Een domeincontroller migreren naar Windows Server 2025 (stapsgewijze handleiding)

Een domeincontroller migreren betekent dat u naast uw bestaande DC een nieuwe Windows Server 2025-DC opzet, Active Directory daarnaar repliceert, de vijf FSMO-rollen overdraagt en daarna de oude server degradeert. Voert u de stappen in deze volgorde uit, dan verloopt de migratie zonder downtime van het domein en zonder dat u uw directory opnieuw hoeft op te bouwen.

Deze handleiding doorloopt het volledige proces: de statuscontroles die de meeste mislukte migraties voorkomen, het promoveren van de nieuwe DC, het overdragen van de FSMO-rollen via PowerShell en de grafische interface, het bijwerken van DNS en DHCP, het veilig degraderen van de oude server en het verhogen van het functionele niveau waarmee de functies van Windows Server 2025 beschikbaar komen.

🔑 Een licentie nodig voor de nieuwe server? Koop een originele Windows Server 2025 Standard-sleutel bij LicenceHouse — directe levering, eeuwigdurende licentie.

Wat houdt het migreren van een domeincontroller precies in?

Het migreren van een domeincontroller is een side-by-side-proces, geen in-place upgrade. U voegt een nieuwe server toe aan het bestaande domein, promoveert deze tot domeincontroller zodat Active Directory ernaar repliceert, verplaatst de FSMO-rollen, laat DNS naar de nieuwe server verwijzen en degradeert vervolgens de oude DC. Het domein blijft de hele tijd online.

Twee dingen verrassen beheerders die eerdere migraties gewend zijn vaak. Ten eerste voert u adprep /forestprep en /domainprep niet meer als afzonderlijke handmatige stappen uit: bij het promoveren van de eerste Windows Server 2025-DC via Serverbeheer wordt de schemavoorbereiding automatisch uitgevoerd, mits uw account lid is van Schema Admins en Enterprise Admins.

Ten tweede is een in-place upgrade van het besturingssysteem van een productie-DC technisch mogelijk, maar niet de aanbevolen route. Een schone server plus replicatie geeft u een directory waarvan u weet dat die in orde is, en een eenvoudige terugvaloptie: gaat er vóór de degradatie iets mis, dan staat de oude DC er nog met alles erop.

Migratiemethoden vergeleken

De rest van deze handleiding behandelt de side-by-side-methode, omdat Microsoft die aanbeveelt en deze zowel geschikt is voor omgevingen met één domein als voor kleine omgevingen met meerdere locaties.

Wat hebt u nodig voordat u met de migratie begint?

Controleer vóór het promoveren vier zaken: het huidige functionele niveau van forest en domein voldoet aan het minimum voor de nieuwe DC, SYSVOL repliceert via DFSR in plaats van het verouderde FRS, Active Directory is gezond zonder replicatiefouten, en u beschikt over een gecontroleerde back-up van de systeemstatus van de huidige DC.

Controleer uw functionele niveaus

Voor een Windows Server 2025-domeincontroller moeten forest en domein al op een ondersteund functioneel niveau staan. Voer dit uit op een bestaande DC:

Get-ADForest | Select-Object ForestMode
Get-ADDomain | Select-Object DomainMode

Staan uw niveaus nog op Windows Server 2008 R2 of 2012 R2, verhoog ze dan naar minimaal Windows Server 2016 voordat u een 2025-DC toevoegt. Het verhogen van het functionele niveau is onomkeerbaar — zonder een forestherstel kunt u het daarna niet meer verlagen. Controleer dus eerst of er geen oudere DC's meer over zijn.

Controleer of SYSVOL DFSR gebruikt en niet FRS

Deze ene controle blokkeert meer migraties dan welke andere ook. File Replication Service (FRS) is afgeschaft en verwijderd uit moderne releases van Windows Server. Repliceert uw domein SYSVOL nog via FRS, dan kan een nieuwe DC beleids- en scriptbestanden niet correct repliceren.

dfsrmig /getglobalstate

Het antwoord moet de status "Eliminated" melden. Meldt het "Start" of "Prepared", voltooi dan eerst volledig de migratie van FRS naar DFSR voordat u verdergaat. Waarom dit zo belangrijk is: Groepsbeleidsobjecten staan in SYSVOL. Een defecte SYSVOL-replicatie levert dus een DC op die gebruikers wel authenticeert, maar ongemerkt geen beleid toepast — een fout die vaak pas weken later aan het licht komt.

