IT-Wochenrückblick: Grenzen bei Deployment, Identität und Backup

Drei Meldungen dieser Woche betreffen unterschiedliche Schichten derselben Betriebsfrage: Trägt die gesamte Kette nach dem nächsten Versionswechsel noch? Microsoft kündigt einen neuen Ausstiegspfad für Windows Deployment Services an und liefert kurz vor einer verbindlichen Versionsgrenze einen Hotfix für Entra Connect Sync. Veeam ergänzt eine Plug-in-Version für einen neueren lokalen Hypervisor. Daraus folgt kein pauschales Upgrade für jeden Standort. Entscheidend sind die konkret genutzten Abhängigkeiten und ein Funktionstest, der den jeweiligen Dienst wirklich ausübt.

Microsoft hat am 21. September angekündigt, die integrierte Rolle Windows Deployment Services (WDS) samt PXE-Boot, Verwaltungsschnittstellen und Multicast-Transport in der nächsten Windows-Server-Version als veraltet einzustufen. Das ist eine Planungsvorgabe und noch kein Abschalttermin. Auf weiterhin unterstützten Versionen von Windows Server 2016, 2019, 2022, Version 23H2 und 2025 bleibt WDS verfügbar und unterstützt. Ein funktionierender Deploymentserver mit Windows Server 2025 muss deshalb diese Woche nicht abgeschaltet werden. Wer heute eine neue Bereitstellungsstrecke auf WDS aufbaut, plant aber bereits mit einer absehbaren Migration.

Zuerst gehören die installierten WDS-Rollen und ihre verdeckten Nutzer ins Inventar: Configuration-Manager-Verteilungspunkte mit WDS-basiertem PXE, eigene Windows-PE-Images, WDSUTIL-Skripte, APIs, Multicast-Jobs und Bootpfade für die Wiederherstellung. Die Betriebssystembereitstellung mit Configuration Manager bleibt laut Microsoft bestehen; für betroffene Standorte kommt dessen PXE-Responder ohne WDS infrage. Dieser arbeitet mit Unicast. Wo bisher Multicast verwendet wurde, müssen Netzlast, Kapazität der Verteilungspunkte und Größe der Installationswellen neu gemessen werden. Eine Pilotstrecke sollte reale UEFI-Geräte, Netzsegmente, Sicherheitsregeln und Imagegrößen abdecken. Für die Übergangszeit braucht jeder Standort einen verantwortlichen Betreiber und einen dokumentierten Ausstiegspfad.

Bei der hybriden Identität erschien am 23. September Entra Connect Sync 2.6.92.0 als Hotfix mit Sicherheitskorrekturen. Er behebt einen Fehler aus 2.6.91.0: Beim Aktivieren von Pass-through Authentication konnte der Connect-Assistent den lokal installierten Authentication Agent nicht registrieren. Betroffen ist damit die lokale Synchronisierungs- und Authentisierungskonfiguration, nicht jeder Active-Directory-Domänencontroller. Daneben gilt eine separate harte Grenze: Microsoft kündigt an, dass Synchronisierungsdienste unter Version 2.5.79.0 am 30. September ausfallen. Der Mindeststand ist eine unmittelbare Frist; 2.6.92.0 ist der aktuelle Korrekturstand für geplante Upgrades und für Standorte mit dem Assistentenfehler.

Prüfen Sie den tatsächlichen Build des aktiven und des Staging-Servers, sichern Sie die Konfiguration und halten Sie die verwendete Anmeldemethode fest. Vor dem Change sind unter anderem .NET Framework 4.7.2 und TLS 1.2 zu prüfen; Microsoft stellt den Installer im Entra Admin Center bereit. Nach dem Upgrade zählen Dienststart, Scheduler, Connector-Zustand, Export-Rückstand und die vollständige Synchronisierung einer Testidentität. Wo Pass-through Authentication eingesetzt wird, gehören Agentregistrierung und eine echte Anmeldung dazu. Ohne diese Methode darf der spezielle Regressionsfehler nicht als allgemeiner Login-Ausfall dargestellt werden. Systeme unter der Grenze vom 30. September haben Vorrang; Build und erfolgreiche Synchronisierung werden als Nachweis festgehalten.

Veeam veröffentlichte am 24. September das Plug-in für Scale Computing HyperCore 4.1 mit Worker-Build 13.4.1.328. Die aktualisierte Supportmatrix nennt genau diesen Build oder einen neueren als Voraussetzung für HyperCore 9.7.x. Für Plug-in 4.1 führt sie Veeam Backup & Replication 13.1.0.411 und 13.1.1.18 auf. Diese Grenze betrifft nur Standorte mit Scale-Clustern, ist dort aber entscheidend: Ein allein aktualisierter Hypervisor kann die dokumentierte Backup-Kompatibilität verlassen, obwohl die Jobs noch in der Konsole stehen. Umgebungen ohne HyperCore müssen aus dieser Veröffentlichung keine Maßnahme ableiten.

Vor einem Wechsel des Scale-Clusters auf 9.7.x werden Clusterstand, Veeam-Server, Plug-in, Worker, Guest Processing, Repositories und vorhandene Restore-Nachweise erfasst. Die unabhängig veröffentlichte Plug-in-Version wird in einem repräsentativen Ring ausgebracht; die exakte Kombination wird gegen Veeams Matrix geprüft. Danach folgen ein neues Backup, die Prüfung der anwendungsbezogenen Verarbeitung, eine Dateiwiederherstellung und eine zur Anwendung passende VM-Recovery-Probe. Bis diese Belege vorliegen, bleibt die bisher unterstützte Kombination der sichere Bezugspunkt. Hypervisorwartung ist hier zugleich ein Schutz-Change mit eigenem Recovery-Checkpoint.

Die Prioritäten sind damit klar: WDS-Abhängigkeiten für die nächste Servergeneration erfassen, Entra Connect vor dem 30. September über den Mindeststand bringen und Scale- und Veeam-Versionen vor dem Clusterupgrade abstimmen. Umfang und Dringlichkeit unterscheiden sich. Der Abschlussnachweis ist jedoch derselbe: Bereitstellung, Identitätssynchronisierung oder Wiederherstellung müssen nach dem Versionswechsel praktisch funktionieren, nicht nur auf einem Versionsbildschirm korrekt aussehen.