HOW TO INSTALL VSPHERE 5.5 CLIENT ON A DOMAIN CONTROLLER

I get really excited when a new version of software comes out because I’m anxious to try out all of the new features. While exploring vSphere 5.5 however, I noticed that there are some serious consequences to diving in head first. Whether it’s the incompatibility of vSphere 5.5 hardware version 10 with the vSphere thick client or trying to do simple things like install vSphere 5.5 client on a domain controller, VMware has really started sticking it to their fans who use their free products.

For example, note in this screen shot that “In vSphere 5.5, all new vSphere features are available only through the vSphere Web Client.” In other words, if you want to use the features we’ve released, pay us a ton of money and go buy vCenter Server. I’m completely befuddled by this response to their fans given Microsoft’s push to drive virtualization costs down by including the fairly full featured hypervisor in it’s server package.

Alas, I digress…

Installing vSphere 5.5 Client on a Domain Controller

I’m certainly not going to avoid using vSphere 5.5, but I if I’m going to use it, I really needed to be able to install vSphere on a Domain Controller. If youdownload the vSphere 5.5 client and launch it on a domain controller, you get the following message.

I started doing some research and it turns out that getting the vSphere 5.5 client installed on a domain controller is as simple as launching the installer from the CLI with a simple flag on the end.

VMware-viclient-5.5.exe /VSKIP_OS_CHECKS="1"

Launching it this way causes the client to disregard the fact that it’s installing on a domain controller.

Rumor has it that this way of disuading people from installing vSphere client on a domain controller is actually a result of Microsoft’s best practices given the following statement reportedly from VMware directly.

“We did this deliberately to enforce a Microsoft standard that our guys agree with – don’t install software on a DC, but they made that decision in isolation. Nothing more than that. So use the workaround safely and hopefully we can undo this in the future.”

In any case, I’ve done it in a production environment without any issues whatsoever and feel comfortable recommending that others do so as well, just like you’ve likely done in the past. Enjoy, and as always, let me know if this helped you. Thanks! 

Hyper-V, Domain Controller und die Zeit

Server Virtualisierung ist hoch im Kurs und auch Domain Controller werden inzwischen fleissig virtualisiert. Wer allerdings einen Domain Controller als Virtual Machine betreibt, sollte besonderes Augenmerk auf die korrekte Zeitsynchronisation legen. Grundsätzlich sollte dies kein Problem darstellen, denn…

… jeder Active Directory Client synchronisiert seine Zeit mit einem Domain Controller
… jeder Domain Controller gleicht seine Zeit mit dem PDC Emulator (Primary Domain Controller Emulator) FSMO Rolle ab.
… der Domain Controller mit der PDC Emulator FSMO Rolle kann die Zeit mit einer externen Zeitquelle abgleichen.

Was wenn die Zeit “falsch” ist? Doch “falsch” ist nicht gleich “falsch” – Haben alle Active Directory Clients die gleiche falsche Uhrzeit konfiguriert, so funktioniert die Authentifizierung nach wie vor. Doch wird nur bei einzelnen Computer oder Domain Controller eine falsche Uhrzeit konfiguriert, kann dies zu grossen Problemen führen. Denn bereits eine Abweichung von fünf (5) Minuten reicht aus, damit die Kerberos-Tickets ihre Gültigkeit verlieren.

Dead on arrival?

Seit Windows Server 2008 wird kein Microsoft Zeitserver (time.windows.com) mehr vorkonfiguriert. Dies bedeutet dass auch kein automatischer Abgleich mehr erfolgt. Auf diesen Umstand wird nun im Active Directory Best Practices Analyzer von Windows Server 2008 R2 entsprechend hingewiesen:

The PDC emulator master srv-dc01.intra.server-talk.eu in this forest should be configured to correctly synchronize time from a valid time source

Diesen Fehler gilt es nun zunächst zu korrigieren, doch auch funktioniert das cmdlet net time nicht mehr wie früher. Eine Möglichkeit für Windows Server 2008 R2 wäre folgender Befehl. Dieser kann in einem Command Prompt als Administrator ausgeführt werden: w32tm /config /computer:srv-dc01.intra.server-talk.eu /manualpeerlist:ntp.metas.ch /syncfromflags:manual /update

In diesem Beispiel wird der NTP Server von METAS verwendet. METAS  ist das nationale Metrologieinstitut der Schweizerischen Eidgenossenschaft. Der Abgleich mit dem Zeitserver im Internet erfolgt jeweils mittels UDP 123. Dieser Port muss auch entsprechend auf der Firewall geöffnet werden, damit der Domain Controller mit dem Internet kommunizieren kann.

Do’s and Dont’s – was man vermeiden sollte

In einer Infrastruktur wo Domain Controller virtuell betrieben werden gilt es zudem noch weitere Punkte zu beachten:

Auch ein Hypervisor aktualisiert die Zeit seiner Guests. Um Probleme zwischen Hyper-V Host und Virtual Machines zu verhindern, muss bei den Domain Controller in den Integration Components, VMware oder Xen Tools die Zeit Synchronisation deaktiviert werden.

Eine Virtual Machine muss immer heruntergefahren (Shutdown) und darf nie pausiert werden. Da bei einer Pause Zeit / Datum nicht verändert werden, kann unter Umstände nicht mehr repliziert werden und es können veraltete Objekte (Lingering Objects) entstehen.

Für einen Domain Controller sind Snapshots und Undo Virtual Hard Disks (VHDs) sind absolut tabu! Eine falsche Anwendung kann in einem Desaster mit Verlust von Active Directory Informationen enden.

Pro Domain muss mindestens ein physikalischer Domain Controller inklusive GC, DNS und den FSMO Rollen existieren. Wenn dennoch sämtliche Domain Controller virtualisiert wurden, sollten diese zumindest nicht auf ein CSV Volume gespeichert werden, um ein einfacheres und schnelleres Recovery durchführen zu können.

Dazu hat Microsoft ein umfangreiches Dokument veröffentlicht. Der Reference Guide kann jeweils direkt im Microsoft Download Center heruntergeladen werden: Running Domain Controllers in Hyper-V. Zum Lesen von Word Dokumenten ist Microsoft Office Word oder der Microsoft Word Viewer erforderlich.

Windows Patch-Level

Bevor eine Virtual Machine als Domain Controller in Betrieb genommen wird, muss noch sichergestellt werden dass diese im Minimum folgenden Patch-Level aufweisen:

OPERATING SYSTEM	SERVICE PACK	HOTFIXES
Windows 2000 Server	Service Pack 4	KB885875
Windows Server 2003	Service Pack 2	KB875495
Windows Server 2008	Service Pack 1 (RTM)	-

Weitere Informationen

• Microsoft KB 888794: Things to consider when you host Active Directory domain controllers in virtual hosting environments
• Jorge’s Blog: Lingering objects
• Yusuf’s Blog: Lingering Objects (veraltete Objekte)