Что следует учитывать при обновлении схемы Active Directory до Windows Server 2016

Каждый новый выпуск Windows Server предоставляет новые атрибуты схемы для Active Directory. Если в вашей среде используются более ранние версии Active Directory, например Windows Server 2012 R2, и если вы хотите использовать новые атрибуты схемы, поставляемые с Windows Server 2016, вам необходимо обновить существующую схему до Windows Server 2016. В этой статье объясняется подход, который необходимо использовать при обновлении схемы Active Directory в производственной среде. Хотя процесс обновления схемы Active Directory довольно прост, сбой при обновлении схемы может привести к простою вашей производственной среды.

Обновления тестовой схемы в тестовой среде

Ваша первая задача — убедиться, что обновления схемы, которые вы собираетесь применить к производственной среде, протестированы в тестовой среде. В тестовой среде вам потребуется контроллер домена под управлением Windows Server 2012 R2 и еще один контроллер домена, чтобы обеспечить возможность репликации изменений схемы. Вам потребуется запустить инструмент ADPrep, расположенный на носителе Windows Server 2016 в папке Support. Для обновления схемы необходимо выполнить следующие команды:

• ADPrep /ForestPrep: используйте эту команду для запуска операции обновления схемы на уровне леса.
• ADPrep /DomainPrep: используйте эту команду для запуска операции обновления схемы на уровне домена.

После выполнения этих команд проверьте схему в Active Directory. Чтобы убедиться, что ADPrep/ForestPrep успешно завершены, используйте ADSIEdit, а затем проверьте значение атрибута «Revision» в контейнере ActiveDirectoryUpdate. Значение должно быть установлено на 16.

Подход к обновлению схемы Active Directory для производственного леса AD

После того как вы протестировали схему в тестовой среде, вы можете последовательно обновлять схему в производственной среде. Обратите внимание, что важно понимать, что если вы решите восстановить Active Directory до предыдущего состояния схемы, у вас не будет другого выбора, кроме как восстановить весь лес Active Directory. При обновлении схемы необходимо создать изолированную среду, которая будет использоваться для обновления схемы. В среде будет один контроллер домена под управлением Windows Server 2012 R2. Полный подход выделен ниже:

Шаг 1: Создайте новый сайт Active Directory под названием «Schema-Upgrade». Вы создадите эту Active Directory в рабочей Active Directory.

Шаг 2. Переместите один рабочий контроллер домена на сайт AD «Обновление схемы».

Шаг 3. Запустите KCC (Knowledge Consistency Checker), чтобы убедиться, что объекты подключения созданы между контроллером домена на сайте «Обновление схемы» и контроллерами домена в ближайших местах. Этот шаг необходим для обеспечения того, чтобы между контроллерами домена был создан объект подключения репликации Active Directory.

Шаг 4. Принудительно выполните репликацию, чтобы обеспечить завершение «полного цикла репликации Active Directory».

Шаг 5: Удалите объекты подключения Active Directory к другим контроллерам домена. Это необходимо для того, чтобы схема применялась только к контроллеру домена на сайте AD «Schema-Upgrade».

Шаг 6. После успешного обновления схемы проверьте обновление, запустив утилиту LDP.exe и выполнив следующие шаги:

1. Запустите инструмент LDP.exe, перейдите в «Подключение» и нажмите «Привязать».
2. Нажмите «ОК». Затем нажмите «Просмотр», «Дерево», а затем выберите следующий путь LDAP из раскрывающегося списка: CN=Schema,CN=Configuration,DC=<DomainName>,DC=<Com>.
3. Нажмите OK, чтобы выполнить запрос LDP по указанному выше пути LDAP.
4. На правой панели проверьте атрибут objectVersion: 87. Если это 87, команда администратора ADPrep успешно расширила схему.

Совет. Атрибут ObjectVersion содержит версию схемы леса Active Directory. Этот атрибут изменяется при обновлении схемы текущего леса Active Directory.

На данный момент обновление схемы было успешно применено к контроллеру домена, работающему в Active Directory «Schema-Upgrade». Возможно, вы захотите выполнить все необходимые тесты, чтобы убедиться, что новые атрибуты схемы были успешно заполнены в контроллере домена на сайте «Schema-Upgrade». Вам также необходимо проверить события систем, Active Directory и приложений, чтобы убедиться в отсутствии сообщений об ошибках или предупреждениях. После подтверждения и передачи результатов для тестирования схемы включите репликацию с другими контроллерами домена.

Это просто — но будьте осторожны

Хотя процесс обновления схемы Active Directory очень прост, так как вам потребуется выполнить всего несколько команд на контроллере домена, сбой в процессе обновления схемы может полностью вывести из строя всю вашу среду Active Directory и может потребовать восстановления Active Directory. Лес каталогов с использованием методов восстановления леса Active Directory.