如何在 Windows 2000 中提升和降级域控制器
文章编号: 238369 - 查看本文应用于的产品
系统提示
注意：本篇文章的内容适用于其他版本的 Windows (不包括您正在使用的版本) 。本篇文章的内容可能不适用您的电脑。
浏览 Windows 7 帮助和支持中心
本文的发布号曾为 CHS238369
本文介绍如何在 Windows 2000 中提升域控制器或将其降级为独立服务器。将服务器提升为域控制器就是在此服务器上安装 Active Directory 服务的过程。将域控制器降级就是删除 Active Directory 并切换到使用本地用户帐户系统 (UAS)。在将服务器提升为域控制器之前，必须规划您的结构以便最好地适应组织需要和网络拓扑结构。在将服务器提升为域控制器时，管理员有以下选项：
在新目录林中安装第一个域控制器?
在新域目录树中安装第一个域控制器?
在新子域中安装第一个域控制器?
在域目录树中安装额外域控制器?
从域控制器中删除 Active Directory
?进行名称解析时，域名系统 (DNS) 服务是 Active Directory 不可缺少的一部分。DNS 定义了 Windows 2000 命名空间，而且非常灵活。 有关 DNS 要求和安装的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
237675(https://www.doczj.com/doc/151397456.html,/kb/237675/ ) 设置 Active Directory 的域名系统
在规划好配置并决定将在提升过程中使用哪一选项后，请按下面相应部分中的步骤操作。这几部分可指导管理员完成提升过程。 概要
自己自己查查找
询问社区
实时帮助 请选择您需要帮助的产品 Windows Internet Explorer Office Surface Media Player Skype Windows Phone 更多产品
在新目录林中安装第一个域控制器
注意
注意：您必须在提升前或在提升过程中在某一位置安装一个 DNS 服务器。在将计算机提升为域控制器后，它在 DNS 中注册服务，这些服务使轻型目录访问协议 (LDAP) 查询能够针对此域控制器上的目录执行。
单击开开始，单击运运行，键入 dcpromo ，然后单击确确定。1.
这将启动“Active Directory 安装向导”。单击下一下一下一步步。2.
Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。3.
单击下一下一下一步步。4.
由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。5.
单击下一下一下一步步。6.
由于这将是新目录林中的第一个域控制器，所以它将是您的组织中的第一个域。单击“创建域目录树的新目录林”。7.
单击下一下一下一步步。8.
在新域名新域名新域名屏幕上，以完全限定域名的形式键入新域的完整 DNS 名称（例如：https://www.doczj.com/doc/151397456.html, ）。9.
在 NetBIOS 域名域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：MICROSOFT ）。10.
数据库位置位置和日志位置日志位置日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置日志位置日志位置值更改为另一硬盘。11.
单击下一下一下一步步。12.
在共享的系共享的系共享的系统统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。13.
单击下一下一下一步步。14.
如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。15.
单击确确定。16.
在配置配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。17.
单击下一下一下一步步。18.
在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一下一下一步步。19.
在目目录服务还务还原模式管理密原模式管理密原模式管理密码码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory 。20.在概概要屏幕上确认选项，然后单击下一下一下一步步。
21.通过查看屏幕上的消息验证已安装 Active Directory 。安装 Active Directory 后，单击完成完成
完成以关闭向导。22.重新启动计算机。23.
在现有目录林中安装第一个域控制器
注意
注意：您的命名空间的设计决定了是否在此计算机上安装和配置 DNS 服务。如果 TCP/IP 设置正确地配置为指向一个现有 DNS 服务器，则您不需要在此计算机上安装 DNS 服务。 单击开开始，单击运运行，键入 dcpromo ，然后单击确确定。
1.这将启动“Active Directory 安装向导”。单击下一下一下一步步。
2.
Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。3.
单击下一下一下一步步。4.
由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。5.
单击下一下一下一步步。6.
由于这将不是新目录林中的第一个域控制器，所以它将不是您的组织中的第一个域。单击“将此新域目录树放入现有的目录林中”。7.
单击下一下一下一步步。 8.
下一个屏幕提示您提供网络凭据。键入用于执行此操作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。域名可以是完全限定域名 (FQDN) 的形式。9.
在新域目新域目新域目录树录树录树屏幕上，以完全限定域名的形式键入新域的完整 DNS 名称（例如：MICROSOFT ）。10.
在 NetBIOS 域名域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：MICROSOFT ）。11.
数据库位置位置和日志位置日志位置日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置日志位置日志位置值更改为另一硬盘。12.
单击下一下一下一步步。13.
在共享的系共享的系共享的系统统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。14.
单击下一下一下一步步。15.
如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。16.
单击确确定。17.
在配置配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。18.
单击下一下一下一步步。19.
在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一下一下一步步。20.
在目目录服务还务还原模式管理密原模式管理密原模式管理密码码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。 注意注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory 。21.
在概概要屏幕上确认选项，然后单击下一下一下一步步。22.
通过查看屏幕上的消息验证已安装 Active Directory 。安装 Active Directory 后，单击完成完成完成以关闭向导。23.
重新启动计算机。
24.
