Modernização da zona DNS _msdcs

Liste todas as zonas DNS e procure_msdcs:

Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }

Design moderno (nenhuma ação é necessária) — você verá uma _msdcs.<forest-name> lista como zona primária:

ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
--------                          --------   -------------  --------------  -------------------  --------
_msdcs.premier.local              Primary    False          True            False                False

Design antigo (conversão necessária) — NÃO _msdcs.<forest-name> aparecerá na lista de zonas. Em vez disso, _msdcs existe somente como um subdomínio delegado na sua zona florestal. Você pode confirmar isso verificando os registros NS da delegação:

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS

Se isso retornar registros NS, seu ambiente usará o design de subdomínio delegado legado.

Validação adicional — confirme o tipo de zona:

# This will succeed on modern design
Get-DnsServerZone -Name "_msdcs.<forest-name>"

# If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design

Crie a zona autônoma _msdcs

Em um controlador de domínio autogerenciado existente:

dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest

Isso é criado _msdcs.<forest-name> como uma AD-integrated zona dedicada com escopo de Forest-wide replicação. Todos os DCs na floresta receberão uma cópia por meio da ForestDnsZones partição.

Aguarde a propagação da replicação do AD:

repadmin /syncall /AeD

Verifique se a zona existe (executada em vários DCs):

Get-DnsServerZone -Name "_msdcs.<forest-name>"

Remova a delegação antiga da zona principal

O antigo nó do _msdcs subdomínio e seus registros ainda existem na zona principal. Eles devem ser removidos para que as consultas de DNS sejam atendidas exclusivamente da nova zona autônoma.

# Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f

Forçar todos os DCs a registrar novamente os registros SRV

Com o subdomínio antigo removido e a nova zona autônoma estabelecida, todos os DCs devem registrar novamente seus registros localizadores na nova zona.

Execute o seguinte em cada controlador de domínio local:

# Flush DNS cache
ipconfig /flushdns

# Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
net stop netlogon
net start netlogon

# Force host record registration
ipconfig /registerdns

Verificar

Aguarde de 5 a 10 minutos pela replicação e, em seguida, verifique:

Confirme os registros preenchidos na nova zona autônoma:

Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV

Você deve ver_ldap._tcp.dc,, _kerberos._tcp.dc_ldap._tcp.gc, e registros específicos do site para todos os DCs locais.

Confirme se a resolução de DNS funciona de ponta a ponta:

Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV

Todos os DCs locais devem aparecer nos resultados.

Confirme se a delegação antiga saiu da zona principal:

Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue

Isso não deve retornar nada.

Para obter mais informações sobre a modernização de _msdcs zonas DNS, consulte Como dividir e migrar registros DNS de domínio secundário para uma zona DNS dedicada no site do blog Microsoft Core Infrastructure and Security.