Einen Domaincontroller zu virtualisieren ist seit Jahren ein normaler Betriebszustand und kein Kunstfehler. Gefährlich wird es durch Gewohnheiten, die bei einem Dateiserver harmlos wären: die VM klonen, einen Snapshot Wochen später zurücksetzen oder die Uhr des Hosts im Kreis über denselben Controller synchronisieren. Das Verzeichnis verzeiht doppelte Stände schlecht. Wer zwei Controller auf verschiedenen Wirten betreibt und die Zeitquelle eindeutig setzt, hat den größten Teil der Störungen bereits vermeiden.

Welche Hypervisor-Funktionen Active Directory gefährden

Der klassische Schaden heißt USN-Rollback: Ein alter Stand eines Controllers kommt zurück, während die anderen weitergeschrieben haben, und die Partner glauben, sie hätten seine Änderungen schon gesehen. Moderne Windows-Server erkennen viele Restore-Fälle über eine Generationskennung der VM und schützen sich, das ist aber kein Freifahrtschein zum Ausprobieren. Ein Klon eines Controllers ist kein zweiter Controller. Ein zweiter Controller wird regulär heraufgestuft, nicht kopiert.

Die Uhr ist die zweite Baustelle. Der Inhaber der PDC-Emulator-Rolle soll einer verlässlichen externen Zeit folgen, die übrigen Controller folgen der Domänenhierarchie. Bezieht der Hypervisor-Host seine Zeit aus der Domäne und stellt gleichzeitig über die Integrationsdienste die Uhr des Controllers, entsteht ein Kreis. Auf Hyper-V ist es üblich, die Zeitsynchronisation der Integrationsdienste für Domaincontroller abzuschalten und den Host nicht von dem virtuellen Controller abhängig zu machen, den er selbst stellt. Auf ESXi gilt dieselbe Vorsicht: eine Quelle, kein Kreis.

Zwei Controller, Zeitquelle und ein Restore außerhalb des Verbunds

  1. Aufbau. Der zweite Controller wird neu heraufgestuft, niemals geklont. Beide liegen nicht auf demselben einzigen Speichersystem, wenn es sich vermeiden lässt.
  2. Zeit. Eine externe Quelle speist den Host oder direkt den PDC-Emulator, die Integrations-Zeitsynchronisation der Controller-VM ist aus, und kein Kreis führt über die Domäne zurück zum Host.
  3. Rollen. FSMO-Rollen, insbesondere der PDC-Emulator, sind benannt. Globaler Katalog und DNS auf beiden Controllern sind geprüft, nicht nur angenommen.
  4. Schutz. Snapshots werden nicht zurückgesetzt. Backup und Restore folgen einem AD-tauglichen Weg und werden nur in einem isolierten Netz geprobt.
  5. Ausfall. Die Startreihenfolge nach einem Host-Ausfall nennt den überlebenden Controller zuerst. Clients und VPN haben beide DNS-Server eingetragen, nicht nur den ausgefallenen.

Mindestens zwei Controller bleiben der Normalfall, sobald mehr als eine Handvoll Personen von der Domäne abhängen. Liegen beide auf demselben einzigen Host, fällt mit dem Host auch die Anmeldung aus, inklusive VPN und Dateidiensten, die Kerberos brauchen. Der zweite Controller gehört auf andere Hardware, notfalls auf einen kleinen, dafür vorgesehenen Rechner, nicht als Klon auf denselben Datastore. Die FSMO-Rollen sind benannt, damit niemand raten muss, welcher Controller die Zeit führt.

Woran Projekte in der Praxis scheitern

  • Einen Controller klonen, um „schnell einen zweiten“ zu haben.
  • Einen Snapshot zurückspielen, während ein anderer Controller weiter Anmeldungen und Änderungen angenommen hat.
  • Host-Zeit und Gast-Zeit im Kreis über denselben Controller synchronisieren.
  • Beide Controller auf dem einzigen Host und dem einzigen Datastore betreiben und das für Ausfallsicherheit halten.

Beispiel aus dem Betriebsalltag

Ein Handwerksbetrieb mit zwei Standorten hatte einen einzigen virtuellen Controller auf dem Host im Büro in Wien und synchronisierte die Host-Uhr über diesen Controller, während die VM-Tools die Gastuhr wieder vom Host zogen. Die Abweichung fiel auf, als Anmeldungen an der Filiale sporadisch scheiterten. Wir haben die Zeitsynchronisation der VM abgeschaltet, den Host auf eine externe Quelle gelegt, den PDC-Emulator darauf ausgerichtet und einen zweiten Controller auf einem kleinen Server in der Filiale heraufgestuft, nicht geklont. Ein liegengelassener Snapshot des ersten Controllers wurde gelöscht, ohne ihn anzuwenden. Die Anmeldung der Filiale war danach stabil, und der Ausfall des Wiener Hosts hätte die Domäne nicht mehr vollständig mitgenommen.

Kurze Entscheidungshilfe

  • Gibt es zwei heraufgestufte Controller auf getrennter Hardware?
  • Ist die Zeitquelle ohne Kreis dokumentiert?
  • Steht im Backup-Auftrag, dass ein Controller nicht neben lebenden Partnern zurückgesetzt wird?
  • Haben Clients mehr als einen DNS-Server der Domäne eingetragen?

Wenn virtualisierte Domaincontroller bei Ihnen ansteht, klären wir den Umfang unverbindlich: Virtualisierung. Snapshots sind kein Backup Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.