle Gruppen mit mehr als 5000 Mitgliedern, ausgenommen die Gruppe der Dom�nenbenutzer.
Alle Gruppen mit mehr als 5000 Mitgliedern m�ssen in kleinere Gruppen mit weniger als 5000 Mitgliedern aufgeteilt werden.
Suchen Sie alle Zugriffssteuerungslisten, in denen die gro�en Gruppen eingetragen waren, und f�gen Sie die in Schritt 2 erstellten kleinen Gruppen hinzu.

Die Windows Server 2003-Interim-Gesamtstrukturebene nimmt es Administratoren ab, globale Sicherheitsgruppen mit mehr als 5000 Mitgliedern ausfindig zu machen und neu zuordnen zu m�ssen.

Versionsspeicherprobleme bei gro�en Gruppen

W�hrend lang andauernden Operationen (intensive Suchen oder �bertragungen an ein einzelnes, gro�es Attribut) muss Active Directory sicherstellen, dass der Zustand der Datenbank bis zum Abschluss der Operation "statisch" ist. Ein Beispiel f�r intensive Suchen oder �bertragungen an gro�e Attribute ist eine gro�e Gruppe, die Legacy-Speicherung verwendet.

Da fortlaufend Aktualisierungen der Datenbank (lokal und von Replikationspartnern) stattfinden, stellt Active Directory einen statischen Zustand her, indem alle ankommenden �nderungen in eine Warteschlange gesetzt werden, bis die lang andauernde Operation abgeschlossen ist. Nach Abschluss der Operation werden die �nderungen im Wartezustand in die Datenbank �bernommen.

Der Speicherort f�r diese �nderungen im Wartezustand wird als "Versionsspeicher" bezeichnet und hat eine Gr��e von ca. 100 MB. Die Gr��e des Versionsspeichers ist variabel und h�ngt vom physischen Speicher ab. Wenn der Versionsspeicher verbraucht ist, bevor eine lang andauernde Operation abgeschlossen ist, akzeptiert der Dom�nencontroller keine Aktualisierungen mehr, bis die lang andauernde Operation abgeschlossen ist und die im Wartezustand befindlichen �nderungen �bertragen wurden. Wenn Gruppen sehr gro� werden (mehr als 5000 Mitglieder), besteht die Gefahr f�r den Dom�nencontroller, dass der Versionsspeicher verbraucht wird, w�hrend die gro�e Gruppe �bertragen wird.

Mit Windows Server 2003 wird ein neuer Replikationsmechanismus f�r mehrwertige, verkn�pfte Attribute eingef�hrt, der als LVR (Linked-Value-Replikation) bezeichnet wird. Statt die gesamte Gruppe in einem einzigen Replikationsvorgang zu replizieren, repliziert LVR zum Beheben dieses Problems jedes einzelne Gruppenmitglied in einem separaten Replikationsvorgang. LVR wird aktiviert, wenn die Gesamtstrukturfunktionsebene auf die Windows Server 2003-Interimebene oder Windows Server 2003-Gesamtstrukturebene heraufgestuft wird. Auf dieser Funktionsebene wird LVR dazu verwendet, Gruppen zwischen Windows Server 2003-Dom�nencontrollern zu replizieren.

Zum Anfang | Ihr Feedback an uns

Eigenschaften

Artikel-ID: 322692 - Ge�ndert am: Freitag, 14. Mai 2010 - Version: 16.0

Die Informationen in diesem Artikel beziehen sich auf:

Microsoft Windows Server 2003, 64-Bit Datacenter Edition
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows 2000 Advanced Server
Microsoft Windows�2000 Server
Windows Server 2008 R2 Enterprise
Windows Server 2008 R2 Standard
Windows Server 2008 Enterprise
Windows Server 2008 Standard

kbactivedirectory kbhowtomaster KB322692

Microsoft stellt Ihnen die in der Knowledge Base angebotenen Artikel und Informationen als Service-Leistung zur Verf�gung. Microsoft �bernimmt keinerlei Gew�hrleistung daf�r, dass die angebotenen Artikel und Informationen auch in Ihrer Einsatzumgebung die erw�nschten Ergebnisse erzielen. Die Entscheidung dar�ber, ob und in welcher Form Sie die angebotenen Artikel und Informationen nutzen, liegt daher allein bei Ihnen. Mit Ausnahme der gesetzlichen Haftung f�r Vorsatz ist jede Haftung von Microsoft im Zusammenhang mit Ihrer Nutzung dieser Artikel oder Informationen ausgeschlossen.

Zum Anfang | Ihr Feedback an uns