Como migrar um controlador de domínio para o Windows Server 2025 (guia passo a passo)

Migrar um controlador de domínio significa colocar em funcionamento um novo DC Windows Server 2025 ao lado do existente, replicar o Active Directory para ele, transferir as cinco funções FSMO e, por fim, despromover o servidor antigo. Feita por esta ordem, a migração fica concluída sem tempo de inatividade do domínio e sem reconstruir o diretório.

Este guia percorre todo o processo: as verificações de estado que evitam a maioria das migrações falhadas, a promoção do novo DC, a transferência das funções FSMO por PowerShell e pela interface gráfica, as atualizações de DNS e DHCP, a despromoção segura do servidor antigo e a elevação do nível funcional que desbloqueia as funcionalidades do Windows Server 2025.

🔑 Precisa de uma licença para o novo servidor? Compre uma chave original do Windows Server 2025 Standard na LicenceHouse — entrega imediata, licença vitalícia.

O que envolve, na prática, a migração de um controlador de domínio?

A migração de um controlador de domínio é um processo lado a lado e não uma atualização no local. Adiciona um novo servidor ao domínio existente, promove-o a controlador de domínio para que o Active Directory seja replicado para ele, transfere as funções FSMO, redireciona o DNS e, por fim, despromove o DC antigo. O domínio mantém-se online durante todo o processo.

Há duas coisas que costumam surpreender os administradores habituados a migrações mais antigas. Primeiro, já não é necessário executar adprep /forestprep e /domainprep como passos manuais separados — a promoção do primeiro DC Windows Server 2025 através do Gestor de Servidores executa automaticamente a preparação do esquema, desde que a sua conta pertença aos grupos Schema Admins e Enterprise Admins.

Segundo, a atualização no local do sistema operativo de um DC de produção é tecnicamente possível, mas não é o caminho recomendado. Um servidor limpo com replicação dá-lhe um diretório comprovadamente saudável e uma reversão fácil: se algo correr mal antes da despromoção, o DC antigo continua lá, com tudo.

Comparação das abordagens de migração

O resto deste guia aborda o método lado a lado, por ser a abordagem recomendada pela Microsoft e a que se adequa tanto a ambientes com um único domínio como a pequenos ambientes com vários sites.

O que precisa antes de iniciar a migração?

Antes de promover o que quer que seja, confirme quatro coisas: os níveis funcionais atuais da floresta e do domínio cumprem o mínimo exigido pelo novo DC, o SYSVOL é replicado com DFSR e não com o FRS antigo, o Active Directory está saudável e sem erros de replicação, e tem uma cópia de segurança do estado do sistema do DC atual verificada.

Verificar os níveis funcionais

Um controlador de domínio Windows Server 2025 exige que a floresta e o domínio já estejam num nível funcional suportado. Execute o seguinte num DC existente:

Get-ADForest | Select-Object ForestMode
Get-ADDomain | Select-Object DomainMode

Se os seus níveis ainda estiverem em Windows Server 2008 R2 ou 2012 R2, eleve-os pelo menos para Windows Server 2016 antes de adicionar um DC 2025. A elevação do nível funcional é irreversível — não é possível baixá-lo depois sem um restauro da floresta, por isso confirme primeiro que não restam DCs antigos.

Confirmar que o SYSVOL utiliza DFSR e não FRS

Esta verificação, por si só, bloqueia mais migrações do que qualquer outra. O File Replication Service (FRS) foi descontinuado e removido das versões modernas do Windows Server. Se o seu domínio ainda replica o SYSVOL com FRS, um novo DC não consegue replicar corretamente os ficheiros de políticas e scripts.

dfsrmig /getglobalstate

A resposta deve indicar o estado "Eliminated". Se indicar "Start" ou "Prepared", conclua totalmente a migração de FRS para DFSR antes de continuar. Porque é que isto importa: os objetos de Política de Grupo residem no SYSVOL, pelo que uma replicação do SYSVOL avariada dá origem a um DC que autentica utilizadores mas falha silenciosamente na aplicação das políticas — uma avaria que muitas vezes só se manifesta semanas depois.

