额外域控制升级为主域控制器
一、
实验环境：
域名为https://www.doczj.com/doc/f37424429.html,
1、
原主域控制器
System: windows 20003 Server
FQDN:
https://www.doczj.com/doc/f37424429.html,
IP：192.168.50.1
Mask:255.255.255.0
DNS:192.168.50.1
2、
辅助域控制器
System: windows 2003 Server
FQDN：https://www.doczj.com/doc/f37424429.html,
IP：192.168.50.2
Mask: 255.255.255.0
DNS:192.168.50.1
3、
Exchange 2003 Server
FQDN:https://www.doczj.com/doc/f37424429.html,
IP:192.168.50.3
Mask:255.255.255.0
DNS:192.168.50.1
也许有人会问，做辅域升级要装个Exchange干什么？
其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。如果升级成功，对Exch ange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。
二、实验目的：
在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。
三、实验步骤
1、
安装域控制器。第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装DNS组件。在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。
2、在安装辅助域控器前先看一下我们的Exchange Server工作是否正常，到Exchange Server 中建立两个用户test1和test2，并为他们分别建立一个邮箱，下面使用他们相互发送邮件进行测试，如图。
3、
我们发现发送邮件测试成功，这证明Exchange是正常的。下面正式开始安装第二台域控制器。也是就辅助域控制器（BDC）。
4、
以域管理员身份登陆要提升为辅助域控制器的计算机，点【开始】->【运行】在运行里输入dcpromo打开活动目录安装向导,.点两个【下一步】, 打开如图.
5、
这里由于是安装第二台域控制器，所以选择【现有域的额外域控制器】，点【下一步】。如图
6、
这里输入你的域管理员的用户名和密码，点【下一步】。如图：
7、这里提示你的这台域控制将成为哪个域的额外域控制器，如果正确，点【下一步】，再连续点三个下一步，就开始安装了，如图，安装完成大概要几分钟，你就耐心的等待吧，如图：
8、几分钟后安装完成，提示重新启动计算机，重新启动计算机，此时你的计算机已经成为了https://www.doczj.com/doc/f37424429.html,域的辅助域控制了。此时在活动目录用户和计算机的域控制器里已经有两台域控制了，如图：
9、再查看一下FSMO（五种主控角色）的owner，安装Windows Server安装光盘中的S upport目录下的support tools工具，然后打开提示符输入：netdom query fsmo 以输出FSMO的owner，如图：
10、
现在五个角色的woner 都是PDC，我的就是要把这个五个角色转移到BDC上，使BDC成为这五个角色的owner。
11、现在登陆PDC（主域控制器），进入命令提示符窗口，在命令提示符下输入：ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server BDC --> （备注：这里的dc-1是指服务器名称），提示绑定成功后，输入q退出，如图：
12、
输入？回车可看到以下信息：
Connections - 连接到一个特定域控制器
Help - 显示这个帮助信息
Quit - 返回到上一个菜单
Seize domain naming master - 在已连接的服务器上覆盖域角色
Seize infrastructure master - 在已连接的服务器上覆盖结构角色
Seize PDC - 在已连接的服务器上覆盖 PDC 角色
Seize RID master - 在已连接的服务器上覆盖 RID 角色
Seize schema master - 在已连接的服务器上覆盖架构角色
Select operation target - 选择的站点，服务器，域，角色和命名上下文Transfer domain naming master - 将已连接的服务器定为域命名主机Transfer infrastructure master - 将已连接的服务器定为结构主机Transfer PDC - 将已连接的服务器定为 PDC
Transfer RID master - 将已连接的服务器定为 RID 主机
Transfer schema master - 将已连接的服务器定为架构
如图：
额外域控制升级为主域控制器（二）
13、然后分别输入：
Transfer domain naming master 回车
Transfer infrastructure master 回车
Transfer PDC 回车
Transfer RID master 回车
Transfer schema master 回车
以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YE S，如图：然后接着一条一条完成既可，完成以上按Q退出界面，
14、
这五个步骤完成以后，检查一下是否全部转移到BDC上了，打开在第9步时装w indows support tools,开始－>程序->windows support tools->command prom pt,输入netdom query fsmo,如图:全部转移成功.现在五个角色的owner都是BD C了.