在新子域中安装第一个域控制器
注意
注意：在将服务器提升为子域中的域控制器之前，必须在此服务器上正确配置了 DNS 设置。在提升过程中，该服务器需要解析父域的完全限定域名。
有关如何为新子域配置 DNS 的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
255248(https://www.doczj.com/doc/151397456.html,/kb/255248/ ) 如何在 Active Directory 中创建子域并将 DNS 命名空间委派到该子域
单击开开始，单击运运行，键入 dcpromo ，然后单击确确定。1.
这将启动“Active Directory 安装向导”。单击下一下一下一步步。2.
Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为新域中的第一个域控制器，请单击“新域的域控制器”。3.
单击下一下一下一步步。4.
由于此域控制器还将充当新子域中的第一个域控制器，请单击“在现有域目录树中创建新子域”。5.
单击下一下一下一步步。6.
下一个屏幕提示您提供网络凭据。键入用于执行此操作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。要安装一个子域，请确保 DNS 的配置正确，以便它能够找到父域。如果已正确配置 DNS 并且使该服务器指向包含正确域名的 DNS 服务器，则域域框中的项可以是完全限定域名的形式。
7.在子域安子域安子域安装装屏幕上，以完全限定域名的形式键入父域的完整 DNS 名称（例如：https://www.doczj.com/doc/151397456.html, ）。
8.在子域子域子域框中，键入子域的名称（例如：Finance ）。单击下一下一下一步步。
9.在 NetBIOS 域名
域名屏幕的 NetBIOS 名称框中，填入您的完全限定域名的第一部分（例如：Finance ）。10.数据库位置位置和日志位置日志位置日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置日志位置
日志位置值更改为另一硬盘。11.单击下一下一下一步步。
12.在共享的系共享的系共享的系统统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。
13.单击下一下一下一步步。
14.如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
15.单击确确定。
16.在配置配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
17.单击下一下一下一步步。
18.在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一下一下一步步。
19.在目目录服务还务还原模式管理密原模式管理密原模式管理密码码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory 。20.在概概要屏幕上确认选项，然后单击下一下一下一步步。
21.通过查看屏幕上的消息验证已安装 Active Directory 。安装 Active Directory 后，单击完成完成
完成以关闭向导。22.重新启动计算机。
23.
为现有域安装额外域控制器
注意
注意：在将服务器提升为现有域中的域控制器之前，必须在此服务器上正确配置了 DNS 设置。在提升过程中，该服务器需要解析此域的完全限定域名。 单击开开始，单击运运行，键入 dcpromo ，然后单击确确定。1.
这将启动“Active Directory 安装向导”。单击下一下一下一步步。2.
Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。因为您要将此服务器安装为域中的额外域控制器，请单击“现有域的额外域控制器”。3.
单击下一下一下一步步。4.
下一个屏幕提示您提供网络凭据。键入用于执行此操作的帐户的用户名、密码和域名。该帐户必须具有完全管理权限。域名不应是完全限定域名的形式。5.
在额额外域控制器外域控制器屏幕上，以完全限定域名的形式键入现有域的完整 DNS 名称（例如：https://www.doczj.com/doc/151397456.html, ）。6.
数据库位置位置和日志位置日志位置日志位置框将填入默认位置 (Rootdrive\Winnt\Ntds)。为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。将日志位置日志位置日志位置值更改为另一硬盘。7.
单击下一下一下一步步。8.
在共享的系共享的系共享的系统统卷屏幕中，只要该卷使用 NTFS 文件系统，就可以接受 Rootdrive\Winnt\Sysvol 作为默认位置。这是 Sysvol 文件夹所要求的。9.
单击下一下一下一步步。10.
如果没有可用的 DNS 服务器，则会出现“向导无法联系到处理名称 Domain Name 的 DNS 服务器以确定它是否支持动态更新。请确认 DNS 配置，或者在此计算机上安装并配置一个 DNS 服务器”这一消息。
11.单击确确定。12.
在配置配置 DNS 屏幕上，单击“是，在这台计算机上安装和配置 DNS(推荐)”。
13.单击下一下一下一步步。
14.在 Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务 (RAS) 访问此服务器。单击下一下一下一步步。
15.在目目录服务还务还原模式管理密原模式管理密原模式管理密码码屏幕上，指定在以“目录服务还原”模式启动计算机时使用的管理员密码。在需要恢复 Active Directory 数据库时使用“目录服务还原”模式。
注意
注意：一定要记住此密码，否则在需要时您将无法还原 Active Directory 。16.
在提升过程的复制阶段，有一个可让您选择稍后执行复制的选项。选择此选项的理由有许多（例如，在一天的正中间时您使用的网络连接速度慢，您希望等到这天结束时执行复制）。
17.通过查看屏幕上的消息验证已安装 Active Directory 。安装 Active Directory 后，单击完成完成
完成以关闭向导。18.重新启动计算机。
19. 从域控制器中删除 Active Directory
注意
注意：在将域控制器降级时，如果它不是域中的最后一个域控制器，则它将执行最后一次复制，然后将角色转给另一域控制器。作为降级过程的一部分，Dcpromo 实用工具会从 Active Directory 中删除该域控制器的配置数据。此数据的形式是“NTDS 设置”对象，它在“Active Directory 站点和服务管理器”中作为服务器对象的子对象存在。在域控制器降级后，它不再具有可用的 Active Directory 信息，并将使用“安全帐户管理器”(SAM) 数据库来获取本地数据库信息。如果该域控制器是一个全局编录域控制器，则此角色将不会转移给另一域控制器。在这种情况下，您必须通过手动选中“Active Directory 站点和服务管理器”中的复选框来让另一域控制器接管此角色。
如果降级过程由于某种原因未能成功完成，则您必须手动从目录中删除此元数据。使用 Ntdsutil.exe 实用工具来手动删除“NTDS 设置”对象。 有关如何使用 Ntdsutil.exe 的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
216498(https://www.doczj.com/doc/151397456.html,/kb/216498/ ) 如何在域控制器降级失败后删除 Active Directory 中的数据
单击开开始，单击运运行，键入 dcpromo ，然后单击确确定。1.
