Machen Sie den Domänencontroller KOSTENLOS 😳 Synology NAS + Gruppenrichtlinien-Setup!

Wissen Sie, was Sie bauen

Ein Synology NAS kann mit dem kostenlosen Synology Directory Server-Paket aus dem Paketzentrum als echter Domänencontroller fungieren. Unter der Haube handelt es sich um einen Samba-basierten Active Directory-Domänencontroller: Er spricht Kerberos, speichert Ihre Benutzerkonten und Computer in einer Datenbank und erzwingt Gruppenrichtlinien auf Windows-PCs – die gleichen täglichen Aufgaben, die ein Windows Server-Domänencontroller in einem kleinen Büro erledigt.

Was es attraktiv macht, ist das, was fehlt: keine Windows Server-Lizenz und keine CALs (Client Access Licences). Das Paket ist kostenlos, das NAS, das Sie bereits für Dateien besitzen, wird zum Anmeldeserver und ein Konto pro Person funktioniert für den PC, die freigegebenen Ordner und die anderen DSM-Dienste.

Bereiten Sie das NAS vor, bevor Sie beginnen

Führen Sie diese Prüfungen zuerst durch, da zwei davon dauerhaft sind. Kompatibles Modell: Directory Server lässt sich nur auf der Liste der von Synology unterstützten Modelle installieren – im Allgemeinen die Plus-Serie und höher – überprüfen Sie daher Ihr genaues Modell auf der offiziellen Seite für angewandte Modelle von Synology, bevor Sie etwas planen. DSM 7.1 oder höher und eine feste statische IP für das NAS: ein Domänencontroller, dessen Adresse sich ändert, ist ein kaputtes Büro.

Als nächstes der endgültige NAS-Hostname – sobald Directory Server aktiviert ist, kann der NAS-Hostname nicht mehr geändert werden, also benennen Sie ihn jetzt richtig (z. B. NAS01), nicht später. Und wählen Sie einen Domänennamen aus, den Sie behalten möchten, etwa office.local: mindestens zwei Teile, einfache Zeichen, und er darf nicht mit dem Namen des NAS-Servers identisch sein.

Installieren Sie Directory Server und erstellen Sie die Domäne

Öffnen Sie das Package Center auf dem NAS und installieren Sie Synology Directory Server. Es funktioniert zusammen mit dem Paket DNS-Server, das die Domäne zur Namensauflösung benötigt – installieren Sie auch dieses, wenn DSM Sie dazu auffordert. Starten Sie dann Directory Server und starten Sie den Ersteinrichtungsassistenten.

Geben Sie den Domänennamen ein (der Arbeitsgruppen-/NetBIOS-Name wird automatisch ausgefüllt – für office.local wird er zu OFFICE) und legen Sie ein sicheres Passwort für das Domänenadministratorkonto fest. Speichern Sie dieses Passwort in einem Passwort-Manager – es ist der Hauptschlüssel des Büros. Bestätigen Sie und klicken Sie auf Übernehmen: DSM erstellt nun die Domäne und stuft das NAS zu einem Domänencontroller hoch. Lassen Sie es ohne Unterbrechung ausklingen.

DNS auf das NAS richten und testen

Eine Domain funktioniert nur, wenn PCs sie finden können und PCs sie über DNS finden. Stellen Sie die DHCP-Einstellungen des Routers (oder jedes PCs manuell) so ein, dass die DNS-Serveradresse die IP des NAS ist. Testen Sie zuerst auf einem PC – dieser Befehl sollte mit der IP-Adresse des NAS antworten:

nslookup office.local

Erstellen Sie Benutzer, Gruppen und Passwortrichtlinien

Öffnen Sie Directory Server auf dem NAS und erstellen Sie Ihre Personen: ein Konto pro realer Person, niemals freigegebene Konten. Fügen Sie Gruppen hinzu, die der Arbeitsweise des Büros entsprechen – Buchhaltung, Vertrieb, Büropersonal – und ordnen Sie Personen Gruppen zu. Später zielen Dateiberechtigungen und Richtlinien auf die Gruppen ab, sodass ein neuer Beitritt durch das Hinzufügen von Gruppenmitgliedschaften und nicht durch das Neuaufbauen der Einstellungen PC für PC eingerichtet wird.

Legen Sie die Passwortrichtlinie fest, während Sie hier sind: Directory Server unterstützt Passwortstärkeregeln (Länge, Ablauf, Verlauf) und Kontosperrung nach wiederholten falschen Passwörtern. Schalten Sie die Sperre ein – das ist Ihr günstiger Schutz gegen das Erraten von Passwörtern.

Fügen Sie den Windows-PC der Domäne hinzu

Bestätigen Sie auf dem PC, dass seine DNS auf das NAS verweist (Schritt 4) und dass die PC-Uhr korrekt ist – Kerberos verweigert Anmeldungen, wenn die Uhren auseinanderdriften. Öffnen Sie die Systemeigenschaften mit dem Dialogfeld „Ausführen“ (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Legen Sie Ihre erste Gruppenrichtlinie mit RSAT fest

In DSM gibt es keinen Gruppenrichtlinien-Editor. Sie verwalten Richtlinien standardmäßig auf die richtige Windows-Art mit RSAT (Remote Server Administration Tools) auf einem domänengebundenen Windows 10/11 Pro-PC. Installieren Sie es über Einstellungen → Apps → Optionale Funktionen → Funktion hinzufügen: Fügen Sie die Tools RSAT: Gruppenrichtlinien-Verwaltungstools und RSAT: Active Directory-Domänendienste hinzu. Öffnen Sie dann die Gruppenrichtlinienverwaltung:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Kennen Sie die ehrlichen Grenzen

Dies ist ein echter Domänencontroller für kleine Büros, kein 100-prozentiger Klon von Windows Server Active Directory. Kennen Sie die Grenzen: Es unterstützt eine einzelne Domäne; die Funktionsebene entspricht Windows Server 2008 R2; das Active Directory PowerShell-Modul wird nicht unterstützt; DFSR wird nicht unterstützt; und es können keine Vertrauensstellungen mit einer separaten Windows Server-Domäne gebildet werden. Eine zweite Synology kann als zusätzlicher Controller beitreten, jedoch nur für eine Domäne, die von Synology erstellt wurde.

Für ein Büro mit 5 bis 30 Personen, das Anmeldungen, Richtlinien und zentrale Konten benötigt, blockiert nichts davon den Job – und Sie haben die Windows Server-Lizenz und die CALs komplett übersprungen.