15、角色转移成功以后，还要把GC也转移过去，打开活动目录站点和服务，展开site->default-first-site-name->servers,你会看到两台域控制器都在下面。展开BDC，右击【NTDS Settings】点【属性】，勾上全局编录前面的勾，点确定，如图：
[size=+0]
16、然后展开PDC，右击【NTDS Settings】点【属性】，去掉全局编录前面的勾。如图：这样全局编录也转到BDC上去了，致此主域控制器已经变成BDC了。而PDC就成了辅助域控制器了。
17、
现在已经可以把原来的主域控制器（PDC）删除掉了，在(PDC)现在的辅助域控制器上运行dcpromo按照提示一步一步的删除它，然后将它退出域。就完成了整个升级过程。这里还有一点要注要的：升级完以后，你现在的主域控制器的IP 地址是新的，而不是原来的那个IP地址了，而下面所有的客户端的DNS都是指向原来的主域控制器的，这样就会出现很多问题，包括你的Exchange 就找不到域控制器，所以我最简单的方法就是把BDC（现在的主域控制器）的IP改为P DC（原来的主域控制器）的IP就好了。
18、
这些改完以后启动Exchange ，exchange不要做任何更改就可以正常工作了，但这时在exchange的日志里是有一项错误（MSExchangeAL 事件 8026 和8260）。原因为收件人更新服务配置为使用 Windows 域控制器被降级，。收件人更新服务尝试查询有关该更新, Windows无法联系域控制器。
解决办法：打开 Exchange 系统管理器。展开 " 收件人 " 容器, 然后单击收件人更新服务。双击每个收件人更新服务, 然后再将 Windows 域控制器设置更改为新域中 Windows 域控制器。这样设置完以后，重新启动计算机，一切正常了，发封邮件试试，一切正常。致此全部完成了。
FSMO角色介绍：
架构主机 (Schema master)
－架构主机角色是林范围的角色，每个林一个。此角色用于扩展 Active Dire ctory 林的架构或运行adprep /domainprep
命令。
域命名主机 (Domain naming master) －域命名主机角色是林范围的角色，每个林一个。此角色用于向林中添加或从林中删除域或应用程序分区。
RID 主机 (RID master)
－ RID 主机角色是域范围的角色，每个域一个。此角色用于分配 RID 池，以便新的或现有的域控制器能够创建用户帐户、计算机帐户或安全组。
结构主机 (Infrastructure master)
－结构主机角色是域范围的角色，每个域一个。此角色供域控制器使用，用于成功运行adprep /forestprep
命令，以及更新跨域引用的对象的 SID 属性和可分辨名称属性。
PDC 模拟器 (PDC emulator)
－ PDC 模拟器角色是域范围的角色，每个域一个。将数据库更新发送到 Windo ws NT 备份域控制器的域控制器需要具备这个角色。此外，拥有此角色的域控制器也是某些管理工具的目标，它还可以更新用户帐户密码和计算机帐户密码。
额外域控制升级为主域控制器（三）
前面写的是在PDC还生效的情况下进行BDC升PDC步骤,我们也许会问,PDC还是正常的情况我们为什么提升BDC为PDC 呢.说对了,在PDC还正常的情况下我们是没有必要提升BDC为PDC,而如果PDC出现了问题时呢,比如说PDC的硬件出问题了或都说系统坏了的情况下我们就要提升BDC为PDC了,下面我在为大家说说在PDC出现硬件故障机器开不起来了的情况BDC提升为PDC的步骤:
一、这时我们的PDC已经出现了问题并开不起来了。这时我们来到BDC上，打开AD用户和计算机，在你的域名处点右键――>操作主机打开如图：此时在操作主机项显示的是错误而不是我们的真正的操作主机PDC，所以我们要把BDC更改为操作主机。各位可能就会看到下面不是有个更改按钮吗，直接点更改按钮不就转移过去了吗？其实这我也想到了，但是你在这里点更改会报错的，点了以后过了半天弹出个框框说“请求的 FSMO 操作失败。不能连接当前的 FSMO 盒”，所以我们又要回到命令行模式下进行强制夺取了。
二、在上面的操作中我们已经安装了windows 2003 的support tools了，所以我现在在找开support tools，在命令提示符下输入netdom query fsmo查看一下当前的五个前色的owner是谁，如图：
我们看到当前五个角色的owner还是PDC。下面我们就开始强制夺取吧。
三、再次打开support tools 在命令提示符下输入ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server https://www.doczj.com/doc/f37424429.html,(其实上面这里我写的是BDC的计算机名，而现在输入的又是域名了) ，提示绑定成功后，输入q退出，如图：
四、输入问号可以看到一些帮助信息，上面由于我们是在正常情况下的角色转移我们用的transfer,而现在我们要用seize来进行强制夺取了，分别输入：Seize domain naming master
Seize infrastructure master
Seize PDC
Seize RID master
Seize schema master
Select operation target
以上的命令在输入完成一条后都会确认要占用角色，选择是，如图：然后接着一条一条完成既可，完成以上按Q退出界面，
五、选择是以后。如图：我们看到报错了，呵呵，不过没关系，这是正常的，因为主域PDC不在线，所以在夺取时会有这个出错信息。，所以结构角色会夺取到BDC上，接下来的各个角色的夺取也会有这出错信息。
六、以上命令全部完成以后，我们按Q退出，此时我们再查看一下五个角色的o wner已经是我们的BDC了，如图：
七、以上全部完成以后还要把全局编录转移到BDC上，这些步骤和上面的操作方法一样，所以我这里就不在写了。
WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环