这将启动“Active Directory 安装向导”。单击下一下一下一步步。2.
删除 Active Directory 屏幕上有一个复选框。如果此计算机是域中的最后一个域控制器，请单击以选中该复选框。否则，请单击下一下一下一步步。3.
在下一屏幕上，设置在删除 Active Directory 后此服务器上的管理员帐户的密码。在密密码和确确认密码框中键入合适的密码，然后单击下一下一下一步步。4.
在概概要屏幕上，检查并确认您选择的选项，然后单击下一下一下一步步。5.
向导将开始从该服务器删除 Active Directory 的过程。过程完成后，将出现一条消息，指出 Active Directory 已从该计算机中删除。6.
单击完成完成完成以退出向导。7.
重新启动计算机。
8.注意
注意：基于 Windows 2000 的 DNS 服务器在其 TCP/IP 属性中应指向自身以获取 DNS 服务。如果该服务器需要解析来自它的 Internet 服务提供商 (ISP) 的名称，您应该配置一台转发器。
Microsoft 和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性，不作任何声明。 所有该等文件及有关图形均"依样"提供，而不带任何性质的保证。Microsoft 和/或其各供应商特此声明，对所有与该等信息有关的保证和条件不负任何责任，该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下，在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中，Microsoft 和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。属性
提供反馈
主域控挂掉后的方法.txt婚姻是键盘，太多秩序和规则；爱情是鼠标，一点就通。男人自比主机，内存最重要；女人好似显示器，一切都看得出来。Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.doczj.com/doc/151397456.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作 设置额外域控制器为GC（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 ________________________________________ 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称FSMO）： 架构主机 schema master、 域命名主机 domain naming master 相对标识号 (RID) 主机 RID master 主域控制器模拟器 (PDCE) 基础结构主机 infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号 (RID) 主机 此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、 组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。每一个 Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来确保这 些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有对象。 域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机 PDCE 主域控制器模拟器提供以下主要功能： 向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的Windows 2000 环境。本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与 PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证 DC 中。
需要注意的域控制器五种错误操作 一、不安装DNS 犯这种错误的大多数新手。因为一般在安装活动目录时，如果没有安装DNS，系统会给出相应的警告。只有新手才会直接忽略。也有朋友做过尝试，不装DNS，而用WINS是可以的，但是用户会发现登陆的时候速度相当慢。虽然还是可以用Netbios名访问网上邻居中的计算机，但其实是无法使用域资源的。这是因为在域环境网络中，DNS起到的不仅仅是一个域名解析的作用，更主要的是DNS服务器起到一个资源定位的作用，大家对于DNS的A记录应该有很深的了解，实际上，在A记录之外，还有很多其它的如SRV之类的记录。而这些资源没办法用IP直接访问，也不是WINS服务器能够做到的。所以部署活动目录请一定要安装DNS。 二、随意安装软件 由于域控制器在域构架网络中的作用是举足轻重的，所以一台域控制器的高可能性是必须的，但是太多的管理员朋友忽视了这一点。笔者曾见一个酒店网络的域控制器上装了不下三十个软件，甚至包括一些网络游戏之类的软件，如边锋、传奇等，还有一些MP3播放器，VCD播放器等。这样直接导致的结果就是软件冲突加重，而且即使是软件卸载，也会在注册表中存有大量无用信息，这些信息完全无法用手工方法卸载。于是，借助第三方软件，比如超级兔子、优化大师的，虽然这些软件都有清理注册表和提速的功能，但是域控制器毕竟不是个人PC，重装一次之后，很多网络的计算机名和域名都有可能更改，影响相当大。对于服务器而言，稳定大于一切。 三、操作方法不正确 网络管理员往往都是技术爱好者，所以对于自己机器的设置往往更加“个性化”。比如，有的网管一时兴起，增加一台额外域控制器，然后再增加一个子域，而哪天因为系统问题或者心情不爽，往往也不降级，直接把那些子域域控制器，额外域控制器等统统格式化，然后重装。这样反复操作，往往会导致活动目录出错，直到无法添加为止。笔者曾帮助一个网管修复域控制器，在检查中发现里面莫明其妙的有很多的域控制器，但是网络上却又没有这些域控制器，而且活动目录经常出错。查过日志却发现全是报错信息，都是一些无法复制，找不到相应的域控制器等。最终，笔者用Ntdsutil把这些垃圾信息全部清除才解决问题。不过这种情况是比较轻微的，如果用Ntdsutil清除活动目录还是不正常时，那基本没有什么解决方法，无论多么费时，都只能“重建”。 四、FSMO角色的任意分配 一般来说，FSMO一般是不需要去管理的。正常情况下如果需要对FSMO的角色进行转移的话，那么无非就是两种情况：一是服务器的正常维护；二是原来的FSMO角色所在的域控制器由于硬件或其它的原因导致无法联机。 但是目前很多网管碰到上述两种情况，会采取很极端的作法，就是只要原来的FSMO角色所在的域控制器一旦离线，就一定要把FSMO角色转移到其它的域控制器上，能传送就传送，不能传送就夺取。但是笔者在这儿要建议大家一个字：等！除了PDC仿真器这个角色以外，其它角
WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环
境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
添加新域控后，手动删除旧主域控制器 如何手动删除/清除遗留的DC？我有一个DC，由于硬件损坏导致系统无法正常使用，DC的名字为DC02。 我重新安装了一台新的DC，取名为DC03。 我的问题是： 1 当类似有DC损坏，我重新安装新的DC时，是否可以将新的DC取名为DC02，这样会有问题么？ 2 如果向我上面那些安装新的DC03，原有的DC02的信息还在AD的数据库中，因为DC02已经无法降级，我该如何正确的将DC02从AD中清除掉 回答：根据您的描述，我了解到您想知道如何手动删除DC及清除AD中遗留信息。 根据我的经验，针对我们现在所遇到的情况，我建议我们可以如下操作。 1. 当我们把新服务器命名为DC02，则在提升域控操作之前，我们必须手动将AD中有关DC02的元数据清除干净。 2. 清除AD中DC02元数据的方法，我们可以参照 (KB216498)https://www.doczj.com/doc/151397456.html,/kb/216498/zh-cn 1. 单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。 2. 在命令提示符处，键入 ntdsutil，然后按 Enter。 3. 键入 metadata cleanup，然后按 Enter。根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。
4. 键入 connections，然后按 Enter。此菜单用于连接将发生这些更改的具体服务器。如果当前登录的用户没有管理权限，可以在建立连接之前指定要使用的替代凭据。为此，请键入 set credsDomainNameUserNamePassword，然后按 Enter。如果密码为空，则键入 null 作为密码参数。 5. 键入 connect to server servername，然后按 Enter。然后出现一条确认消息，说明已成功建立该连接。如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。 6. 键入 quit，然后按 Enter。将出现“清除元数据”菜单。 7. 键入 select operation target，然后按 Enter。 8. 键入 list domains，然后按 Enter。将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。 9. 键入 select domain number，然后按 Enter；其中 number 是与要删除的服务器所属的域相关联的编号。您选择的域将用于确定要删除的服务器是否为该域的最后一个域控制器。 10. 键入 list sites，然后按 Enter。将出现一个站点列表，其中每个站点都带有一个关联的编号。 11. 键入 select site number，然后按 Enter；其中 number 是与要删除的服务器所属站点相关联的编号。将出现一条确认消息，其中列出了所选的站点和域。 12. 键入 list servers in site，然后按 Enter。将显示一个列出站点中所有服务器的列表，每个服务器都有一个关联的编号。 13. 键入 select server number，其中 number 是与要删除的服务器关联的编号。将出现一条确认消息，其中会列出所选的服务器、该服务器的域名系统 (DNS) 主机名以及要删除
实训二配置额外域控制器 一、知识点： 额外域控制器：如果域中只有一台域控制器，一旦出现物理故障，我们时可以备份还原AD。部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory数据库。 只读域控制器：RODC只能单向的从其他可读写域控制器请求信息，而不会把任何修改传送给其他可写域控制器，这样做不仅可以降低主域服务器的工作负载及监控负载的工作量，还可以提高分支机构网络的安全性，同时便于管理。 二、动手实验： 实验目的： 利用windows server 2008搭建辅助域环境，了解辅助域控制器的作用，不仅学会安装辅助域控制器，而且还应学会如何配置辅助域，并实现辅助域在域环境中的作用。 实验内容： 1、配置域环境中额外域控制器 2、配置域环境中的只读域控制器（RODC） 3、测试辅助控制器是否搭建成功 实验要求： 1、完成实训内容，并做成实验报告。 实验步骤： 第一步配置域环境中额外域控制器 （1）部署环境 设置网络环境
（2）与主域的IP地址要互Ping的通 （3）根据拓扑图要求，将额外控制器的名称改为“BDC1”
输入域https://www.doczj.com/doc/151397456.html, 点击确定 （4）安装额外域控制器 开始------运行---输入dcpromo
输入dcpromo 点击确定 之后会弹出如下向导对话框，点击下一步 在弹出“部署配置”对话框勾选“现有林---向现有于添加域控制器”
下一步，输入主域名“https://www.doczj.com/doc/151397456.html,” 点击“设置”
输入“用户名和密码”点击“确定” 点击“下一步”选择域“https://www.doczj.com/doc/151397456.html,”
多域控制器环境下Active Directory灾难恢复 -------------------------------------------------------------------------------- 摘要 本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。 -------------------------------------------------------------------------------- 目录 Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.doczj.com/doc/151397456.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作 设置额外域控制器为ＧＣ（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 参考信息 作者介绍 -------------------------------------------------------------------------------- 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）： 架构主机schema master、 域命名主机domain naming master 相对标识号(RID) 主机RID master 主域控制器模拟器(PDCE) 基础结构主机infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的DC 是可以更新目录架构的唯一DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的DC 是可以执行以下任务的唯一DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号(RID) 主机 此操作主机负责向其它DC 分配RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、
