Modernisation de la zone DNS _msdcs

Répertoriez toutes les zones DNS et recherchez _msdcs :

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

Design moderne (aucune action requise) — vous serez _msdcs.<forest-name> répertoriée en tant que zone principale :

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

Conception ancienne (conversion requise) : n'_msdcs.<forest-name>apparaîtra PAS dans la liste des zones. _msdcsIl existe plutôt uniquement en tant que sous-domaine délégué dans votre zone forestière. Vous pouvez le confirmer en vérifiant les enregistrements NS de la délégation :

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

Si cela renvoie des enregistrements NS, votre environnement utilise l'ancienne conception de sous-domaine délégué.

Validation supplémentaire : confirmez le type de zone :

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

Création de la zone autonome _msdcs

Sur un contrôleur de domaine autogéré existant :

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

Cela se crée _msdcs.<forest-name> sous la forme d'une AD-integrated zone dédiée avec une étendue de Forest-wide réplication. Tous les contrôleurs de domaine de la forêt recevront une copie via la ForestDnsZones partition.

Attendez que la réplication AD se propage :

repadmin /syncall /AeD

Vérifiez que la zone existe (exécutez sur plusieurs contrôleurs de domaine) :

Get-DnsServerZone -Name "_msdcs.<forest-name>"

Supprimer l'ancienne délégation de la zone parent

L'ancien nœud de _msdcs sous-domaine et ses enregistrements existent toujours dans la zone parent. Ils doivent être supprimés afin que les requêtes DNS soient traitées exclusivement à partir de la nouvelle zone autonome.

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

Forcer tous les contrôleurs de domaine à réenregistrer les enregistrements SRV

L'ancien sous-domaine ayant été supprimé et la nouvelle zone autonome mise en place, tous les contrôleurs de domaine doivent réenregistrer leurs enregistrements de localisation dans la nouvelle zone.

Exécutez les opérations suivantes sur chaque contrôleur de domaine local :

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

Vérification

Attendez 5 à 10 minutes pour la réplication, puis vérifiez :

Confirmez les enregistrements renseignés dans la nouvelle zone autonome :

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

Vous devriez voir_ldap._tcp.dc, _kerberos._tcp.dc_ldap._tcp.gc, et des enregistrements spécifiques au site pour tous les contrôleurs de domaine locaux.

Vérifiez que la résolution DNS fonctionne de bout en bout :

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

Tous les contrôleurs de domaine locaux doivent apparaître dans les résultats.

Vérifiez que l'ancienne délégation n'est plus dans la zone parent :

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

Cela ne devrait rien rapporter.

Pour plus d'informations sur la modernisation des _msdcs zones DNS, consultez Comment diviser et migrer les enregistrements DNS du domaine enfant vers une zone DNS dédiée sur le site Web du blog Microsoft Core Infrastructure and Security.