Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# DNS `_msdcs` Zonenmodernisierung
<a name="hybrid_directory_msdcs"></a>

Die Modernisierung einer `_msdcs` DNS-Zone ist eine zwingende Voraussetzung für die Erstellung eines Hybrid-AD-Verzeichnisses. In modernen Active Directory-Umgebungen `_msdcs.<ForestRoot>` wird es als separate, gesamtstrukturweite replizierte Zone erstellt, die in der Anwendungspartition gespeichert wird. ForestDnsZones In älteren Umgebungen, die ursprünglich auf Windows NT 4.0 oder Windows 2000 basieren (und später aktualisiert) wurden, `_msdcs` wurde sie nie getrennt. Sie existiert lediglich als Standardunterdomäne (Unterordner) direkt in der Zonendatei der übergeordneten Domäne.

Wenn ein neuer Domänencontroller mit installiertem DNS beworben wird, sucht der Installationsvorgang nach der dedizierten `_msdcs.<ForestRoot>` Anwendungspartition. Da es keine eigenständige Zone findet, erstellt es automatisch lokal eine neue, leere `_msdcs` Zone und beansprucht die Autorität für diesen Namespace. Dadurch wird der neue Domänencontroller vollständig daran gehindert, die alten Subdomäneneinträge in der übergeordneten Zone zu lesen, und die NS-Delegierung wird aktualisiert, sodass sie auf sich selbst verweist.

Das Ergebnis ist ein architektonischer Konflikt. Alle in eine Domäne eingebundenen Clients werden jetzt an einen Domänencontroller verwiesen, der eine leere `_msdcs` Zone hat, während die eigentlichen DC-Locator-Einträge (`_ldap._tcp.dc._msdcs`,, Global Catalog Records`_kerberos._tcp.dc._msdcs`, DC GUID CNAMes) weiterhin in der Subdomäne der alten übergeordneten Zone gespeichert sind, wo kein Client sie erreichen kann. Dadurch werden die Kerberos-Authentifizierung, die LDAP-Erkennung und der standortbezogene DC-Standort in der gesamten Gesamtstruktur unterbrochen.

## `Legacy-Zonendesign im Vergleich zu modernem _msdcs-Zonendesign`
<a name="hybrid_directory_msdcs_legacy_vs_modern"></a>

Legacy (delegierte Subdomain)  
Standard in Windows Server 2000, 2003, 2008 und 2008 R2. In diesem Design `_msdcs` existiert sie als delegierte Unterdomäne unter der übergeordneten Zone. NS-Einträge in der übergeordneten Zone verweisen auf bestimmte DCs als autorisierend für den Namespace. `_msdcs`

Modern (eigenständige Zone)  
Standard in Windows Server 2012 und höher. In diesem Design `_msdcs.<forest>` existiert es als eigene AD-integrated Zone, die über die ForestDnsZones Anwendungspartition auf alle DCs in der Gesamtstruktur repliziert wird. Alle DCs sind autorisierend und können direkt aufzeichnen. read/write 

## Wie identifiziert man das Zonendesign von `_msdcs`
<a name="hybrid_directory_msdcs_identify"></a>

Sie können Ihr `_msdcs` Zonendesign identifizieren, indem Sie auf einem beliebigen Domänencontroller Folgendes ausführen:

1. **Listet alle DNS-Zonen auf und sucht nach`_msdcs`:**

   ```
   Get-DnsServerZone | Where-Object { $_.ZoneName -like "*_msdcs*" }
   ```

   **Modernes Design (keine Aktion erforderlich)** — Sie werden Folgendes als primäre Zone `_msdcs.<forest-name>` aufgeführt sehen:

   ```
   ZoneName                          ZoneType   IsAutoCreated  IsDsIntegrated  IsReverseLookupZone  IsSigned
   --------                          --------   -------------  --------------  -------------------  --------
   _msdcs.premier.local              Primary    False          True            False                False
   ```

   **Legacy-Design (Konvertierung erforderlich)** — `_msdcs.<forest-name>` wird NICHT in der Zonenliste angezeigt. Stattdessen `_msdcs` existiert sie nur als delegierte Subdomain unter Ihrer Waldzone. Sie können dies überprüfen, indem Sie nach den DNS-Datensätzen für die Delegierung suchen:

   ```
   Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS
   ```

   Wenn dadurch NS-Einträge zurückgegeben werden, verwendet Ihre Umgebung das Legacy-Design für delegierte Subdomänen.

1. **Zusätzliche Validierung — Bestätigen Sie den Zonentyp:**

   ```
   # This will succeed on modern design
   Get-DnsServerZone -Name "_msdcs.<forest-name>"
   
   # If you get an error like "Zone _msdcs.<forest-name> was not found", you have the legacy design
   ```

## Wie modernisiert man die DNS `_msdcs` Zone
<a name="hybrid_directory_msdcs_modernize"></a>

Diese Schritte müssen ausgeführt werden, bevor mit der Erstellung des AWS Managed Microsoft AD Hybrid-Verzeichnisses begonnen wird. Alle Schritte werden auf vorhandenen selbstverwalteten Domänencontrollern mit DNS-Manager-Zugriff mit Domänenadministrator und DnsAdmins Berechtigungen ausgeführt.