境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
实训二配置额外域控制器 一、知识点： 额外域控制器：如果域中只有一台域控制器，一旦出现物理故障，我们时可以备份还原AD。部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory数据库。 只读域控制器：RODC只能单向的从其他可读写域控制器请求信息，而不会把任何修改传送给其他可写域控制器，这样做不仅可以降低主域服务器的工作负载及监控负载的工作量，还可以提高分支机构网络的安全性，同时便于管理。 二、动手实验： 实验目的： 利用windows server 2008搭建辅助域环境，了解辅助域控制器的作用，不仅学会安装辅助域控制器，而且还应学会如何配置辅助域，并实现辅助域在域环境中的作用。 实验内容： 1、配置域环境中额外域控制器 2、配置域环境中的只读域控制器（RODC） 3、测试辅助控制器是否搭建成功 实验要求： 1、完成实训内容，并做成实验报告。 实验步骤： 第一步配置域环境中额外域控制器 （1）部署环境 设置网络环境
（2）与主域的IP地址要互Ping的通 （3）根据拓扑图要求，将额外控制器的名称改为“BDC1”
输入域https://www.doczj.com/doc/f37424429.html, 点击确定 （4）安装额外域控制器 开始------运行---输入dcpromo
输入dcpromo 点击确定 之后会弹出如下向导对话框，点击下一步 在弹出“部署配置”对话框勾选“现有林---向现有于添加域控制器”
下一步，输入主域名“https://www.doczj.com/doc/f37424429.html,” 点击“设置”
输入“用户名和密码”点击“确定” 点击“下一步”选择域“https://www.doczj.com/doc/f37424429.html,”
多域控制器环境下Active Directory灾难恢复 -------------------------------------------------------------------------------- 摘要 本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。 -------------------------------------------------------------------------------- 目录 Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.doczj.com/doc/f37424429.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作 设置额外域控制器为ＧＣ（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 参考信息 作者介绍 -------------------------------------------------------------------------------- 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）： 架构主机schema master、 域命名主机domain naming master 相对标识号(RID) 主机RID master 主域控制器模拟器(PDCE) 基础结构主机infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的DC 是可以更新目录架构的唯一DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的DC 是可以执行以下任务的唯一DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号(RID) 主机 此操作主机负责向其它DC 分配RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、
Active Directory概述： 使用 Active Directory(R 域服务 (AD DS 服务器角色，可以创建用于用户和资源管理的可伸缩、安全及可管理的基础机构，并可以提供对启用目录的应用程序（如 Microsoft(R Exchange Server）的支持。 AD DS 提供了一个分布式数据库，该数据库可以存储和管理有关网络资源的信息，以及启用了目录的应用程序中特定于应用程序的数据。运行 AD DS 的服务器称为域控制器。管理员可以使用 AD DS 将网络元素（如用户、计算机和其他设备）整理到层次内嵌结构。内嵌层次结构包括 Active Directory 林、林中的域以及每个域中的组织单位 (OU。 1、使用本地管理员登录。 2、修改计算机名为“DC” 3、更改计算机名后，需要重新启动服务器。
4、设置服务器固定IP。 5、通过服务器管理器中添加角色，进行域服务角色安装。（注windows server 2012中已不能使用dcpromo 进入域安装向导） 6、默认选择“下一步”。
7、选择“基于角色或基于功能的安装”。下一步。 8、选择本地服务器“DC”。下一步。 9、选择“Active Directory域服务。
10、默认选项。下一步。 11、默认选项。下一步。
12、选择“如果需要，自动重新启动目标服务器”。按“安装”。（备注：指定备用源路径，指向windows server 2012安装盘） 13、安装完成。按“关闭”。 14、选择服务器任务详细信息，选择“部署后配置”按：将此服务器提升为域控制器。
