Schrittweise Anleitung zum Offline-Domänenbeitritt ("Djoin.exe")

Durch den Offline-Domänenbeitritt können die Gesamtbetriebskosten für Computer gesenkt werden, da die Startzeit der einzelnen Server reduziert und die Zuverlässigkeit von Domänenbeitritten in Produktionsumgebungen gesteigert werden können.

Datencenter verfügen üblicherweise über einen Bereitstellungsserver, der ein Abbild konfiguriert und dieses Abbild dann zur Bereitstellung an einen Produktionscomputer sendet. Die Installation des Produktionscomputers wird ausgeführt, der Computer wird der Domäne hinzugefügt und anschließend neu gestartet. Wenn Probleme im Zusammenhang mit dem Domänenbeitritt auftreten, wie z. B. Netzwerkverbindungsprobleme oder Probleme mit notwendigen Servern, die offline sind, müssen diese Probleme zu diesem Zeitpunkt diagnostiziert und behoben werden. In einer solchen Situation können Probleme im Zusammenhang mit der Kommunikation zwischen Produktionsserver und Domänencontroller durch den Offline-Domänenbeitritt verhindert werden, indem die Domänenbeitrittsinformationen während der Installation des Produktionscomputers konfiguriert werden. Die Gesamtdauer für die Installation der einzelnen Server sinkt, da der zusätzliche Neustart am Ende eines Online-Domänenbeitritts nicht notwendig ist.

Unter Windows Server 2008 gibt es einen Mechanismus zur Ausführung von Domänenbeitritten über einen schreibgeschützten Domänencontroller (Read-only Domain Controller, RODC). Für einen Domänenbeitritt über einen RODC sind jedoch die folgenden Schritte erforderlich:

1. Erstellen Sie das Computerkonto vorab im Verzeichnis, und legen Sie einige zusätzliche Attribute mithilfe von Skripts fest.
   
   
2. Ändern Sie bei Bedarf die Kennwortreplikationsrichtlinie (Password Replication Policy, PRP) des RODC so, dass das Kennwort für den Computer, der der Domäne beitreten soll, vom RODC zwischengespeichert wird.
   
   
3. Erzwingen Sie die Replikation der geheimen Schlüssel des Computers, der der Domäne beitritt.
   
   
4. Teilen Sie das Kennwort offline dem Computer mit, der der Domäne beitreten soll.
   
   
5. Führen Sie ein benutzerdefiniertes, an den RODC gerichtetes Skript aus, um den Beitritt abzuschließen.
   
   

Bei einem Offline-Domänenbeitritt sind die Schritte für einen Domänenbeitritt über einen RODC einfacher gestaltet:

1. Erstellen Sie das Konto vorab in den Active Directory-Domänendiensten.
   
   
2. Erzwingen Sie die Replikation der geheimen Schlüssel des Computers, der der Domäne beitritt.
   
   
3. Senden Sie die relevanten Statusinformationen an den Computer, der der Domäne beitreten soll, damit dieser sie für eine Textdatei verwenden kann.
   
   
4. Der Computer verarbeitet die Informationen in der Textdatei und tritt dann beim Starten der Domäne bei.
   
   

Mithilfe von Bereitstellungstools, wie z. B. Windows System Image Manager, können Sie einen unbeaufsichtigten Domänenbeitritt während der Installation eines Betriebssystems ausführen, indem Sie Informationen, die für den Domänenbeitritt relevant sind, in einer Datei für unbeaufsichtigte Installation (Unattend.xml) bereitstellen. Mithilfe dieser Datei für unbeaufsichtigte Installation (Unattend.xml) können Sie die Informationen bereitstellen, die von Computern unter Windows 7 und Windows Server 2008 R2 zur Ausführung eines Offline-Domänenbeitritts benötigt werden.

Die Datei für unbeaufsichtigte Installation (Unattend.xml) für Windows 7 und Windows Server 2008 R2 enthält einen neuen Abschnitt zur Unterstützung von Offline-Domänenbeitritten.

Sie können Djoin.exe nur auf Computern unter Windows 7 oder Windows Server 2008 R2 ausführen. Auf dem Computer, auf dem Sie Djoin.exe zur Bereitstellung von Computerkontodaten in den Active Directory-Domänendiensten ausführen, muss Windows 7 oder Windows Server 2008 R2 ausgeführt werden. Auf dem Computer, der der Domäne beitreten soll, muss ebenfalls Windows 7 oder Windows Server 2008 R2 ausgeführt werden.

Standardmäßig richten sich die Djoin.exe-Befehle an einen Domänencontroller, auf dem Windows Server 2008 R2 ausgeführt wird. Sie können jedoch einen optionalen Parameter /downlevel angeben, wenn das Ziel ein Domänencontroller unter einer Windows Server-Version sein soll, die älter als Windows Server 2008 R2 ist.