如前面一片文章所提到的。比较麻烦的是，Exchange 2003的邮件服务器是安装在主域控制器上的，所以，主域控制器也被干掉了。 型号，做文件服务器的那台服务器也是域控制器，就要将这台文件服务器，升级到主域控制器了。 如果你没有执行过这样的动作，会觉得这是个很麻烦的事情。当我们操作过之后，你就会发现，其实这个不难。 首先，我们执行【netdom query fsmo】命令，来看一下目前的主域控制器是哪台。 然后依次执行下面的命令 ntdsutil roles connections connect to server https://www.doczj.com/doc/151397456.html, 下面就开始夺取主域控制器的命令了 seize domain naming master seize infrastructure master seize pdc seize rid master seize schema master slect operation target q命令式退出命令。 这样，我们这台域控制器，就成为了主域了。 最后，我们还要将这台服务器成为全局编目服务器。方法如下： 管理工具——Active Directory站和服务——站点——Default-First-Site-Name——服务器——域控制器——NTDS设置——全局编目，把空格勾上就好 本文转自☆★黑白前线★☆- https://www.doczj.com/doc/151397456.html, 转载请注明出处，侵权必究！ 原文链接：https://www.doczj.com/doc/151397456.html,/a/special/qyaq/server/2010/0429/3595.html 将额外控制器升级为主域控制器[原]
Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.doczj.com/doc/151397456.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作 设置额外域控制器为GC（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 ________________________________________ 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称FSMO）： 架构主机 schema master、 域命名主机 domain naming master 相对标识号 (RID) 主机 RID master 主域控制器模拟器 (PDCE) 基础结构主机 infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号 (RID) 主机
此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、 组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。每一 个 Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来 确保这 些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有 对象。 域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机 PDCE 主域控制器模拟器提供以下主要功能： 向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的 Windows 2000 环境。本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制 到验证 DC 中。 时间同步—目录林中各个域的 PDCE 都会与目录林的根域中的 PDCE 进行同步。 PDCE是基于域的，目录林中的每个域都有自己的PDCE。 基础结构主机 基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时，此引用包含该对象 的 全局唯一标识符 (GUID)、安全标识符 (SID) 和可分辨的名称 (DN)。如果被引用的对象移动，则在域中担 当结构主机角色的 DC 会负责更新该域中跨域对象引用中的 SID 和 DN。 基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机 默认，这五种FMSO存在于目录林根域的第一台DC（主域控制器）上，而子域中的相对标识号(RID) 主机、PDCE 、基础结构主机存在于子域中的第一台DC。 ________________________________________ 二、环境分析
子域控制器的安装与配置 实验名称：子域控制器的安装与配置成绩： 实验日期：年月日实验报告日期：年月日 一、实验目的 1．掌握子域控制器的安装与配置。 2．掌握子域控制器、额外域控制器与域控制器之间的关系。 二、实验环境 1、一台完成了第一台服务器的典型配置的服务器 2、一台没有任何服务器角色的Windows server 2003服务器 3、用交叉线连起来，没有任何服务器角色的Windows server 2003服务器与完成了第一台服务器的典型配置的服务器IP地址在同一个网段内，且没有任何服务器角色的Windows server 2003服务器的首选DNS服务器设置为完成了第一台服务器的典型配置服务器的IP地址 三、实验内容 1、子域控制器的安装与配置 四、实验步骤、过程 1、执行“开始”→“管理工具”→“配置您的服务器向导”，弹出“配置您的服务器向导”对话框。
2、单击“下一步”按钮，打开“预备步骤”对话框，按照列表一一确认预备步骤是否已经准备好； 3、单击“下一步”按钮，打开“服务器角色”对话框，表中列出的是当前计算机的服务器角色，可以为服务器添加或删除角色。选择“域控制器 (Active Directory)”，单击“下一步”；