win2003额外域控制器升级为主域控制器 2010-03-19 23:46:46 标签：控制器 win2003额外域控制器升级为主域控制器 公司https://www.doczj.com/doc/f37424429.html,（虚拟）有一台主域控制器https://www.doczj.com/doc/f37424429.html,，还有一台额外域控制器https://www.doczj.com/doc/f37424429.html,。现主域控制器（https://www.doczj.com/doc/f37424429.html,）由于硬件故障突然损坏，事先又没有https://www.doczj.com/doc/f37424429.html,的系统状态备份，没办法通过备份修复主域控制器（https://www.doczj.com/doc/f37424429.html,），我们怎么让额外域控制器（https://www.doczj.com/doc/f37424429.html,）替代主域控制器，使Activate Directory 继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。 如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC。 --------------------------------------------------------------- 一、从AD中清除主域控制器https://www.doczj.com/doc/f37424429.html,对象 3.1在额外域控制器(https://www.doczj.com/doc/f37424429.html,)上通过ntdsutil.exe工具把主域控制器 (https://www.doczj.com/doc/f37424429.html,)从ＡＤ中删除； c:>ntdsutil ntdsutil: metadata cleanup metadata cleanup: select operation target select operation target: connections server connections: connect to Domain https://www.doczj.com/doc/f37424429.html, server connections: quit select operation target: list sites Found 1 site(s) 0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com select operation target: select site 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com No current domain No current server No current Naming Context select operation target: List domains in site Found 1 domain(s) 0 - DC=test,DC=com Found 1 domain(s) 0 - DC=test,DC=com select operation target: select domain 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com Domain - DC=test,DC=com No current server No current Naming Context select operation target: List servers for domain in site Found 2 server(s)
子域控制器的安装与配置 实验名称：子域控制器的安装与配置成绩： 实验日期：年月日实验报告日期：年月日 一、实验目的 1．掌握子域控制器的安装与配置。 2．掌握子域控制器、额外域控制器与域控制器之间的关系。 二、实验环境 1、一台完成了第一台服务器的典型配置的服务器 2、一台没有任何服务器角色的Windows server 2003服务器 3、用交叉线连起来，没有任何服务器角色的Windows server 2003服务器与完成了第一台服务器的典型配置的服务器IP地址在同一个网段内，且没有任何服务器角色的Windows server 2003服务器的首选DNS服务器设置为完成了第一台服务器的典型配置服务器的IP地址 三、实验内容 1、子域控制器的安装与配置 四、实验步骤、过程 1、执行“开始”→“管理工具”→“配置您的服务器向导”，弹出“配置您的服务器向导”对话框。
2、单击“下一步”按钮，打开“预备步骤”对话框，按照列表一一确认预备步骤是否已经准备好； 3、单击“下一步”按钮，打开“服务器角色”对话框，表中列出的是当前计算机的服务器角色，可以为服务器添加或删除角色。选择“域控制器 (Active Directory)”，单击“下一步”；
4、出现“选择总结”对话框，单击“下一步”； 5、打开“Active Directory 安装向导”；
6、单击“下一步”按钮，出现“操作系统兼容性”对话框，显示不能与Windows server 2003系统Active Directory域控制器进行联网的Windows操作系统。 7、单击“下一步”按钮，打开“域控制器类型”对话框。在这里选择“新域的域控制器”；
域控服务器系统备份和恢复说明 系统备份与恢复 公司局域网中域控服务器担任DNS服务、AD服务2种角色，AD 服务和DNS服务可以通过备份系统状态一起备份。在安装配置好域控服务器后，备份系统原始状态，包括对C盘分区镜像备份；在客户机加域和调试等工作完成后，备份AD、DNS服务，C盘镜像文件和这2个服务每7天备份一次，备份文件名称加日期，分别存放在2T 硬盘下“域控服务器备份”文件夹下的“DC系统状态备份”和“DC 镜像文件备份” 1 AD服务和DNS服务备份与恢复 1.1、备份方案 AD 中数据可以分为AD 数据库及相关文件和SYSVOL（系统卷）。其中AD数据库包括Ntds.dit（数据库）、Edbxxxxx.log（事物日志）、Edb.chk（检查点文件）、Res1.log 和Res2.log（预留的日志文件）；系统卷包括文件系统联接、Net Logon 共享（保存着基于非Windows 2000/2003/xp 的网络客户端的登录脚本和策略对象）、用户登录脚本（基于Windows 2000 Professional、Windows xp 的客户端以及运行Windows 95、Windows 98 或Windows NT 4.0 的客户端）、Windows 2000/2003/xp 组策略以及需要在域控制器上可用并需要在域控制器间同步的文件复制服务(FRS) 的分段目录和文件。 系统状态是相互依赖的系统组件的集合，包括系统启动文件、系
