DNS _msdcs 영역 현대화

모든 DNS 영역을 나열하고를 찾습니다_msdcs.

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

최신 설계(작업 필요 없음) - 기본 영역으로 _msdcs.<forest-name> 나열됩니다.

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

레거시 설계(변환 필요) - _msdcs.<forest-name>는 영역 목록에 표시되지 않습니다. 대신 _msdcs는 포리스트 영역 아래에 위임된 하위 도메인으로만 존재합니다. 위임 NS 레코드를 확인하여 이를 확인할 수 있습니다.

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

이렇게 하면 NS 레코드가 반환되면 환경은 레거시 위임된 하위 도메인 설계를 사용합니다.

추가 검증 - 영역 유형을 확인합니다.

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

독립 실행형 _msdcs 영역 생성

기존 자체 관리형 도메인 컨트롤러에서:

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

이렇게 하면가 포리스트 전체 복제 범위를 가진 전용 AD 통합 영역_msdcs.<forest-name>으로 생성됩니다. 포리스트의 모든 DCs는 ForestDnsZones 파티션을 통해 사본을 받습니다.

AD 복제가 전파될 때까지 기다립니다.

repadmin /syncall /AeD

영역이 존재하는지 확인합니다(여DCs에서 실행).

Get-DnsServerZone -Name "_msdcs.<forest-name>"

상위 영역에서 이전 위임 제거

이전 _msdcs 하위 도메인 노드와 해당 레코드는 여전히 상위 영역에 있습니다. DNS 쿼리가 새 독립 실행형 영역에서만 제공되도록 이러한 쿼리를 제거해야 합니다.

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

모든 DCs SRV 레코드를 다시 등록하도록 강제

이전 하위 도메인이 제거되고 새 독립 실행형 영역이 있는 경우 모든 DCs 로케이터 레코드를 새 영역에 다시 등록해야 합니다.

모든 온프레미스 도메인 컨트롤러에서 다음을 실행합니다.

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

Verify

복제할 때까지 5~10분 기다린 다음 다음을 확인합니다.

새 독립 실행형 영역에 채워진 레코드를 확인합니다.

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

모든 온프레미스 DCs에 대한 _ldap._tcp.dc, _kerberos._tcp.dc_ldap._tcp.gc, 및 사이트별 레코드가 표시되어야 합니다.

DNS 확인이 end-to-end로 작동하는지 확인합니다.

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

모든 온프레미스 DCs 결과에 표시되어야 합니다.

이전 위임이 상위 영역에서 제거되었는지 확인합니다.

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

이렇게 하면 아무것도 반환되지 않습니다.

DNS _msdcs 영역 현대화에 대한 자세한 내용은 Microsoft Core Infrastructure and Security Blog 웹 사이트에서 하위 도메인 DNS 레코드를 분할하고 전용 DNS 영역으로 마이그레이션하는 방법을 참조하세요.