4、出现“选择总结”对话框，单击“下一步”； 5、打开“Active Directory 安装向导”；
6、单击“下一步”按钮，出现“操作系统兼容性”对话框，显示不能与Windows server 2003系统Active Directory域控制器进行联网的Windows操作系统。 7、单击“下一步”按钮，打开“域控制器类型”对话框。在这里选择“新域的域控制器”；
域控服务器系统备份和恢复说明 系统备份与恢复 公司局域网中域控服务器担任DNS服务、AD服务2种角色，AD 服务和DNS服务可以通过备份系统状态一起备份。在安装配置好域控服务器后，备份系统原始状态，包括对C盘分区镜像备份；在客户机加域和调试等工作完成后，备份AD、DNS服务，C盘镜像文件和这2个服务每7天备份一次，备份文件名称加日期，分别存放在2T 硬盘下“域控服务器备份”文件夹下的“DC系统状态备份”和“DC 镜像文件备份” 1 AD服务和DNS服务备份与恢复 1.1、备份方案 AD 中数据可以分为AD 数据库及相关文件和SYSVOL（系统卷）。其中AD数据库包括Ntds.dit（数据库）、Edbxxxxx.log（事物日志）、Edb.chk（检查点文件）、Res1.log 和Res2.log（预留的日志文件）；系统卷包括文件系统联接、Net Logon 共享（保存着基于非Windows 2000/2003/xp 的网络客户端的登录脚本和策略对象）、用户登录脚本（基于Windows 2000 Professional、Windows xp 的客户端以及运行Windows 95、Windows 98 或Windows NT 4.0 的客户端）、Windows 2000/2003/xp 组策略以及需要在域控制器上可用并需要在域控制器间同步的文件复制服务(FRS) 的分段目录和文件。 系统状态是相互依赖的系统组件的集合，包括系统启动文件、系
统注册表、COM+类的注册数据库。 当备份系统状态时，AD会作为其中的一部分进行备份，所以选择系统自带备份工具（ntbackup）备份系统状态来备份AD。 为了安全，我们一周备份一次。 1.2、备份过程 开始-运行-输入ntbackup，打开系统自带备份软件（也可以点击“开始-程序-附件-系统工具-备份”打开）。 按确定，进入备份工具欢迎页面 选择高级模式，进入高级模式欢迎页面：
管好域控制器对于一个网络管理员来说，是专业性的技术体现。笔者通过多年经验，以及论坛上朋友们的种种方案，总结了域控制器的常见五种错误操作，希望能够与广大技术爱好者共享。 一、不安装DNS 犯这种错误的大多数新手。因为一般在安装活动目录时，如果没有安装DNS，系统会给出相应的警告。只有新手才会直接忽略。也有朋友做过尝试，不装DNS，而用WINS是可以的，但是用户会发现登陆的时候速度相当慢。虽然还是可以用Netbios名访问网上邻居中的计算机，但其实是无法使用域资源的。这是因为在域环境网络中，DNS起到的不仅仅是一个域名解析的作用，更主要的是DNS服务器起到一个资源定位的作用，大家对于DNS的A记录应该有很深的了解，实际上，在A记录之外，还有很多其它的如SRV之类的记录。而这些资源没办法用IP直接访问，也不是WINS服务器能够做到的。所以部署活动目录请一定要安装DNS。 二、随意安装软件 由于域控制器在域构架网络中的作用是举足轻重的，所以一台域控制器的高可能性是必须的，但是太多的管理员朋友忽视了这一点。笔者曾见一个酒店网络的域控制器上装了不下三十个软件，甚至包括一些网络游戏之类的软件，如边锋、传奇等，还有一些MP3播放器，VCD播放器等。这样直接导致的结果就是软件冲突加重，而且即使是软件卸载，也会在注册表中存有大量无用信息，这些信息完全无法用手工方法卸载。于是，借助第三方软件，比如超级兔子、优化大师的，虽然这些软件都有清理注册表和提速的功能，但是域控制器毕竟不是个人PC，重装一次之后，很多网络的计算机名和域名都有可能更改，影响相当大。所以，笔者认为“预防永远大于急救”。笔者的域控制器上除了活动目录和DNS，只安装了一个SUS服务器，运行已经有一年半了，没有发生过任何软件问题。毕竟，对于服务器而言，稳定大于一切。 三、操作方法不正确 网络管理员往往都是技术爱好者，所以对于自己机器的设置往往更加“个性化”。比如，有的网管一时兴起，增加一台额外域控制器，然后再增加一个子域，而哪天因为系统问题或者心情不爽，往往也不降级，直接把那些子域域控制器，额外域控制器等统统格式化，然后重装。这样反复操作，往往会导致活动目录出错，直到无法添加为止。笔者曾帮助一个网管修复域控制器，在检查中发现里面莫明其妙的有很多的域控制器，但是网络上却又没有这些域控制器，而且活动目录经常出错。查过日志却发现全是报错信息，都是一些无法复制，找不到相应的域控制器等。最终，笔者用Ntdsutil把这些垃圾信息全部清除才解决问题。不过这种情况是比较轻微的，如果用Ntdsutil清除活动目录还是不正常时，那基本没有什么解决方法，无论多么费时，都只能“重建”。 四、FSMO角色的任意分配 一般来说，FSMO一般是不需要去管理的。正常情况下如果需要对FSMO的角色进行转移的话，那么无非就是两种情况：一是服务器的正常维护；二是原来的FSMO角色所在的域控制器由于硬件或其它的原因导致无法联机。
部署Windows Server 2008 R2域控制器 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP 属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
AD 域DNS 分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS 集成安装，而且集成安装的方法好处有：使DNS 也得到AD 的安全保护，DNS 的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS 服务器，并且即将安装的DC 控制器负载预计会很重，如果觉得DC 本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS 服务器（DNS-srv ）+主域控制器（AD-zhu ）+额外域控制器（AD-fu 点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu 、AD-fu 、DNS-srv 为静态地址） huanjing.png 对于DC 和DNS 分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS 。先安装DC 在安装DNS 的话，需要注意的就是DC 安装完后在安装DNS 需要重启DC 以使DNS 得到DC 向DNS 注册的SRV 记录，Cname 记录，NS 记录。那么我们就以先安装DNS 为例,对于实现这个环境需要三个大步骤： 1.DNS 服务器的安装； 2.DC 主控制器的安装； 3.DC 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC 和DNS 的关系，安装前请先参阅：(v=ws.10) 安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active https://www.doczj.com/doc/151397456.html, AD-zhu DC 192.168.23.20 Client-0 客户端 192.168.23.40 DNS-srv DNS 192.168.23.10 AD-fu 额外DC 192.168.23.30