统注册表、COM+类的注册数据库。 当备份系统状态时，AD会作为其中的一部分进行备份，所以选择系统自带备份工具（ntbackup）备份系统状态来备份AD。 为了安全，我们一周备份一次。 1.2、备份过程 开始-运行-输入ntbackup，打开系统自带备份软件（也可以点击“开始-程序-附件-系统工具-备份”打开）。 按确定，进入备份工具欢迎页面 选择高级模式，进入高级模式欢迎页面：
额外域控制升级为主域控制器（一） 额外域控制升级为主域控制器（一） 一、实验环境： 域名为test. 1、原主域控制器 System: windows 20003 Server FQDN: PDC.test. IP：192.168.50.1 Mask:255.255.255.0 DNS:192.168.50.1 2、辅助域控制器 System: windows 2003 Server FQDN：BDC.test. IP： 192.168.50.2 Mask: 255.255.255.0 DNS:192.168.50.1 3、Exchange 2003 Server FQDN:mail.test. IP:192.168.50.3 Mask:255.255.255.0 DNS:192.168.50.1 也许有人会问，做辅域升级要装个Exchange干什么？ 其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。如果升级成功，对Exchange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。 二、实验目的： 在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。 三、实验步骤 1、安装域控制器。第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装 DNS组件。在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。
部署Windows Server 2008 R2域控制器 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP 属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
AD 域DNS 分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS 集成安装，而且集成安装的方法好处有：使DNS 也得到AD 的安全保护，DNS 的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS 服务器，并且即将安装的DC 控制器负载预计会很重，如果觉得DC 本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS 服务器（DNS-srv ）+主域控制器（AD-zhu ）+额外域控制器（AD-fu 点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu 、AD-fu 、DNS-srv 为静态地址） huanjing.png 对于DC 和DNS 分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS 。先安装DC 在安装DNS 的话，需要注意的就是DC 安装完后在安装DNS 需要重启DC 以使DNS 得到DC 向DNS 注册的SRV 记录，Cname 记录，NS 记录。那么我们就以先安装DNS 为例,对于实现这个环境需要三个大步骤： 1.DNS 服务器的安装； 2.DC 主控制器的安装； 3.DC 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC 和DNS 的关系，安装前请先参阅：(v=ws.10) 安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active https://www.doczj.com/doc/f37424429.html, AD-zhu DC 192.168.23.20 Client-0 客户端 192.168.23.40 DNS-srv DNS 192.168.23.10 AD-fu 额外DC 192.168.23.30
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果.. 其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～ 本贴说明： ....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！ AD、DC说明： .域名：https://www.doczj.com/doc/f37424429.html, ..主域：DC-ISA-NLB-1 ..副域：DC-ISA-NLB-2 .系统：2003企业版 故障情况：（真实环境跑完全过程..） ..主域崩溃，副域无法正常工作，如： ....无法浏览https://www.doczj.com/doc/f37424429.html, 中 Active Directory用户和计算机，提示无法连接错误； ....AD管理项目均报错，组策略.....等； ....域用户无法登录； 解决方法：（以上是在副域上操作） ..