# Betriebs-Lab: Diagnostik mit Logs, Repadmin und GPO-Ergebnissen

> Störungen systematisch eingrenzen: zuerst Signal und Grenze bestimmen, dann DNS, Replikation, Ereignisse und GPO-Ergebnisse prüfen statt auf Verdacht zu ändern.

Track: [Active Directory](https://physar.tech/learn/active-directory)  
Kanonische Fassung: https://physar.tech/learn/active-directory/operations-diagnostics  
Stand: 2026-07-29  
Interaktiver Teil: 5 Checks (nur im Browser)

## Betriebs-Lab: aus einem Symptom einen überprüfbaren Befund machen

### Die Diagnosekette

Symptom und betroffene Grenze beschreiben → Nicht-invasive Signale sammeln → DNS, Zeit, Authentifizierung und Replikation trennen → **Hypothese gegen Log- oder Toolausgabe prüfen** → Begrenzte Korrektur mit Rückweg durchführen → Wirkung und Nebenwirkung erneut messen

AD-Störungen haben oft ähnliche Symptome. Eine langsame Anmeldung kann beispielsweise DNS, Standortzuordnung, GPO, Replikation oder ein entferntes Profil betreffen. Ein guter Operator verändert deshalb nicht zuerst die Umgebung, sondern grenzt die Fehlerklasse ein.

### Werkzeuge und ihre Aussagegrenze

|  |  |
| --- | --- |
| `repadmin` | zeigt Replikationszustand und Fehler, beweist aber nicht allein die Geschäftswirkung |
| `dcdiag` | prüft Domain-Controller-Tests, ersetzt aber keine Ursachenanalyse |
| Ereignisprotokolle | liefern Zeit, Fehlercode und Kontext für eine Hypothese |
| `gpresult` | zeigt die wirksame GPO-Sicht eines konkreten Clients oder Benutzers |

> **Sicherheitsregel:** Führe keine erzwungene Replikation, keine FSMO-Übernahme, keinen Reset und keine Berechtigungsweitung aus, bevor Befund, Ursache, Auswirkung und Freigabe klar sind. Im Lab darfst du die Beobachtung üben; in Produktion gilt der Change-Prozess.

### Lab-Auftrag

- Erzeuge nur eine kontrollierte Abweichung im Lab, etwa eine falsche DNS-Zuordnung auf CL01.
- Sichere die Ausgabe vor und nach der Korrektur.
- Schreibe für jeden Befund: Signal, Hypothese, Ausschluss und nächste Prüfung.
- Dokumentiere, warum ein scheinbar naheliegender Eingriff nicht nötig war.

## Quellen

- learn.microsoft.com/en-us/windows-server/ident…d-ds-troubleshooting — https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-ds-troubleshooting
- learn.microsoft.com/en-us/windows-server/ident…Replication-Problems — https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/troubleshoot/Troubleshooting-Active-Directory-Replication-Problems
- learn.microsoft.com/en-us/windows-server/ident…ontroller-deployment — https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/deploy/troubleshooting-domain-controller-deployment
- learn.microsoft.com/en-us/troubleshoot/windows…replication-guidance — https://learn.microsoft.com/en-us/troubleshoot/windows-server/active-directory/troubleshoot-adreplication-guidance
- learn.microsoft.com/en-us/troubleshoot/windows…-processing-failures — https://learn.microsoft.com/en-us/troubleshoot/windows-client/group-policy/diagnose-group-policy-processing-failures
- learn.microsoft.com/en-us/windows-server/ident…roup-policy-overview — https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/group-policy/group-policy-overview
- learn.microsoft.com/en-us/windows-server/ident…-domains--level-200- — https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/deploy/demoting-domain-controllers-and-domains--level-200-