Für die Ausführung eines Offline-Domänenbeitritts benötigen Sie die Rechte, die zum Hinzufügen von Arbeitsstationen zur Domäne erforderlich sind. Mitglieder der Gruppe Domänen-Admins verfügen standardmäßig über diese Rechte. Wenn Sie nicht Mitglied der Gruppe Domänen-Admins sind, muss ein Mitglied der Gruppe Domänen-Admins eine der folgenden Aktionen ausführen, damit Sie Arbeitsstationen zur Domäne hinzufügen können:

• Ihnen mittels Gruppenrichtlinien die erforderlichen Benutzerrechte erteilen. Bei dieser Methode können Sie Computer im Standardcontainer Computer und in allen später erstellten Organisationseinheiten erstellen (sofern keine Zugriffssteuerungseinträge (Access Control Entries, ACEs) des Typs Verweigern hinzugefügt wurden).
  
  
• Die Zugriffssteuerungsliste (Access Control List, ACL) des Standardcontainers Computer für die Domäne bearbeiten und die entsprechenden Berechtigungen an Sie delegieren.
  
  
• Eine Organisationseinheit erstellen und Ihnen über die Zugriffssteuerungsliste die Berechtigung Untergeordnetes Objekt erstellen – Zulassen erteilen. Den Parameter /machineOU an den Befehl djoin /provision übergeben.
  
  

In den folgenden Verfahren wird beschrieben, wie mit Gruppenrichtlinien Benutzerrechte erteilt und wie die nötigen Berechtigungen delegiert werden.

Erteilen der Benutzerrechte zum Hinzufügen von Arbeitsstationen zu einer Domäne

Delegieren der Berechtigungen zum Hinzufügen von Arbeitsstationen zu einer Domäne

In diesem Abschnitt wird die Syntax für Djoin.exe beschrieben.

djoin /provision /domain <domain_name> /machine <destination computer> /savefile <filename.txt> [/machineou <OU name>] [/dcname <name of domain controller>] [/reuse] [/downlevel] [/defpwd] [/nosearch] [/printblob]

djoin /requestodj /loadfile <filename.txt> /windowspath <path to the Windows directory of the offline image> /localos

Wenn Sie mit Hyper-V einen Offline-Domänenbeitritt ausführen möchten, erstellen Sie die folgenden virtuellen Computer:

• VM1: Ein Domänencontroller, auf dem Windows Server 2008 R2 ausgeführt wird.
  
  
• VM2: Ein Computer unter Windows 7 oder Windows Server 2008 R2, der einer Domäne angehört. Dieser Computer fungiert als Bereitstellungsserver, auf dem Sie den Befehl djoin /provision ausführen können. Alternativ können Sie diese Schritte auch ohne diesen virtuellen Computer ausführen, indem Sie den Befehl djoin /provision auf dem Domänencontroller (VM1) ausführen. VM2 wird hier zusätzlich angegeben, um die Bereitstellung von Computern in Produktionsumgebungen praxisnah zu erläutern, denn normalerweise wird ein Computer, der einer Domäne angehört, als Bereitstellungsserver verwendet.
  
  
• VM3: Ein Computer unter Windows 7 oder Windows Server 2008 R2, der der Domäne beitreten soll.
  
  

Hinweis

Verwenden Sie für diese virtuellen Computer keine differenzierenden Datenträger derselben übergeordneten virtuellen Festplatte (Virtual Hard Disk, VHD). Die differenzierenden Datenträger starten nicht richtig, nachdem Sie die für einen Offline-Domänenbeitritt erforderlichen Schritte ausgeführt haben. Verwenden Sie auch keine Kopien derselben virtuellen Festplatte, denn in diesem Fall wird ein virtueller Computer deaktiviert, sobald Sie versuchen, ihn von dem anderen virtuellen Computer aus bereitzustellen.

Führen Sie für einen Offline-Domänenbeitritt die folgenden Schritte aus:

1. Melden Sie sich an VM2 als ein Benutzer an, der über die Rechte verfügt, Arbeitsstationen zu einer Domäne hinzuzufügen.
   
   
2. Geben Sie zur Bereitstellung des Zielcomputers den folgenden Befehl ein:
   
   
   Kopieren

   djoin /provision /domain <domain to be joined> /machine <name of the destination computer> /savefile <filename.txt>
   

   Sicherheit Hinweis

   Der mit dem Bereitstellungsbefehl erstellte Base64-codierte Metadaten-BLOB enthält äußerst sensible Daten. Die Datei sollte so sicher wie ein Klartextkennwort aufbewahrt werden. Sie enthält das Kennwort für das Computerkonto und weitere Informationen über die Domäne, wie den Domänennamen, den Namen eines Domänencontrollers, die Sicherheits-ID (SID) der Domäne usw. Wenn die Datei physisch oder über das Netzwerk transportiert wird, muss die Sicherheit jederzeit gewährleistet sein.

