Active Directory Domain Controller geçişi ve FSMO rollerinin taşınması

Durum: Yeni DC kurulumu, FSMO devri ve replikasyon testi doğrulandı; istemci DNS bağımlılıklarının temizliği ayrıca izlenmeli. Gizlilik: Tüm sunucu, kullanıcı ve şirket adları anonimleştirildi; komutlardaki adresler örnektir.

Bir Domain Controller değişiminde sunucunun açılması yetmez. DNS, SYSVOL, replikasyon, FSMO ve System State yedeği sırayla doğrulanmalıdır.

Gerçek vakanın arka planı

Eski etki alanı denetleyicisi yerine yeni bir Windows Server kurulup geçiş planlandı. Daha önceki bir kurulumun geri alınmış olması nedeniyle temiz kurulum, geri dönüş planı ve aşamalı kontrol seçildi. Burada DC-OLD ve DC-NEW gerçek sunucu adları değildir.

İşe başlamadan eski DC’nin DNS testleri, etki alanı sağlığı, SYSVOL/NETLOGON paylaşımları ve FSMO sahipliği belirlendi; System State yedeği hazırlandı.

Geçiş sıralaması

• Yeni sunucunun ağ adresini ve DNS kullanımını düzenle; etki alanına üye yap.
• AD DS + DNS yükleyip ek domain controller olarak yükselt.
• İlk yeniden başlatmadan sonra Global Catalog, SYSVOL/NETLOGON ve DNS SRV kayıtlarını kontrol et.
• Normal FSMO transferini ancak iki DC arasında sağlıklı replikasyon olduğunda uygula.
• İstemci DNS/DHCP ayarlarını planla; eski DC’yi ancak bağımlılıklar giderildiğinde demote et.
• Geri alma planı ve olay günlüklerinin gözlenmesi için bir takip süresi bırak.

Tanılama ve transfer komutları

FSMO için normal transfer ile zorla ele geçirme (seize) farklı senaryolardır. Çalışan kaynak DC varken rutin olarak `-Force` kullanmak doğru değildir.

dcdiag /test:dns /v
repadmin /replsummary
repadmin /showrepl
net share
netdom query fsmo
nltest /dsgetdc:corp.example
# Yetkili yönetici, kontrol ve yedek sonrasında:
Move-ADDirectoryServerOperationMasterRole -Identity 'DC-NEW' -OperationMasterRole 0,1,2,3,4
Get-ADDomainController -Identity 'DC-NEW' | Select-Object OperationMasterRoles

Sonucun doğrulanması

Gerçek uygulamada beş FSMO rolü yeni DC’yi gösterdi ve replikasyon özetinde her iki yönde de 0/5 hata görüldü. SYSVOL/NETLOGON sağlıklıydı; eski sunucu sonradan DC rolünden çıkarılıp domain üyesi oldu.

Bununla birlikte eski DNS sunucu adresinin bütün istemci, DHCP ve kısayollardan silinmiş olduğu tek başına bu testlerden çıkmaz. Geçiş sonrası izlemede bu bağımlılıklar ayrıca denetlenir.

Öğrendiğim

İyi bir DC geçişinin başarısı ‘FSMO kimde?’ sorusundan çok daha fazlasıdır; replikasyon, DNS, zaman ve yedekleme birlikte değerlendirilir.

Başvuru kaynağı: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/manage-fsmo-roles