Executar uma verificação de estado

dcdiag /v
repadmin /replsummary
repadmin /showrepl

Resolva todos os erros e avisos antes de promover. Migrar com uma avaria de replicação já existente transporta essa avaria para o novo DC.

Fazer uma cópia de segurança

wbadmin start systemstatebackup -backupTarget:E: -quiet

Uma cópia de segurança do estado do sistema inclui o Active Directory, o SYSVOL e o registo. Guarde-a até a migração estar totalmente verificada e o DC antigo ter sido despromovido sem problemas.

Como promover o novo servidor a controlador de domínio?

Instale o Windows Server 2025, atribua-lhe um endereço IP estático, aponte o DNS preferido para o controlador de domínio existente, adicione-o ao domínio como servidor membro e, em seguida, adicione a função Serviços de Domínio do Active Directory e execute o assistente de promoção — escolhendo adicionar um DC ao domínio existente.

1. Instale e atualize o SO. Aplique todas as atualizações disponíveis antes de adicionar qualquer função.
2. Defina um IP estático. Os controladores de domínio nunca devem utilizar DHCP para o seu próprio endereço.
3. Defina o DNS preferido para o DC existente. O novo servidor tem de resolver o domínio para o encontrar. Irá alterar esta definição após a promoção.
4. Adicione-o ao domínio como servidor membro normal e reinicie.
5. Adicione a função AD DS: Gestor de Servidores → Gerir → Adicionar Funções e Funcionalidades → Serviços de Domínio do Active Directory. Adicione também a função Servidor DNS se os DCs existentes alojarem o DNS.
6. Promova: clique na bandeira de notificação do Gestor de Servidores → "Promover este servidor a controlador de domínio".
7. Selecione Adicionar um controlador de domínio a um domínio existente e introduza credenciais com direitos de Domain Admins (e também Schema Admins e Enterprise Admins para o primeiro DC 2025 da floresta).
8. Assinale Catálogo Global (GC) e Servidor DNS, defina uma palavra-passe DSRM e escolha replicar a partir de qualquer DC disponível.
9. Reveja a verificação de pré-requisitos e clique em Instalar. O servidor reinicia automaticamente.

A mesma sequência de promoção aplica-se quer esteja a migrar do Windows Server 2016, do 2019 ou do 2022. Apenas os pré-requisitos de nível funcional diferem.

Verificar a replicação antes de avançar

Dê tempo à replicação para terminar e, em seguida, confirme que o novo DC está saudável e tem uma cópia do diretório:

dcdiag /v
repadmin /showrepl
Get-ADDomainController -Filter * | Select-Object Name, Site, IsGlobalCatalog

Não transfira as funções FSMO até a replicação estar sem erros. Transferir funções para um DC que ainda não terminou a replicação é uma das poucas formas de danificar realmente um diretório durante a migração.

Como transferir as funções FSMO para o novo controlador de domínio?

Execute Move-ADDirectoryServerOperationMasterRole a partir do novo DC, com os números das cinco funções num único comando. Cada uma das cinco funções FSMO (Flexible Single Master Operations) — Schema Master, Domain Naming Master, RID Master, PDC Emulator e Infrastructure Master — só pode ser detida por um DC de cada vez.

Identificar os detentores atuais das funções

netdom query fsmo

Ou com PowerShell:

Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster

Transferir as cinco funções num único comando

Abra o PowerShell como Administrador no novo controlador de domínio e execute:

Move-ADDirectoryServerOperationMasterRole -Identity "NewDCName" -OperationMasterRole 0,1,2,3,4

Substitua NewDCName pelo nome de anfitrião do novo servidor. Os números correspondem ao seguinte: 0 = PDC Emulator, 1 = RID Master, 2 = Infrastructure Master, 3 = Schema Master, 4 = Domain Naming Master. Confirme cada pedido ou acrescente -Confirm:$false para os aceitar todos.

Verificar a transferência

netdom query fsmo
Get-ADDomainController -Filter * | Select-Object Name, OperationMasterRoles

As cinco funções devem agora indicar o novo servidor.

