Обновление контроллеров домена до более новой версии Windows Server

В этой статье содержатся общие сведения о службах домен Active Directory в Windows Server и описан процесс обновления контроллеров домена (DCS) из более ранней версии Windows Server.

Prerequisites

Рекомендуемый способ обновления домена — установить новую операционную систему с нуля, чтобы повысить новые серверы до уровня контроллеров домена, которые работают на более новой версии Windows Server, и при необходимости понизить уровень старых контроллеров домена. Этот метод предпочтительнее, чем обновление операционной системы существующего контроллера домена, которое также называется обновлением на месте. Чистая установка ОС гарантирует, что вы получаете все улучшения производительности Active Directory, включенные в новые версии Windows Server.

Выполните следующие общие действия, прежде чем повысить сервер до контроллера домена с более новой версией Windows Server.

1. Убедитесь, что целевой сервер соответствует требованиям к системе.

2. Проверка совместимости приложений.

3. Ознакомьтесь с рекомендациями по переходу на более новую версию Windows Server.

4. Проверьте параметры безопасности.

5. Проверьте подключение к целевому серверу с компьютера, где планируется установка.

6. Проверьте доступность необходимых ролей гибкой одно главной операции (FSMO) в Active Directory. Этот шаг необходим для следующих сценариев:

   • Чтобы установить первый контроллер домена с последней версией Windows Server в существующем домене и лесу, компьютеру, на котором выполняется установка, требуется подключение к:
     • Главный объект схемы для запуска adprep /forestprep.
     • Главный сервер инфраструктуры для запуска adprep /domainprep.
   • Чтобы установить первый контроллер домена в домене, где уже расширена схема леса, вам потребуется только подключение к главной инфраструктуре.
   • Чтобы установить или удалить домен в существующем лесу, необходимо подключиться к главному серверу именования домена.
   • Для любой установки контроллера домена также требуется подключение к RID-мастеру.
   • Если вы устанавливаете первый контроллер домена только для чтения в существующем лесу, необходимо подключиться к мастеру инфраструктуры для каждой секции каталога приложений, которая также называется недоменным контекстом именования.

   Чтобы узнать, какой сервер или серверы содержат роль FSMO, выполните следующие команды в сеансе PowerShell с повышенными привилегиями с помощью учетной записи, являющейся членом группы администраторов домена:

   Get-ADDomain | FL InfrastructureMaster, RIDMaster, PDCEmulator
   Get-ADForest | FL DomainNamingMaster, SchemaMaster
   

Действия установки и необходимые административные уровни

В следующей таблице приведена сводка действий по установке и требований к разрешениям для выполнения этих действий.

Поддерживаемые варианты обновления на месте

Поддерживаются только 64-разрядные обновления версий. Дополнительные сведения о поддерживаемых путях обновления см. в разделе "Поддерживаемые пути обновления".

Adprep — forestprep и domainprep

Для выполнения процедуры модернизации на месте существующего контроллера домена необходимо вручную запустить команды adprep /forestprep, а также adprep /domainprep. Для каждой более новой версии Windows Server необходимо запустить Adprep /forestprep только один раз в лесу. Запустите Adprep /domainprep один раз в каждом домене, в котором у вас есть контроллеры домена (DC), которые вы обновляете до более новых версий Windows Server.

Если вы продвигаете новый сервер в контроллер домена, вам не нужно запускать эти средства командной строки вручную. Они интегрированы во взаимодействие с PowerShell и диспетчером сервера.

Дополнительные сведения о запуске adprep см. в разделе "Запуск Adprep".

Функции и требования функционального уровня

Для Windows Server 2019 или более поздней версии требуется минимальный функциональный уровень леса Windows Server 2008. Для Windows Server 2016 требуется минимальный функциональный уровень леса Windows Server 2003. Если лес содержит контроллеры домена с более старым уровнем функциональности леса, чем операционная система поддерживает, установка блокируется. Эти контроллеры домена должны быть удалены, а уровень функциональности леса повышен до поддерживаемой версии перед добавлением в лес новых контроллеров домена Windows Server. Дополнительные сведения о поддерживаемых функциональных уровнях см. в разделе Функциональные уровни леса и домена.