Voer een statuscontrole uit

dcdiag /v
repadmin /replsummary
repadmin /showrepl

Los elke fout en waarschuwing op voordat u promoveert. Migreert u bovenop een bestaande replicatiefout, dan neemt u die fout mee naar de nieuwe DC.

Maak een back-up

wbadmin start systemstatebackup -backupTarget:E: -quiet

Een back-up van de systeemstatus bevat Active Directory, SYSVOL en het register. Bewaar deze totdat de migratie volledig is gecontroleerd en de oude DC netjes is gedegradeerd.

Hoe promoveert u de nieuwe server tot domeincontroller?

Installeer Windows Server 2025, geef de server een statisch IP-adres, laat de voorkeurs-DNS-server naar uw bestaande domeincontroller verwijzen, voeg de server als lidserver toe aan het domein, voeg daarna de rol Active Directory Domain Services toe en voer de promotiewizard uit — waarbij u kiest voor het toevoegen van een DC aan uw bestaande domein.

1. Installeer het besturingssysteem en werk het bij. Installeer alle beschikbare updates voordat u rollen toevoegt.
2. Stel een statisch IP-adres in. Domeincontrollers mogen voor hun eigen adres nooit DHCP gebruiken.
3. Stel de voorkeurs-DNS-server in op uw bestaande DC. De nieuwe server moet het domein kunnen omzetten om het te vinden. Na de promotie wijzigt u dit.
4. Voeg de server toe aan het domein als gewone lidserver en start opnieuw op.
5. Voeg de AD DS-rol toe: Serverbeheer → Beheren → Functies en onderdelen toevoegen → Active Directory Domain Services. Voeg ook de rol DNS-server toe als uw bestaande DC's DNS hosten.
6. Promoveer: klik op de meldingsvlag in Serverbeheer → "Deze server promoveren naar een domeincontroller".
7. Selecteer Een domeincontroller toevoegen aan een bestaand domein en geef referenties op met Domain Admins-rechten (plus Schema Admins en Enterprise Admins voor de eerste 2025-DC in het forest).
8. Vink Globale catalogus (GC) en DNS-server aan, stel een DSRM-wachtwoord in en kies ervoor om te repliceren vanaf een willekeurige beschikbare DC.
9. Controleer de controle van de vereisten en klik op Installeren. De server start automatisch opnieuw op.

Dezelfde promotievolgorde geldt ongeacht of u overstapt vanaf Windows Server 2016, 2019 of 2022. Alleen de vereisten voor het functionele niveau verschillen.

Controleer de replicatie voordat u verdergaat

Geef de replicatie de tijd om te voltooien en controleer daarna of de nieuwe DC gezond is en een kopie van de directory bevat:

dcdiag /v
repadmin /showrepl
Get-ADDomainController -Filter * | Select-Object Name, Site, IsGlobalCatalog

Draag geen FSMO-rollen over totdat de replicatie foutloos is. Rollen overdragen naar een DC die nog niet klaar is met repliceren, is een van de weinige manieren om een directory tijdens de migratie echt te beschadigen.

Hoe draagt u FSMO-rollen over naar de nieuwe domeincontroller?

Voer vanaf de nieuwe DC Move-ADDirectoryServerOperationMasterRole uit met alle vijf rolnummers in één opdracht. De vijf Flexible Single Master Operations-rollen — Schema Master, Domain Naming Master, RID Master, PDC Emulator en Infrastructure Master — kunnen elk slechts door één DC tegelijk worden vervuld.

Bepaal wie de rollen nu vervult

netdom query fsmo

Of met PowerShell:

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

Alle vijf rollen in één opdracht overdragen

Open PowerShell als administrator op de nieuwe domeincontroller en voer uit:

Move-ADDirectoryServerOperationMasterRole -Identity "NewDCName" -OperationMasterRole 0,1,2,3,4

Vervang NewDCName door de hostnaam van uw nieuwe server. De nummers staan voor: 0 = PDC Emulator, 1 = RID Master, 2 = Infrastructure Master, 3 = Schema Master, 4 = Domain Naming Master. Bevestig elke prompt, of voeg -Confirm:$false toe om ze allemaal te accepteren.

De overdracht controleren

netdom query fsmo
Get-ADDomainController -Filter * | Select-Object Name, OperationMasterRoles

Bij alle vijf rollen moet nu de nieuwe server vermeld staan.