1. **Erstellen Sie die eigenständige Zone `_msdcs`**

   Auf einem vorhandenen selbstverwalteten Domänencontroller:

   ```
   dnscmd localhost /ZoneAdd "_msdcs.<forest-name>" /DsPrimary /dp /forest
   ```

   `_msdcs.<forest-name>`Dadurch wird eine dedizierte AD-integrated Zone mit Forest-wide Replikationsbereich erstellt. Alle DCs in der Gesamtstruktur erhalten über die ForestDnsZones Partition eine Kopie.

   Warten Sie, bis sich die AD-Replikation verbreitet hat:

   ```
   repadmin /syncall /AeD
   ```

   Stellen Sie sicher, dass die Zone existiert (auf mehreren DCs ausgeführt):

   ```
   Get-DnsServerZone -Name "_msdcs.<forest-name>"
   ```

1. **Entfernen Sie die alte Delegierung aus der übergeordneten Zone**

   Der alte `_msdcs` Subdomänenknoten und seine Datensätze sind immer noch in der übergeordneten Zone vorhanden. Diese müssen entfernt werden, damit DNS-Abfragen ausschließlich von der neuen Standalone-Zone aus bedient werden.

   ```
   # Remove the _msdcs subtree (NS delegation + all child records) from the parent zone
   dnscmd localhost /NodeDelete <forest-name> _msdcs /tree /f
   ```
**Wichtig**  
Führen Sie diesen Schritt erst aus, nachdem Sie in Schritt 1 bestätigt haben, dass die Standalone-Zone erfolgreich erstellt wurde. Wenn Sie Schritt 1 überspringen, führt das Löschen der alten Datensätze zu einem sofortigen Ausfall.

1. **Zwingen Sie alle DCs, SRV-Datensätze erneut zu registrieren**

   Nachdem die alte Subdomain entfernt wurde und die neue Standalone-Zone eingerichtet ist, müssen alle DCs ihre Locator-Einträge erneut in der neuen Zone registrieren.

   Führen Sie auf jedem lokalen Domänencontroller Folgendes aus:

   ```
   # Flush DNS cache
   ipconfig /flushdns
   
   # Restart Netlogon — this triggers re-registration of all SRV, CNAME, and A records
   net stop netlogon
   net start netlogon
   
   # Force host record registration
   ipconfig /registerdns
   ```

1. **Verify**

   Warten Sie 5—10 Minuten auf die Replikation und überprüfen Sie dann:

   Bestätigen Sie, dass die Datensätze in der neuen Standalone-Zone aufgefüllt wurden:

   ```
   Get-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -RRType SRV
   ```

   Sie sollten`_ldap._tcp.dc`, `_kerberos._tcp.dc``_ldap._tcp.gc`, und standortspezifische Datensätze für alle lokalen DCs sehen.

   Stellen Sie sicher, dass die DNS-Auflösung durchgängig funktioniert:

   ```
   Resolve-DnsName "_ldap._tcp.dc._msdcs.<forest-name>" -Type SRV
   Resolve-DnsName "_kerberos._tcp.dc._msdcs.<forest-name>" -Type SRV
   ```

   Alle lokalen DCs sollten in den Ergebnissen erscheinen.

   Vergewissern Sie sich, dass die alte Delegierung die übergeordnete Zone verlassen hat:

   ```
   Get-DnsServerResourceRecord -ZoneName "<forest-name>" -Name "_msdcs" -RRType NS -ErrorAction SilentlyContinue
   ```

   Dies sollte nichts zurückgeben.

   Weitere Informationen zur Modernisierung von `_msdcs` DNS-Zonen finden Sie unter [How To Split and Migrieren von DNS-Datensätzen für untergeordnete Domänen in eine dedizierte DNS-Zone](https://techcommunity.microsoft.com/blog/coreinfrastructureandsecurityblog/how-to-split-and-migrate-child-domain-dns-records-to-a-dedicated-dns-zone/255534) auf der Microsoft Core Infrastructure and Security Blog-Website.

## Fehlerbehebung
<a name="hybrid_directory_msdcs_troubleshooting"></a>

Wenn die neue eigenständige Zone nach Schritt 3 leer bleibt:

Netlogon registriert sich möglicherweise nicht erneut, wenn es glaubt, dass bereits Datensätze vorhanden sind. Eine saubere Neuregistrierung erzwingen:

```
# Delete the Netlogon DNS registration cache
Remove-Item "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\DnsAvoidRegisterRecords" -ErrorAction SilentlyContinue

# Restart Netlogon again
net stop netlogon
net start netlogon
```

Wenn Datensätze immer noch nicht angezeigt werden, erstellen Sie die kritischen Datensätze manuell mit den Werten aus der alten übergeordneten Zone (verfügbar im Backup oder in anderen DCs, die sie zwischengespeichert haben):

```
# Example: SRV record for LDAP DC locator
Add-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -Name "_ldap._tcp.dc" -Srv -DomainName "dc1.<forest-name>" -Priority 0 -Weight 100 -Port 389

# Example: SRV record for Kerberos DC locator
Add-DnsServerResourceRecord -ZoneName "_msdcs.<forest-name>" -Name "_kerberos._tcp.dc" -Srv -DomainName "dc1.<forest-name>" -Priority 0 -Weight 100 -Port 88
```

Falls Anwendungen nach der Konvertierung immer noch fehlschlagen:

Löschen Sie die DNS-Caches auf den betroffenen Anwendungsservern und Client-Computern:

```
ipconfig /flushdns
```

Negative DNS-Cacheeinträge (aus der Ausfallzeit) können bis zu 900 Sekunden (15 Minuten) bestehen bleiben, bevor sie ablaufen.