Dieser Artikel beschreibt, wie die FSMO-Rollen auf einen zweiten DC umgezogen werden können, obwohl der primäre tot ist.

Wenn man versucht dies über die MMC zu machen (vgl. unser Artikel FSMO-Rollen umsetzen), dann erhält man folgende Fehlermeldung:

Der einzige Weg führt in diesem Fall über das DOS-basierte NTDSUTIL.exe. Mit diesem kann man das Umziehen der FSMO-Master erzwingen.

Benutzen Sie dieses Tool mit Vorsicht! Damit kann man sich ganz leicht seine Domäne zerschießen!

Geben Sie in einer Kommadozeile folgendes ein:

ntdsutil

Sie erhalten den ntdsutil-command-prompt. An diesem geben Sie folgendes ein:

roles
connections
connect to server *FQDN-Name des noch lebenden DCs*

Sie sollten nun folgende Meldung erhalten:

Bindung mit "FQDN-Name des Servers" ...
Eine Verbindung mit "FQDN-Name des Servers" wurde unter Verwendung der Benutzerinformationen des lokal angemeldeten Benutzers wurde hergestellt.

q
Seize PDC

Wenn Sie nun mit "Ja" bestätigen wird die PDC-Rolle umgesetzt.

Nun sollten Sie noch folgende Rollen umsetzen:

Seize infrastructure master
Seize RID master
Seize schema master
Seize domain naming master

Anschließend sollten Sie die Domäne noch bereinigen, d.h. die Einträge des toten Servers überall entfernen.

Sollte es damit Probleme geben, so kann man sich vom NTDSUTIL helfen lassen.

ntdsutil
metadata cleanup
connections
connect to server *servername*
quit
select operation target
list domains
select domain *number*
list sites
select site *number*
list servers in site
select server *number* Hier muss die Nummer des toten Servers eingegeben werden!
quit
remove selected server
quit

Ggf. muss nun noch der cname-Record in der _msdcs.root domain im DNS gelöscht werden. Davon ausgehend, dass der Server neu installiert und wieder promoted wird, wird dann ein neues NTDS Settings Objekt mit der neuen GUID und einem passenden cname record im DNS erstellt.

Dieser Artikel beschreibt, wie die FSMO-Rollen auf einen zweiten DC umgezogen werden können, obwohl der primäre tot ist.

Wenn man versucht dies über die MMC zu machen (vgl. unser Artikel FSMO-Rollen umsetzen), dann erhält man folgende Fehlermeldung:

RID, PDC, Infrastruktur

Diese drei werden über das "Active Directory-Benutzer und -Computer" Snapin verschoben: Rechtsklick auf die Domäne, Betriebsmaster auswählen

und entsprechende Einträge "Ändern"

Schema Master:

Dazu muss zunächst das Snapin für den Schema-Manager registriert werden: regsvr32 schmmgmt.dll

Nun kann man in der MMC das Snapin "Active Directory Schema" hinzufügen. In dieser klickt man mit der rechten Maustaste auf "Active Directory Schema" und wählt "Domänencontroller Ändern..." Hier wird der Name des NEUEN Inhabers der Rolle angegeben und mit OK bestätigt.

Dann kann mit einem Klick der rechten Maustaste der "Betriebsmaster..." angezeigt und mit Klick auf "Ändern" umgesetzt werden.

Domain Naming Master

Dieser wird über das Snapin "Active Directory-Domänen und -Vertrauensstellungen" verschoben, auch hier durch Ändern des "Betriebsmaster..."

Global Catalog

Standardmäßig ist der erste DomainController der GC Server. Dies kann man via "Active Directory-Standorte und -Dienste" überprüfen.

Dazu wird der folgende Eintrag geöffnet:

Sites
  +Standardname-des-ersten-Standorts
    +Servers
      +DC-Name
        +NTDS Settings

In den Eigenschaften der betreffenden "NTDS Settings" kann man in der Registerkarte "Allgemein" kontrollieren, ob der Haken bei "Global Catalog" gesetzt ist.

Nach der Installation des "2026-09 Kumulatives Update für Microsoft server operating system version 24H2 für x64-basierte Systeme (KB5122871) (26100.33438)" funktionieren nur noch ein paar RDP-Sessions.

Alle weiteren werden mit einer Fehlermeldung abgelehnt. Beim Versuch, sich direkt an der Konsole anzumelden kringelt der Server ewig bei "Willkommen".

Wenn man konfigurieren möchte, wie lange Windows wartet, bis sich das System wieder schlafen legt, nachdem es im unbeaufsichtigten Zustand aufgewacht ist, muss man eine versteckte Option setzen, um den Wert in den Energieoptionen sichtbar zu machen.

Wenn man Windows 11 nicht mit einem Microsoft-Konto sondern stattdessen mit einem lokalen Konto anlegen möchte, muss man einen kleinen Kniff anwenden.

Hintergrund

Über die Windows-CA erstellte Zertifikate werden im Edge als angezeigt, obwohl der Zertifikatsname mit der URL übereinstimmt und die CA als vertrauenswürdig hinterlegt ist.