Het alternatief via de grafische interface

Werkt u liever met de consoles, dan vindt u de rollen op drie verschillende plekken — precies de reden waarom PowerShell sneller is:

• RID, PDC, Infrastructure: Active Directory - gebruikers en computers → klik met de rechtermuisknop op het domein → Operations Masters
• Domain Naming Master: Active Directory - domeinen en vertrouwensrelaties → klik met de rechtermuisknop op de root → Operations Master
• Schema Master: registreer eerst de module met regsvr32 schmmgmt.dll, open daarna Active Directory-schema → klik met de rechtermuisknop → Operations Master

In de grafische interface moet u zijn aangemeld op de doel-DC: de console draagt de rol over naar de server waarmee u verbonden bent, niet naar een server die u uit een lijst kiest.

Overdragen versus overnemen — een belangrijk onderscheid

Een overdracht is een gecontroleerde overdracht tussen twee online DC's en is wat u wilt bij een geplande migratie. Bij overname (seize) wordt een rol geforceerd toegewezen wanneer de huidige houder permanent offline en onherstelbaar is. Na het overnemen van een rol mag de oude houder nooit meer op het netwerk worden aangesloten, omdat twee DC's die aanspraak maken op dezelfde rol inconsistenties in de directory veroorzaken. Neem een rol alleen over bij een werkelijke storing.

Wat moet er worden bijgewerkt nadat de rollen zijn verplaatst?

Laat de DNS-instelling op de nieuwe DC naar zichzelf verwijzen, wijzig de DNS-servers die DHCP uitdeelt en controleer apparaten of toepassingen met een vastgelegd DC-adres. Clients blijven zich authenticeren bij de DC die DNS hun aanwijst — het is dus DNS, niet Active Directory, dat de overschakeling daadwerkelijk voltooit.

1. Op de nieuwe DC: stel de voorkeurs-DNS-server in op het eigen IP-adres, met een secundaire server die naar een andere DC verwijst als u die hebt.
2. In DHCP: werk scopeoptie 006 (DNS-servers) bij zodat de nieuwe DC wordt vermeld. Met deze wijziging verplaatst u het grootste deel van uw clients.
3. Controleer de DNS-doorstuurservers en voorwaardelijke doorstuurservers die van de oude server zijn overgenomen.
4. Controleer vaste verwijzingen: firewalls, NAS-apparaten, printers, hypervisors, VPN-apparaten en bedrijfsapplicatieservers bevatten vaak een vastgelegd DC-IP-adres dat geen enkele DHCP-wijziging oplost.
5. Draaide DHCP op de oude DC, migreer de scopes dan vóór de degradatie naar de nieuwe server.

Test vanaf een client: voer gpupdate /force uit, wijzig het wachtwoord van een testgebruiker en controleer of naamomzetting werkt. Voer daarna nltest /dsgetdc:yourdomain.local uit om te bevestigen welke DC de client gebruikt.

Hoe degradeert u de oude domeincontroller veilig?

Degradeer de oude server via Serverbeheer door de rol Active Directory Domain Services te verwijderen; daarmee start de degradatiewizard. Schakel de oude DC nooit gewoon uit en verwijder het computerobject niet — daardoor blijven verweesde metagegevens in de directory achter die u achteraf handmatig moet opschonen.

1. Controleer of de oude DC geen enkele FSMO-rol meer vervult (netdom query fsmo).
2. Laat de nieuwe DC eerst enkele dagen draaien, zodat een over het hoofd geziene afhankelijkheid aan het licht komt terwijl de oude server nog als terugvaloptie beschikbaar is.
3. Op de oude DC: Serverbeheer → Beheren → Functies en onderdelen verwijderen → schakel Active Directory Domain Services uit.
4. De degradatiewizard wordt gestart. Vink niet "Verwijdering van deze domeincontroller afdwingen" aan, tenzij de server werkelijk geen contact met het domein kan maken.
5. Stel een wachtwoord in voor de lokale Administrator en voltooi de wizard. De server start opnieuw op als lidserver.
6. Haal de server na de degradatie uit het domein of neem deze volledig uit gebruik.

De restanten opruimen

Controleer na de degradatie of de oude server is verdwenen uit Active Directory - sites en services (vouw de site uit → Servers) en verwijder verouderde DNS-records — host (A), naamserver (NS) en de servicerecords (SRV) onder _msdcs. Verouderde NS-records zijn een veelvoorkomende oorzaak van af en toe trage aanmeldingen na een verder vlekkeloze migratie, omdat clients periodiek proberen een DC te bereiken die niet meer bestaat.

Wanneer verhoogt u het functionele niveau?