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果.. ..关于AD灾难恢复，最终测试.. 关于AD灾难恢复有很多非常好技术文章可以参考，在狗狗搜索NNN编，但为何还是要写这篇呢，‘听不如看，看不如做，做不如写’嘿嘿，反正写写没多难，最紧要入脑袋！！ 其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～ 本贴说明： ....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！ AD、DC说明： .域名：https://www.doczj.com/doc/151397456.html, ..主域：DC-ISA-NLB-1 ..副域：DC-ISA-NLB-2 .系统：2003企业版 故障情况：（真实环境跑完全过程..） ..主域崩溃，副域无法正常工作，如： ....无法浏览https://www.doczj.com/doc/151397456.html, 中 Active Directory用户和计算机，提示无法连接错误； ....AD管理项目均报错，组策略.....等； ....域用户无法登录； 解决方法：（以上是在副域上操作） ..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录； ..使用命令：ntdsutil.....AD工具 ..过程：（大概6-8分钟） C:\Documents and Settings\Administrator.LH>ntdsutil ntdsutil: metadata cleanup metadata cleanup: connections server connections: connect to server dc-isa-nlb-2 绑定到 dc-isa-nlb-2 ... 用本登录的用户的凭证连接 dc-isa-nlb-2。 server connections: q metadata cleanup: q ntdsutil: roles fsmo maintenance:Seize domain naming master ‘点OK’ fsmo maintenance:Seize infrastructure master ‘点OK’ fsmo maintenance:Seize PDC ‘点OK’ fsmo maintenance:Seize RID master ‘点O K’ fsmo maintenance:Seize schema master ‘点OK’ ‘关闭CMD窗口’...～～ 以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧： ..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’； .....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’； ..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’ .....1.点击‘DC-ISA－NLB-1’； ...........a.选中分支‘NTDS Settings’； ...........b.点击‘删除’，对话框‘选择第三项’； .....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’； .....3.点击‘DC-ISA－NLB-2’ ...........a.选中分支‘NTDS Settings’ ...........b.点击右键选择‘属性’，全局编录前打上勾； 完工....以上搞点后，余下就可以慢慢修复你的主域了。
win2003域控制器升级迁移到win2008的详细步骤 原 Domain Control情况如下： 计算机名： whdgap01.WHDG.local IP地址： 192.168.2.31/24 （DNS: 192.168.2.31;202.96.134.133 GW:192.168.2.1/24） 操作系统： Windows Server 2003 Enterprise Edition SP1 提供服务： Domain Control、DNS 完成升级后，增加 Server2008为域控制器 计算机名： whdgap01.WHDG.local IP地址： 192.168.2.31/24 （DNS: 192.168.2.31;202.96.134.133 GW:192.168.2.1/24） 操作系统： Windows Server 2008 R2 enterprise 提供服务： Domain Control、DNS Win2003域添加Win2008域控制器 1、安装Windows Server 2008服务器。 2、将win2008加入域whdg中
3、对Forest（林）、 Domian（域）和RODC（域控制器）进行扩展。 在原 Windows Server 2003 域控制器上运行 Windows Server 2008的ADPREP工具，该工具位于 Windows Server 2008 光盘中的 Source\adprep目录下，复制 adprep目录到Windows Server 2003域控制上的任意磁盘分区中。 注意：扩展操作在DC2003（域控制器）上进行操作。 开始－运行－CMD，进入D分区的ADPREP目录输入 adprep /forestprep 根据提示，选择”C “，并按下 Enter键继续。（林拓展）