A alternativa pela interface gráfica

Se preferir as consolas, as funções encontram-se em três locais diferentes — e é precisamente por isso que o PowerShell é mais rápido:

• RID, PDC, Infrastructure: Utilizadores e Computadores do Active Directory → clique com o botão direito no domínio → Mestres de Operações
• Domain Naming Master: Domínios e Fidedignidades do Active Directory → clique com o botão direito na raiz → Mestre de Operações
• Schema Master: registe primeiro o snap-in com regsvr32 schmmgmt.dll e depois abra Esquema do Active Directory → clique com o botão direito → Mestre de Operações

Na interface gráfica, tem de ter sessão iniciada no DC de destino — a consola transfere a função para o servidor a que está ligado, e não para um que escolha numa lista.

Transferir versus apreender — uma distinção importante

Uma transferência é uma passagem ordenada entre dois DCs online e é o que pretende numa migração planeada. Uma apreensão (seize) atribui à força uma função quando o detentor atual está permanentemente offline e irrecuperável. Depois de apreender uma função, o antigo detentor nunca pode voltar a ser ligado à rede, porque dois DCs a reclamarem a mesma função causam inconsistências no diretório. Só apreenda uma função num cenário de falha real.

O que é preciso atualizar depois de mover as funções?

Atualize o DNS do novo DC para apontar para si próprio, altere os servidores DNS distribuídos pelo DHCP e verifique todos os dispositivos ou aplicações com o endereço de um DC configurado manualmente. Os clientes continuam a autenticar-se no DC que o DNS lhes indicar — por isso é o DNS, e não o Active Directory, que conclui efetivamente a transição.

1. No novo DC: defina o servidor DNS preferido para o seu próprio endereço IP, com um secundário a apontar para outro DC, se existir.
2. No DHCP: atualize a opção de âmbito 006 (Servidores DNS) para incluir o novo DC. É esta alteração que move a maioria dos seus clientes.
3. Verifique os reencaminhadores DNS e os reencaminhadores condicionais herdados do servidor antigo.
4. Audite as referências estáticas: firewalls, dispositivos NAS, impressoras, hipervisores, equipamentos VPN e servidores de aplicações de negócio têm muitas vezes o IP de um DC configurado manualmente, que nenhuma alteração no DHCP corrige.
5. Se o DC antigo alojava o DHCP, migre os âmbitos para o novo servidor antes da despromoção.

Teste a partir de um cliente: execute gpupdate /force, altere a palavra-passe de um utilizador de teste e confirme que a resolução de nomes funciona. Depois, execute nltest /dsgetdc:yourdomain.local para confirmar que DC está a ser utilizado pelo cliente.

Como despromover em segurança o controlador de domínio antigo?

Despromova o servidor antigo através do Gestor de Servidores, removendo a função Serviços de Domínio do Active Directory, o que inicia o assistente de despromoção. Nunca se limite a desligar o DC antigo nem a eliminar o respetivo objeto de computador — isso deixa metadados órfãos no diretório que têm de ser limpos manualmente mais tarde.

1. Confirme que o DC antigo já não detém nenhuma função FSMO (netdom query fsmo).
2. Deixe primeiro o novo DC a funcionar durante vários dias, para que qualquer dependência esquecida se manifeste enquanto o servidor antigo ainda está disponível como recurso.
3. No DC antigo: Gestor de Servidores → Gerir → Remover Funções e Funcionalidades → desmarque Serviços de Domínio do Active Directory.
4. O assistente de despromoção é iniciado. Não assinale "Forçar a remoção deste controlador de domínio", a menos que o servidor não consiga mesmo contactar o domínio.
5. Defina uma palavra-passe de Administrador local e conclua o assistente. O servidor reinicia como servidor membro.
6. Depois de despromovido, remova-o do domínio ou desative-o por completo.

Limpar os vestígios

Após a despromoção, confirme que o servidor antigo desapareceu de Sites e Serviços do Active Directory (expanda o site → Servers) e remova quaisquer registos DNS obsoletos — registos de anfitrião (A), de servidor de nomes (NS) e de serviço (SRV) em _msdcs. Os registos NS obsoletos são uma causa frequente de inícios de sessão lentos e intermitentes após uma migração de resto limpa, porque os clientes tentam periodicamente contactar um DC que já não existe.