Verhoog het functionele niveau van domein en forest pas als elke domeincontroller in de omgeving Windows Server 2025 draait en de oude DC's zijn gedegradeerd. Het functionele niveau van Windows Server 2025 ontgrendelt functies zoals de grotere databasepaginagrootte van 32K, maar de wijziging kan niet worden teruggedraaid.

Set-ADDomainMode -Identity "yourdomain.local" -DomainMode Windows2025Domain
Set-ADForestMode -Identity "yourdomain.local" -ForestMode Windows2025Forest

Controleer vóór het uitvoeren hiervan of er geen oudere DC's meer over zijn, en maak eerst een nieuwe back-up van de systeemstatus. Bent u van plan in de toekomst een oudere DC toe te voegen — bijvoorbeeld een 2019-server op een vestiging — wacht dan met het verhogen van het niveau, want daardoor kan die server niet meer worden gepromoveerd.

Veelvoorkomende migratieproblemen en hoe u ze oplost

Veelgestelde vragen

Kunt u een domeincontroller migreren zonder downtime?

Ja. Omdat de nieuwe DC Active Directory repliceert vanaf de bestaande DC terwijl beide online zijn, blijft het domein gedurende het hele proces gebruikers authenticeren. De enige korte onderbreking is het opnieuw opstarten van elke afzonderlijke server, wat door andere DC's wordt opgevangen. Omgevingen met één DC plannen het beste een onderhoudsvenster voor de degradatiestap.

Moet u adprep nog handmatig uitvoeren?

Nee. Bij het promoveren van de eerste Windows Server 2025-domeincontroller via Serverbeheer worden het forest- en domeinschema automatisch voorbereid, zolang het account dat de promotie uitvoert lid is van Schema Admins, Enterprise Admins en Domain Admins. Handmatige adprep blijft beschikbaar voor beheerders die de schemavoorbereiding liever als afzonderlijke, gecontroleerde stap uitvoeren.

Hoe lang duurt de migratie van een domeincontroller?

Voor een omgeving met één domein en één of twee DC's kost het technische werk doorgaans twee tot vier uur, waarvan het grootste deel wachten is op replicatie en herstarts. De realistische doorlooptijd is langer: reken op enkele dagen tussen het promoveren van de nieuwe DC en het degraderen van de oude, zodat over het hoofd geziene afhankelijkheden aan het licht komen terwijl terugdraaien nog eenvoudig is.

Kunt u verschillende versies van Windows Server tegelijk als domeincontroller gebruiken?

Ja, en dat is precies wat de migratie veilig maakt. Een Windows Server 2025-DC kan naast DC's met 2016, 2019 en 2022 bestaan, mits het functionele niveau die ondersteunt. Gemengde versies zijn echter bedoeld als overgangssituatie en niet als permanente oplossing, omdat het domein beperkt blijft tot de mogelijkheden van het oudste functionele niveau.

Wat gebeurt er als de oude domeincontroller uitvalt voordat u de FSMO-rollen hebt overgedragen?

Dan moet u de rollen op de nieuwe DC overnemen in plaats van overdragen, met Move-ADDirectoryServerOperationMasterRole en de parameter -Force. De defecte server mag daarna nooit meer op het netwerk komen en de metagegevens ervan moeten worden opgeschoond met ntdsutil. Daarom is een gecontroleerde back-up van de systeemstatus vóór de start niet optioneel.

Welke editie van Windows Server hebt u nodig voor een domeincontroller?

In de meeste omgevingen volstaat de Standard-editie voor Active Directory Domain Services. De Datacenter-editie is het verschil alleen waard als u op dezelfde host onbeperkte licenties voor virtuele machines nodig hebt. Beide edities bieden identieke AD DS-functionaliteit.

Een licentie voor de nieuwe server

Elke domeincontroller heeft een eigen Windows Server-licentie nodig, plus Client Access Licenses voor de gebruikers of apparaten die er verbinding mee maken. LicenceHouse levert originele sleutels met directe digitale levering per e-mail:

• Windows Server 2025 Standard — de gebruikelijke keuze voor een nieuwe domeincontroller
• Windows Server 2025 Datacenter — voor onbeperkte virtualisatierechten
• Windows Server 2022 Standard — als u in plaats daarvan op 2022 standaardiseert
• Windows Server CAL's — Client Access Licenses voor gebruikers en apparaten
• Bekijk alle Windows Server-licenties

Gerelateerde handleidingen: Handleiding Windows 11 Pro downloaden en activeren | Alle handleidingen voor downloaden en activeren