Откат функциональных уровней

После того как вы установите функциональный уровень леса на определенное значение, вы не сможете откатить или снизить функциональный уровень леса, за исключением следующих случаев:

• Если вы обновляете режим работы леса Windows Server 2012 R2, можно выполнить откат к Windows Server 2012 R2.
• Если вы обновляете уровень функциональности леса с Windows Server 2008 R2, вы можете вернуться к Windows Server 2008 R2.

После установки уровня функциональности домена на определенное значение нельзя откатить или снизить функциональный уровень домена со следующими исключениями:

• При повышении функционального уровня домена до Windows Server 2016 и при условии, что функциональный уровень леса — Windows Server 2012 или ниже, у вас есть возможность понижения функционального уровня домена до Windows Server 2012 или Windows Server 2012 R2.

Дополнительные сведения о функциях, доступных на каждом из функциональных уровней, см. в разделе "Леса" и "Функциональные уровни домена".

взаимодействие служб домен Active Directory

службы домен Active Directory не поддерживаются в следующих операционных системах Windows:

• Windows MultiPoint Server
• Основные сведения о Windows Server

Службы доменов Active Directory не могут быть установлены на сервере, если он также выполняет следующие роли сервера или службы ролей:

• Сервер Microsoft Hyper-V
• Посредник подключений к удаленному рабочему столу

Администрирование Windows Server

Используйте средства удаленного администрирования сервера для Windows 10 или более поздней версии для управления контроллерами домена и другими серверами под управлением Windows Server. Средства удаленного администрирования сервера Windows Server можно запустить на компьютере под управлением Windows 10 или более поздней версии.

Добавление нового контроллера домена с более новой версией Windows Server

В следующем примере показано, как обновить лес Contoso с предыдущей версии Windows Server до более поздней версии.

1. Присоедините новый Сервер Windows Server к лесу. Перезапустите, если вас попросят.

   

2. Войдите на новый Windows Server с учетной записью администратора домена.

3. В диспетчере серверов в разделе "Добавление ролей и компонентов" установите доменные службы Active Directory на новом сервере Windows Server. Это действие автоматически запускает adprep в лесу и домене более ранней версии.

   

4. В диспетчере серверов выберите желтый треугольник. В раскрывающемся списке выберите "Повысить уровень сервера до контроллера домена".

   

5. На экране "Конфигурация развертывания" выберите "Добавить контроллер домена" в существующий домен и нажмите кнопку "Далее".

   

6. На экране параметров контроллера домена введите пароль режима восстановления служб каталогов (DSRM) и нажмите кнопку "Далее".

7. Для остальных экранов нажмите кнопку "Далее".

8. На экране проверки готовности нажмите кнопку "Установить". После завершения перезагрузки снова войдите.

9. В более ранней версии Windows Server в разделе "Диспетчер серверов" в разделе "Сервис" выберите модуль Active Directory для Windows PowerShell.

   

10. В окне PowerShell используйте командлет Move-ADDirectoryServerOperationMasterRole для перемещения ролей FSMO. Можно ввести имя каждой роли мастера операций или использовать номера для указания ролей. Дополнительные сведения см. в разделе Move-ADDirectoryServerOperationMasterRole.

    Move-ADDirectoryServerOperationMasterRole -Identity "DC-W2K16" -OperationMasterRole 0,1,2,3,4
    

    

11. Чтобы убедиться, что роли были перемещены, перейдите на новый Сервер Windows Server. В диспетчере серверов в разделе "Сервис" выберите модуль Active Directory для Windows PowerShell. Используйте командлеты Get-ADDomain и Get-ADForest для просмотра владельцев ролей FSMO.

    

    

12. Выполните понижение и удаление предыдущей версии контроллера домена Windows Server. Сведения о том, как понизить контроллер домена, см. в разделе "Понижение контроллеров домена и доменов".

13. После понижения и удаления сервера можно повысить функциональный уровень леса и домена до последней версии Windows Server.

Дальнейшие шаги

• Новые возможности установки и удаления служб домен Active Directory
• Установка служб домен Active Directory (уровень 100)
• Функциональные уровни Windows Server