Active Directory Schema synchronisieren

Kürzlich wollte ich eine Active-Directory Test-Domäne erstellen. Diese sollte den identischen Inhalt einer bestehenden Domäne haben.

Dabei stößt man schnell auf folgendes Problem:
Wie kann ich sicherstellen, dass mein Test-Directory dasselbe LDAP-Schema wie die Referenz-Domäne hat?

Mit Bordmitteln lässt sich das AD Schema synchronisieren, bzw. exportieren und importieren.

Hierbei ist ein Tool sehr hilfreich, das Bestandteil der Server-Rolle  AD-LDS ( früher ADAM ) ist.
Wenn diese Rolle installiert ist, findet man im Ordner C:\Windows\ADAM ein Programm mit dem Namen: ADSchemaAnalyzer.exe
Damit lassen sich AD Schemen exportieren und importieren.

AD Schema als Kopie von Produktiv-Domäne einrichten

Mit dem Tool ADSchemaAnalyzer kann ich die Schema-Differenz zwischen zwei LDAP-Directories (AD-DS / AD-LDS) ermitteln und in eine LDIF-Datei exportieren.
Die LDIF-Datei wird dann mit dem Tool ldifde.exe in das Zielverzeichnis importiert.
ldifde.exe ist ein Kommandozeilen-Tool und auf jedem Domain-Controller vorhanden.

Einführung ADSchemaAnalyzer

Etwas irreführend können die verwendeten Begriffe sein.
Ich möchte diese kurz erklären:

Tutorial LDAP Schema synchronisieren und einrichten

1. ADSchemaAnalyzer starten

   
   

    

2. Das Schema des Target-Verzeichnisses laden

   File->Load target schema…
   Benutzername, Kennwort und Domäne eintragen
   Mit OK bestätigen

   

   Das Ergebnis könnte so aussehen:

   

    

3. Das Schema des Test-Verzeichnisses laden
   File->Load base schema…
   Nach erfolgreicher Eingabe der Verbindungsangaben zum Test-Verzeichnis wird die Schema-Differenz ermittelt.

    

   
   Das Tool zeigt nun alle Klassen und Attribute mit deren Status an.

   Mit der Option Schema->Hide present elements lassen sich im Ziel bereits vorhandenen Einträge ausblenden.
   Danach kann man manuell die gewünschte Klassen oder Attribute auswählen.
   Alternativ können mit Schema->Mark all non-present elemts as included alle fehlenden hinzufügt werden.
    

4. Danach kann per File->Create LDIF file.. die LDIF-Import Datei erstellt werden.
    

Beispiel-Datei (gekürzt):

Diese Datei enthält im Kopf bereits den Kommandozeilenaufruf für Ldifde:

ldifde -i -u -f Fa-Schema.ldf -s Server-Name  -j . -c „cn=Configuration,dc=X“ #configurationNamingContext

Wichtig ist hierbei, dass der Zielserver die AD-Rolle “Schema-Master” besitzt und der ausführende Benutzer Schema-Administrator (Gruppe Schema-Admins) ist.

Achtung:

Änderungen am AD-Schema können nicht rückgängig gemacht werden! Alle Aktionen sorgfältig prüfen!
Der Autor übernimmt keinerlei Haftung für Datenverlust, unerwünschte Nebeneffekte oder sonstige Garantien. Das Risiko trägt der Anwender.