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录； ..使用命令：ntdsutil.....AD工具 ..过程：（大概6-8分钟） . 登入Windows 2000 Server 或Windows Server 2003 成員電腦或樹系(要抓取FSMO 角色的地方) 中的網域控制站。建議您登入要指派FSMO 角色的網域控制站。登入的使用者必須是要傳輸架構主機，或網域命名主機角色的企業系統管理員群組成員；或正要傳輸PDC 模擬器、RID 主機和基礎結構主機等角色，其所在網域的網域系統管理員群組之成員。 . 按一下[開始]，按一下[執行]，在[開啟]方塊中輸入ntdsutil，然後按一下[確定]。. 輸入roles，再按下ENTER。 . 輸入connections，再按下ENTER。 . 輸入connect to server servername，然後按ENTER，其中servername是您要指派FSMO 角色的網域控制站之名稱。 . 在server connections提示字元中輸入q，然後按下ENTER。 . 輸入seize role，其中role是您要抓取的角色。如需可以抓取的角色之清單，請在fsmo main tenance提示字元中輸入?，然後按下ENTER；或直接查看本文件開頭所列的角色清單。例如，如果要抓取RID 主機角色，請輸入seize rid master。唯一的例外是PDC 模擬器角色，該角色的語法是
安装部署域控制器 本软件系统的主要技术实现手段是通过网络把远端服务器上的映像文件完全仿真成本地磁盘。在这个仿真的“本地磁盘”上同样可以引导和启动操作系统以及运行其他软件，并保持原貌不做任何的更改。虚拟硬盘的加载与真实硬盘处于同一层面，因而不存在任何兼容性问题。若客户端系统使用的是微软支持域功能的桌面操作系统，则同样可以完成加域操作，并和有盘系统一样接受活动目录（ActiveDirectory）的管理以及进行其他相关应用。 1.ActiveDirectory相关 a)什么是活动目录（ActiveDirectory）？ 活动目录是一种目录服务，目录服务包括三方面的功能：组织网络中的资源，提供对资源的管理，对资源的访问控制。活动目录服务通过将网络中各种资源的信息保存到一个数据库中来为网络中的用户和管理员提供对这些资源的访问，管理和控制，这个数据库叫做活动目录数据库。 b)关于目录与目录服务 要想理解什么是活动目录（ActiveDirectory），必须先理解什么是目录（Directory）和目录服务（DirectoryService）。在计算机中使用的“目录”和现实生活中使用的“目录”很相似，都是存储以某种方式相关联的信息集。如通讯录存储用户名称和相应的电话号码，还可能包括关于该用户的的地址或其他信息。 目录服务就是用户通过其提供的服务来使用目录中的信息。用于识别网络中的各种资源，使用户和应用程序能够访问这些资源，并将这些资源集中存储，使用和管理这些资源的全部信息，因而简化了查找和管理这些资源的过程。 c)如何实现活动目录服务？ 域是活动目录的一种实现形式，也是活动目录最核心的管理单位和复制单位。一个域由域控制器和成员计算机及用户组成。域控制器（DomainControler）就是安装了活动目录服务的一台计算机，简称DC。在域控制器上，每一个成员计算机都有一个计算机账号，每一个域用户都有一个域用户账号。域管理员可以在域控制器上实现对域用户账号和计算机账号及其他资源的管理。 域还是一种复制单位，我们在域中可以安装多台域控制器，域管理员可以在任何一台域控制器上创建和修改活动目录对象。域控制器之间可以自动的同步，或者复制这样一种更新。 2.创建活动目录服务——部署域控制器 域控制器，DomainController，是实现ActiveDirectory的载体和控制单位。要良好的进行活动目录服务，域控的安装部署以及管理至关重要。 部署网络中的第一台域控制器 实验环境
将额外控制器升级为主域控制器 前两天打雷，一台额外域控制器（windows 2003 DC服务器）主板击坏，无法维修，还好，主域控服务器(Windows 2003 )没有什么事，现购买一台新机作为服务器，打算把新机升级为主域控制器，原来的主域降级为额外域控制器； 一、新服务器安装好Windows 2003企业版操作系统及更新补丁，具体大家都会做，不用多说了； 二、在控制面板--添加删除程序--点击添加删除组件，出现新窗口，点击网络服务，选择如下服务（WINS,DHCP,DNS,简单TCP/IP服 务）； 点击确定，放入windows2003光盘到光驱；
三、将Windows 2003升级为额外域控制器，使用Dcpromo命令，出现升级向导，如下图： 点击下一步，选择现在域的额外域控制器；接下来输入域控制器的管理员帐号和密码及域名（例：https://www.doczj.com/doc/f37424429.html,）； 输入完成后点击下一步，直到完成（中间步骤省略），重启服务器；这样就安装成功额外域控制器； 四、接下来，在管理工具中，点击Active Directory 站点和服务，自动创建了连接，出现如下窗口，如图：
在主域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接； 在额外域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接； 最好查看一下日志看有没有错误；同时检查一下DNS看有没有同步； 五、将额外域升级为主域控制器； 1、将DC-SRV主域的FSMO，五种角色转移到BDC-SRV上，别忘了在Active Directory 站点和服务将BDC-SRV也标识成GC。
主域控制器系统安装及配置 一、W2K Server安装（请参考《Windwos 2000 Advanced Server安装手册》） 注意事项： 1、将W2K Ad Server安装盘放入光驱，安装光盘自动检测运行。 2、创建C盘，空间建议在10G左右，用NTFS格式（如果已装过系统，建议重新分区） 3、每服务器同时连接数字，建议输入999，（或者根据网络站点情况输入相应站点） 4、输入规划的计算机名：DBSERVER 5、在选择安装程序组件中，去掉IIS 6、正常安装系统 7、系统安装完毕后，启动进入系统，放入服务器导航盘安装驱动，把有问号的设备全部重 新安装驱动程序，详见下图
