Das Domain Name System (DNS) stellt einen der wichtigsten Dienste in IP-basierten Netzwerken dar. Das Domain Name System dient der Beantwortung von Anfragen zur Namensauflösung.

Konkret wird dabei der angefragte Name in eine IP-Adresse übersetzt und als Ergebnis der Anfrage zurück geliefert. In windowsbasierten Domänen kommt zusätzlich der Reverse Lookup Anfrage die Aufgabe zu, eine angefragte IP-Adresse als Namen zu ermitteln und als Ergebnis zurückzuliefern. Dieses Reverse Lookup wird mit Hilfe von PTR Ressource Records in der Reverse Lookup Zone des Active Directory gewährleistet.

DNS in einer Active-Directory-Umgebung Ein Client fragt den DNS-Server nach dem zuständigen Domain Controller mittels SRV-Ressourceneinträgen, erhält dessen Adresse und kann sich anschließend anmelden. Der DNS-Server hält dabei sowohl klassische Namensauflösung als auch AD-spezifische Dienstverzeichniseinträge für die Domäne vor. Client DNS-Server SRV-Records A/AAAA-Records 1. Wo ist DC? 2. Adresse DC Domain Controller Active Directory 3. Anmeldung DNS ist Grundvoraussetzung für AD: Clients finden Domain Controller, Kerberos-Authentifizierung und Gruppenrichtlinien nur über DNS auflösbar
In einer Active-Directory-Umgebung ist DNS nicht nur "nice to have", sondern eine zwingende Grundvoraussetzung — ohne funktionierendes DNS funktioniert Active Directory nicht. Es übernimmt dabei mehrere spezielle Aufgaben:
  1. Klassische Namensauflösung
    Wie in jedem Netzwerk löst DNS Hostnamen in IP-Adressen auf (A/AAAA-Records) – z. B. damit ein Client den Server anhand seines Namens statt der IP-Adresse ansprechen kann.
  2. Auffinden von Domain Controllern (SRV-Records)
    Das ist die entscheidende AD-spezifische Aufgabe: Über spezielle SRV-Ressourceneinträge (Service Records) im DNS kann ein Client herausfinden, welcher Domain Controller für bestimmte Dienste zuständig ist – z. B. für die Anmeldung, LDAP-Anfragen oder Kerberos-Authentifizierung. Ohne diese SRV-Records könnte sich kein Client an der Domäne anmelden.
  3. Unterstützung von Kerberos-Authentifizierung
    Die Kerberos-Authentifizierung (das Standard-Anmeldeverfahren in AD) ist auf korrekte, konsistente Namensauflösung angewiesen, da Tickets an bestimmte Dienstnamen (SPNs) gebunden sind.
  4. AD-integrierte DNS-Zonen
    Bei Microsoft-Umgebungen wird DNS häufig direkt in Active Directory integriert betrieben: Die DNS-Zonendaten werden dabei automatisch zusammen mit den übrigen AD-Daten zwischen den Domain Controllern repliziert – das erhöht Ausfallsicherheit und vereinfacht die Verwaltung.
  5. Standort-Erkennung (Site Awareness)
    Über DNS kann ein Client auch den nächstgelegenen Domain Controller (basierend auf AD-Sites) finden, um unnötigen WAN-Verkehr bei der Anmeldung zu vermeiden.
Merksatz für die Prüfung: DNS in AD = mehr als nur Namensauflösung – über SRV-Records finden Clients ihren zuständigen Domain Controller, ohne DNS ist keine Anmeldung an der Domäne möglich.