域控制器降级操作指南 1. Windows Server 2003 域控制器在默认情况下支持强制降级。单击“开始”，单击“运行”，然后键入以下命令： dcpromo /forceremoval 2. 单击“确定”。 3. 在“欢迎使用Active Directory 安装向导”页中，单击“下一步”。 4. 在“强制删除Active Directory”页中，单击“下一步”。 5. 在“管理员密码”中，键入您要为本地SAM 数据库的管理员帐户分配的密码和确认密码，然后单击“下一步”。 6. 在“摘要”中，单击“下一步”。 7. 在林中继续存在的域控制器上，对已降级的域控制器执行元数据清除。 如果您通过使用Ntdsutil中的删除选定域命令从林中删除了某个域，请验证林中的所有域控制器和全局编录服务器都已彻底删除了所有指向您刚删除的域的对象和引用，然后再使用相同的域名将一个新域提升到同一林中。Windows 2000 Service Pack 3 (SP3) 及更早的全局编录服务器删除对象和命名上下文的速度要明显比Windows Server 2003 慢。 如果在删除了Active Directory 的计算机上的资源访问控制项(ACE) 是基于域本地组的，则可能必须重新配置这些权限，因为这些组对成员服务器或独立服务器来说是不可用的。如果您计划在该计算机上安装Active Directory 以使其成为原来的域中的域控制器，则您不必再配置访问控制列表(ACL)。如果您希望将该计算机保留为成员服务器或独立服务器，则必须转换或替换基于域本地组的任何权限。有关从域控制器中删除Active Directory 后对权限有何影响的更多信息，请单击下面的文章编号，以查看Microsoft 知识库中相应的文章。使用 dcpromo /forceremoval 命令后，在继续存在的域控制器上不会删除被降级的计算机的元数据。 将域控制器强制降级后，您必须完成以下任务（如果适用）： 1. 从域中删除计算机帐户。 2. 验证DNS 记录（例如A 记录、CNAME 记录和SRV 记录）是否已删除；如果它们仍然存在，则将它们删除。 3. 验证FRS 成员对象（FRS 和DFS）是否已删除；如果它们仍然存在，则将它们删除。 4. 如果被降级的计算机是任何安全组的成员，请将其从这些组中删除。 5. 删除对被降级的服务器的任何DFS 引用（例如，链接或根副本）。 6. 继续存在的域控制器必须占用以前由被强制降级的域控制器所拥有的任何操作主机角色（也称为灵活的单主机操作或FSMO）。有关更多信息，请单击下面的文章编号，以查看Microsoft 知识库中相应的文章： 使用Ntdsutil.exe 占用FSMO 角色或将其转移到域控制器 7. 如果您要降级的域控制器是DNS 服务器或全局编录服务器，则必须创建一个新的GC 或DNS 服务器，以满足林中的负载平衡、容错和配置设置。[专业建EXCHANGE服务器找plumlee] 8. 当您使用NTDSUTIL 中的删除选定服务器命令时，NTDSDSA 对象（该对象是到您强制降级的域控制器的入站连接的父对象）将被删除。该命令不会删除“站点和服务”管理单元中出现的父服务器对象。如果不使用相同的计算机名将域控制器提升到林中，请使用“Active Directory 站点和服务”MMC 管理单元删除该服务器
安装部署域控制器 本软件系统的主要技术实现手段是通过网络把远端服务器上的映像文件完全仿真成本地磁盘。在这个仿真的“本地磁盘”上同样可以引导和启动操作系统以及运行其他软件，并保持原貌不做任何的更改。虚拟硬盘的加载与真实硬盘处于同一层面，因而不存在任何兼容性问题。若客户端系统使用的是微软支持域功能的桌面操作系统，则同样可以完成加域操作，并和有盘系统一样接受活动目录（ActiveDirectory）的管理以及进行其他相关应用。 1.ActiveDirectory相关 a)什么是活动目录（ActiveDirectory）？ 活动目录是一种目录服务，目录服务包括三方面的功能：组织网络中的资源，提供对资源的管理，对资源的访问控制。活动目录服务通过将网络中各种资源的信息保存到一个数据库中来为网络中的用户和管理员提供对这些资源的访问，管理和控制，这个数据库叫做活动目录数据库。 b)关于目录与目录服务 要想理解什么是活动目录（ActiveDirectory），必须先理解什么是目录（Directory）和目录服务（DirectoryService）。在计算机中使用的“目录”和现实生活中使用的“目录”很相似，都是存储以某种方式相关联的信息集。如通讯录存储用户名称和相应的电话号码，还可能包括关于该用户的的地址或其他信息。 目录服务就是用户通过其提供的服务来使用目录中的信息。用于识别网络中的各种资源，使用户和应用程序能够访问这些资源，并将这些资源集中存储，使用和管理这些资源的全部信息，因而简化了查找和管理这些资源的过程。 c)如何实现活动目录服务？ 域是活动目录的一种实现形式，也是活动目录最核心的管理单位和复制单位。一个域由域控制器和成员计算机及用户组成。域控制器（DomainControler）就是安装了活动目录服务的一台计算机，简称DC。在域控制器上，每一个成员计算机都有一个计算机账号，每一个域用户都有一个域用户账号。域管理员可以在域控制器上实现对域用户账号和计算机账号及其他资源的管理。 域还是一种复制单位，我们在域中可以安装多台域控制器，域管理员可以在任何一台域控制器上创建和修改活动目录对象。域控制器之间可以自动的同步，或者复制这样一种更新。 2.创建活动目录服务——部署域控制器 域控制器，DomainController，是实现ActiveDirectory的载体和控制单位。要良好的进行活动目录服务，域控的安装部署以及管理至关重要。 部署网络中的第一台域控制器 实验环境
手工删除Active Directory 数据 三、我们在上一篇博文中已经把实验环境搭建好了，现在万事具备只欠损坏主域控制器，下面我们关掉主域控制器（DENVER）。如下图所示：先在FIRENZE的Active Directory中把DENVER删除掉，使用“ntdsutil”工具，打开FIRENZE在命令行中输入“ntdsutil”命令后，如果记不清使用什么命令，可以使用？问一下。 使用“metadata cleanup”清理不使用的服务器的对象 使用“connections”连接到一个特定域控制器
使用“connect to server firenze”连接到自己，使用“quit”退出到上一级菜单中。 使用“select operation target”选择站点
使用“list sites”就会显示出所有的站点，我们只有一个站点，这里的站点是用0代表。 使用“select site 0”就是选中站点了。 使用“list domains in site”列出所选站点中的域，只有https://www.doczj.com/doc/151397456.html, 一个域，还是用0代表。
使用“select domain 0”选中https://www.doczj.com/doc/151397456.html,这个域。 使用“list server for domain in site”列出所选域和站点中的服务器，列出了主域控制器DENVER和额外域控制器FIRENZE，还是用数字0和1代表。 使用“select server 0”就是选中了DENVER，因为我们是在删除主DENVER。
我们想要选的服务器已经选中了，使用“quit”退出到上一个菜单中。 使用“remove selected server”删除所先的对象DENVER，出现了一个确认对话框，选择“是”。 最后使用“quit”命令退出就可以了。 我们打开“Active Directory 站点和服务”下把“DENVER”选中，右击“删除”。