3. Fahren Sie VM3 und VM2 herunter, und stellen Sie dann VM3 von VM2 aus bereit.
   
   Klicken Sie dazu in Hyper-V mit der rechten Maustaste auf VM2, und klicken Sie dann auf Einstellungen. Klicken Sie auf IDE-Controller und dann auf Hinzufügen. Wählen Sie Datei für virtuelle Festplatte (VHD) aus, klicken Sie auf Durchsuchen, und navigieren Sie zum Speicherort der VHD-Datei für VM3. Klicken Sie auf Öffnen und dann auf OK.
   
   
4. Starten Sie VM2 neu, und suchen Sie dann in Windows Explorer das Laufwerk, auf dem VM3 bereitgestellt ist. Geben Sie an einer Eingabeaufforderung mit erhöhten Rechten den folgenden Befehl ein, um die Daten für den Offline-Domänenbeitritt anzufordern:
   
   
   Kopieren

   djoin /requestODJ /loadfile <filename.txt> /windowspath <path to Windows directory of the offline image>
   

5. Fahren Sie VM2 herunter, und heben Sie die Bereitstellung von VM3 auf VM2 auf. Klicken Sie dazu in Hyper-V mit der rechten Maustaste auf VM2, und klicken Sie dann auf Einstellungen. Klicken Sie auf den IDE-Controller (Integrated Device Electronics), der VM3 entspricht, und dann auf Entfernen.
   
   
6. Starten Sie VM3. Der Computer tritt nach dem Start der Domäne bei.
   
   

Wenn es beim Ausführen der Djoin.exe-Befehle zu Problemen kommt, finden Sie weitere Informationen in der Protokolldatei zu VM2 unter %windir%\debug\netsetup.log.

Führen Sie die folgenden Schritte aus, um einen Offline-Domänenbeitritt mit physischen Computern auszuführen. In diesem Fall empfiehlt es sich, mit einem Domänencontroller, einem einer Domäne angehörenden Computer als Bereitstellungsserver und einem Clientcomputer, der der Domäne beitreten soll, zu arbeiten.

1. Öffnen Sie auf dem Bereitstellungsserver eine Eingabeaufforderung mit erhöhten Rechten. Klicken Sie zum Öffnen eines Eingabeaufforderungsfensters mit erhöhten Rechten auf Start, zeigen Sie auf Alle Programme, klicken Sie auf Zubehör, klicken Sie mit der rechten Maustaste auf Eingabeaufforderung, und klicken Sie dann auf Als Administrator ausführen.
   
   
2. Geben Sie zur Bereitstellung des Computerkontos den folgenden Befehl ein:
   
   
   Kopieren

   djoin /provision /domain <domain to be joined> /machine <name of the destination computer> /savefile blob.txt
   

3. Kopieren Sie die Datei blob.txt auf den Clientcomputer.
   
   
4. Öffnen Sie auf dem Clientcomputer eine Eingabeaufforderung mit erhöhten Rechten, und geben Sie den folgenden Befehl ein, um den Domänenbeitritt anzufordern:
   
   
   Kopieren

   djoin /requestODJ /loadfile blob.txt /windowspath %SystemRoot% /localos
   

   Vorsicht
   Auf einem Domänencomputer können Sie diesen Befehl nicht mit dem Parameter /localos ausführen.

5. Starten Sie den Clientcomputer neu. Der Computer tritt der Domäne bei.
   
   

Wenn Sie während einer Betriebssysteminstallation einen Offline-Domänenbeitritt ausführen möchten, müssen Sie zunächst Djoin.exe ausführen, um die Computerkonto-Metadaten bereitzustellen. Danach erstellen Sie eine Datei Unattend.xml mit einem neuen Abschnitt für die Daten für den Offline-Domänenbeitritt. In den neuen Abschnitt können die Computerkonto-Metadaten eingefügt werden.

Der Komponentenname für den neuen Abschnitt lautet Microsoft-Windows-UnattendJoin/Identification/Provisioning. Der Abschnitt weist die folgende Struktur auf:

• <Component>
  
  
• <Component name=Microsoft-Windows-UnattendedJoin>
  
  
•      <Identification>
  
  
•           <Provisioning>
  
  
•                <AccountData>Base64-codierter BLOB</AccountData>
  
  
•           </Provisioning>
  
  
•      </Identification>
  
  
• </Component>
  
  

Die Computerkonto-Metadaten müssen zwischen den Tags <AccountData> und </AccountData> eingefügt werden. Nachdem Sie die Datei Unattend.xml erstellt haben, starten Sie den Computer, der der Domäne beitreten soll, im abgesicherten Modus neu. Oder starten Sie den Computer in Windows Preinstallation Environment (Windows PE), und führen Sie dann wie im folgenden Beispiel dargestellt den Befehl setup mit einer Antwortdatei aus:

setup /unattend:<answer_file_path>