Quando deve elevar o nível funcional?

Eleve o nível funcional do domínio e da floresta apenas depois de todos os controladores de domínio do ambiente estarem a executar o Windows Server 2025 e de os DCs antigos terem sido despromovidos. O nível funcional Windows Server 2025 desbloqueia funcionalidades como o tamanho de página de base de dados maior, de 32K, mas a alteração não pode ser revertida.

Set-ADDomainMode -Identity "yourdomain.local" -DomainMode Windows2025Domain
Set-ADForestMode -Identity "yourdomain.local" -ForestMode Windows2025Forest

Confirme que não restam DCs antigos antes de os executar e faça primeiro uma nova cópia de segurança do estado do sistema. Se tenciona adicionar no futuro algum DC mais antigo — por exemplo, um servidor 2019 numa filial — adie a elevação do nível, porque isso impedirá a promoção desse servidor.

Problemas comuns na migração e como resolvê-los

Perguntas frequentes

É possível migrar um controlador de domínio sem tempo de inatividade?

Sim. Como o novo DC replica o Active Directory a partir do existente enquanto ambos estão online, o domínio continua a autenticar utilizadores durante todo o processo. A única interrupção breve é o reinício de cada servidor, coberto pelos outros DCs. Os ambientes com um único DC devem agendar uma janela de manutenção para o passo da despromoção.

Ainda é preciso executar o adprep manualmente?

Não. A promoção do primeiro controlador de domínio Windows Server 2025 através do Gestor de Servidores prepara automaticamente o esquema da floresta e do domínio, desde que a conta que executa a promoção pertença aos grupos Schema Admins, Enterprise Admins e Domain Admins. O adprep manual continua disponível para os administradores que preferem executar a preparação do esquema como um passo separado e controlado.

Quanto tempo demora a migração de um controlador de domínio?

Num ambiente com um único domínio e um ou dois DCs, o trabalho técnico demora normalmente duas a quatro horas, a maior parte à espera da replicação e dos reinícios. O prazo realista é mais longo: deixe passar vários dias entre a promoção do novo DC e a despromoção do antigo, para que as dependências esquecidas se manifestem enquanto a reversão ainda é fácil.

É possível ter controladores de domínio com versões diferentes do Windows Server em simultâneo?

Sim, e é exatamente isso que torna a migração segura. Um DC Windows Server 2025 coexiste com DCs 2016, 2019 e 2022, desde que o nível funcional os suporte. No entanto, as versões mistas destinam-se a ser um estado de transição — e não uma solução permanente, porque o domínio fica limitado às capacidades do nível funcional mais antigo.

O que acontece se o controlador de domínio antigo falhar antes de transferir as funções FSMO?

Terá de apreender as funções para o novo DC em vez de as transferir, utilizando Move-ADDirectoryServerOperationMasterRole com o parâmetro -Force. O servidor avariado nunca poderá voltar a entrar na rede e os respetivos metadados têm de ser limpos com o ntdsutil. É por isso que uma cópia de segurança do estado do sistema verificada antes de começar não é opcional.

Que edição do Windows Server é necessária para um controlador de domínio?

A edição Standard é suficiente para os Serviços de Domínio do Active Directory na maioria dos ambientes. A edição Datacenter só compensa a diferença se precisar de licenciamento ilimitado de máquinas virtuais no mesmo anfitrião. Ambas as edições oferecem exatamente as mesmas funcionalidades AD DS.

Licenciar o novo servidor

Cada controlador de domínio precisa da sua própria licença do Windows Server, bem como de Licenças de Acesso de Cliente para os utilizadores ou dispositivos que se ligam a ele. A LicenceHouse fornece chaves originais com entrega imediata por email:

• Windows Server 2025 Standard — a escolha habitual para um novo controlador de domínio
• Windows Server 2025 Datacenter — para direitos de virtualização ilimitados
• Windows Server 2022 Standard — se preferir uniformizar no 2022
• CALs do Windows Server — Licenças de Acesso de Cliente por utilizador e por dispositivo
• Ver todas as licenças do Windows Server

Guias relacionados: Guia para transferir e ativar o Windows 11 Pro | Todos os guias de transferência e ativação