8、进入W2K Server 界面，装SP4，装完重启 9、配置IP地址，第一个域控不用设DNS，默认为127.0.0.1，以后配置的域控DNS指向第 一个域控 二、服务器配置 在服务器配置选项中，选择“网络中已有一个或多个服务器在运行”，见下图
三、Active Directory和 DNS安装 确定操作系统安装完全、网卡驱动安装正确、IP设置正确、网络已有连接后，才可以开始Active Directory和 DNS安装 在服务器配置中，点击Active Directory，选择启动，见下图 DBSERVER作为全网第一个域控，因此采用如下方法进行配置：
1、选择新的域控制器 2、创建一个新的域目录树 3、创建一个新的域目录林
4、输入新域的DNS全名，如 https://www.doczj.com/doc/f37424429.html, 5、输入新域的NetBIOS名，如 sztv 6、数据库与日志位置，选择默认 7、sysvol文件夹位置，选择默认
Windows Server 2003环境下域控制器挂掉后的处理步骤 前提 必须是域内有多域控制器，如果没有，还是老老实实地去做全盘备份和恢复吧。 实验环境： ●域名：https://www.doczj.com/doc/f37424429.html, ●第一台域控制器： ?计算机名：https://www.doczj.com/doc/f37424429.html, ?IP：192.168.5.1 ?子网掩码：255.255.255.0 ?DNS：192.168.5.1 ?并且FSMO五种角色及GC全部在第一台域控上。 ●第二台域控制器： ?计算机名：https://www.doczj.com/doc/f37424429.html, ?IP：192.168.5.2 ?子网掩码：255.255.255.0 ?DNS：192.168.5.2 灾难情况 第一台域控制器由于硬件原因，导致无法启动。客户端虽然还可以利用本地缓存进行登陆，但已经无法再利用域资源了。
操作目的 让第二台额外域控制器来接替第一台的工作，也就是说把FSMO和GC全部转移到额外域控制器上来。操作步骤 首先，要把第一台域控制器的所有信息从活动目录里面删除。 点击“开始-运行”，输入：“cmd”并回车，在命令提示符下输入：“ntdsutil”，然后回车。 选择“Metadata cleanup ----清理不使用的服务器的对象”然后依次输入下面的命令： 显示一下Site中的域： 结果找到两个，其中“1”是我建的子域，所以这里要先择“0”：
通过上面的信息，我们可以看到两个服务器，其中SERVER是我们要删除的，因为它已经DOWN机了。所以这里要选择“0”： 选中后，按“q”退出到上一层菜单： 接下去删除服务器信息，出现提示后点是。 在上图中点击“是”：
图解WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC 时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络
环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
使用 Active Directory(R) 域服务 (AD DS) 服务器角色，可以创建用于用户和资源管理的可伸缩、安全及可管理的基础机构，并可以提供对启用目录的应用程序（如Microsoft(R) Exchange Server）的支持。 AD DS 提供了一个分布式数据库，该数据库可以存储和管理有关网络资源的信息，以及启用了目录的应用程序中特定于应用程序的数据。运行 AD DS 的服务器称为域控制器。管理员可以使用 AD DS 将网络元素（如用户、计算机和其他设备）整理到层次内嵌结构。内嵌层次结构包括 Active Directory 林、林中的域以及每个域中的组织单位 (OU)。 1、使用本地管理员登录。 2、修改计算机名为“DC” 3、更改计算机名后，需要重新启动服务器。 4、设置服务器固定IP。 5、通过服务器管理器中添加角色，进行域服务角色安装。（注windows server 2012中已不能使用dcpromo进入域安装向导） 6、默认选择“下一步”。
7、选择“基于角色或基于功能的安装”。下一步。 8、选择本地服务器“DC”。下一步。 9、选择“Active Directory域服务。 10、默认选项。下一步。 11、默认选项。下一步。 12、选择“如果需要，自动重新启动目标服务器”。按“安装”。（备注：指定备用源路径，指向windows server 2012安装盘） 13、安装完成。按“关闭”。
14、选择服务器任务详细信息，选择“部署后配置”按：将此服务器提升为域控制器。 15、选择“添加新林”，填写根域名：。 16、选择林和域功能级别是windows server 2003,提供域控制器功能，选择“域名系统（DNS）服务器。默认是选“全局编录”。并设置活动目录还原密码。 17、默认选择下一步。 18、默认显示NetBIOS是MCITP。 19、默认选择下一步。 20、显示安装信息，下一步。 21、查看导出安装AD脚本。
域控制服务器教程 把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统， 我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server IP:192.168.5.1 子网掩码:255.255.255.0 DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器) 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面: 向下搬运右边的滚动条，找到“网络服务”，选中:
默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装: 然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
Windows Server 2012 R2 创建AD域 前言 我们按照下图来创建第一个林中的第一个域。创建方法为先安装一台Windows服务器，然后将其升级为域控制器。然后创建第二台域控制器，一台成员服务器与一台加入域的Win8计算机。 环境 网络192.168.100.1子网掩码255.255.255.0 网关192.168.100.2 域名https://www.doczj.com/doc/f37424429.html, DC1 192.168.100.11/24 DC2 192.168.100.12/24 Server 192.168.100.13/24 PC1 192.168.100.14/24
创建域的必备条件 ●DNS域名：先要想好一个符合dns格式的域名，如https://www.doczj.com/doc/f37424429.html, ●DNS服务器：域中需要将自己注册到DNS服务器内，瓤其他计算机通过DNS服务 器来找到这台机器，因此需要一台可支持AD的DNS服务器，并且支持动态更新（如果现在没有DNS服务器，则可以在创建域的过程中，选择这台域控上安装DNS服务器） 注：AD需要一个SYSVOL文件夹来存储域共享文件（例如域组策略有关的文件），该文件夹必须位于NTFS磁盘，系统默认创建在系统盘，为了性能建议按照到其他分区。 创建网络中的第一台域控制器 修改机器名和ip 先修改ip地址，并且将dns指向自己，并且修改计算机名为DC1，升级成域控后，机器名称会自动变成https://www.doczj.com/doc/f37424429.html,
安装域功能 选择服务器 选择域服务
提升为域控制器 添加新林
此林根域名不要与对外服务器的DNS名称相同，如对外服务的DNS URL为 https://www.doczj.com/doc/f37424429.html,，则内部的林根域名就不能是https://www.doczj.com/doc/f37424429.html,，否则未来可能会有兼容问题。
【WIN08R2 Active Directory】之一部署企业中第一台Windows Server 2008 R2域控制器 【WIN08R2 Active Directory】之一部署企业中第一台Windows Server 2008 R2域控制器 作者：刘力科日期：2010-05-27 前言 对于活动目录（AD）来讲，从Windows 2000到现在有非常多的文章在对其进行探讨，微软公司每推出一代新的Windows系统，这一重要服务技术不管是从功能上还是从性能上都在不断进步。在此，以最新Windows Server 2008 R2（以后简称WIN08R2）系统为例，从零开始讲述关于WIN08R2活动目录相关技术。希望能一直坚持写完！ ——胖哥 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP 地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
目录 第一章虚拟场景 (2) 1、公司简介 (2) 2、公司现有IT状况 (2) 第二章实验设计 (3) 1、域规划 (3) 2、计算机规划 (3) 第三章具体实施 (4) 1、建立根域 (4) 1.1准备 (4) 1.2 安装 (4) 2、建立子域 (10) 3、额外域控制器建立 (13) 4、站点的建立与连接 (19) 4.1 创建站点 (19) 4.2 定义站点子网 (20) 4.3 定位服务器 (20) 4.4 配置站点连接器 (21) 5角色迁移 (22) 第四章实验中的问题 (26)
第一章虚拟场景 1、公司简介 某公司通过合理的运营和管理，发展迅速，员工人数已有200人左右，现在该公司总部设在长春，两个子公司分部在大连和沈阳，为了满足公司未来的发展和企业运营的需求，公司决定重新部署企业网络。公司决定部署一个由200台计算机组成的局域网。用于完成企业数据通信和资源共享。 公司内部有：人力资源部、行政部、财务部、工程部、销售部、总经理办公室 2、公司现有IT状况 公司已有一个局域网，运行200台计算机，服务器操作系统是windows server 2008，客户机的操作系统是windows xp，工作在工作组模式下，员工一人一机办公。公司从ISP申请2M专线用于与各个子公司相连，实现各公司间资源交换与共享。由于计算机比较多，管理上缺乏层次，公司希望能够利用windows域环境管理所有网络资源，提高办公效率，加强内部网络安全，规范计算机使用。
第二章实验设计 1、域规划 一改以往的工作组模式，组建域，使管理更方便，工作的环境更安全，用户可以在任意一台域内的计算机登录，共享网络资源。 在总公司长春建立根域https://www.doczj.com/doc/f37424429.html,内部子网172.16.18.0/24 大连分部建立子域https://www.doczj.com/doc/f37424429.html,内部子网10.10.10.0/24 沈阳分部建立子域https://www.doczj.com/doc/f37424429.html,内部子网192.168.80.0/24 2、计算机规划 DC情况如下表: 地区DC计算机名IP 子网掩码DNS 长春Mywingc 172.16.18.51 255.255.255.0 172.16.18.51 Mywinsu 172.16.18.216 255.255.255.0 172.16.18.51 大连Hanwin01 10.10.10.1 255.255.255.0 172.16.18.51 Hanwin02 10.10..10.216 255.255.255.0 172.16.18.51 沈阳Tbwin01 192.168.80.173 255.255.255.0 172.16.18.51 Shiwin02 192.168.80.215 255.255.255.0 172.16.18.51 2M