DNS _msdcs Zonenmodernisierung

Listet alle DNS-Zonen auf und sucht nach_msdcs:

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

Modernes Design (keine Aktion erforderlich) — Sie werden Folgendes als primäre Zone _msdcs.<forest-name> aufgeführt sehen:

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

Legacy-Design (Konvertierung erforderlich) — _msdcs.<forest-name> wird NICHT in der Zonenliste angezeigt. Stattdessen _msdcs existiert sie nur als delegierte Subdomain unter Ihrer Waldzone. Sie können dies überprüfen, indem Sie nach den DNS-Datensätzen für die Delegierung suchen:

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

Wenn dadurch NS-Einträge zurückgegeben werden, verwendet Ihre Umgebung das Legacy-Design für delegierte Subdomänen.

Zusätzliche Validierung — Bestätigen Sie den Zonentyp:

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

Erstellen Sie die eigenständige Zone _msdcs

Auf einem vorhandenen selbstverwalteten Domänencontroller:

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

_msdcs.<forest-name>Dadurch wird eine dedizierte AD-integrated Zone mit Forest-wide Replikationsbereich erstellt. Alle DCs in der Gesamtstruktur erhalten über die ForestDnsZones Partition eine Kopie.

Warten Sie, bis sich die AD-Replikation verbreitet hat:

repadmin /syncall /AeD

Stellen Sie sicher, dass die Zone existiert (auf mehreren DCs ausgeführt):

Get-DnsServerZone -Name "_msdcs.<forest-name>"

Entfernen Sie die alte Delegierung aus der übergeordneten Zone

Der alte _msdcs Subdomänenknoten und seine Datensätze sind immer noch in der übergeordneten Zone vorhanden. Diese müssen entfernt werden, damit DNS-Abfragen ausschließlich von der neuen Standalone-Zone aus bedient werden.

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

Zwingen Sie alle DCs, SRV-Datensätze erneut zu registrieren

Nachdem die alte Subdomain entfernt wurde und die neue Standalone-Zone eingerichtet ist, müssen alle DCs ihre Locator-Einträge erneut in der neuen Zone registrieren.

Führen Sie auf jedem lokalen Domänencontroller Folgendes aus:

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

Verify

Warten Sie 5—10 Minuten auf die Replikation und überprüfen Sie dann:

Bestätigen Sie, dass die Datensätze in der neuen Standalone-Zone aufgefüllt wurden:

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

Sie sollten_ldap._tcp.dc, _kerberos._tcp.dc_ldap._tcp.gc, und standortspezifische Datensätze für alle lokalen DCs sehen.

Stellen Sie sicher, dass die DNS-Auflösung durchgängig funktioniert:

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

Alle lokalen DCs sollten in den Ergebnissen erscheinen.

Vergewissern Sie sich, dass die alte Delegierung die übergeordnete Zone verlassen hat:

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

Dies sollte nichts zurückgeben.

Weitere Informationen zur Modernisierung von _msdcs DNS-Zonen finden Sie unter How To Split and Migrieren von DNS-Datensätzen für untergeordnete Domänen in eine dedizierte DNS-Zone auf der Microsoft Core Infrastructure and Security Blog-Website.