主域控制器和额外域控制器问题讨论

win2003额外域控制器升级到主域控制器一．其实，对于windows 2003,并没有“传统”的主域控制器和额外域控制器的区别。

如果说有区别的话,那就是第一台域控制器上拥有FSMO.二.什么是FSMO?FSMO的英文全称为Flexible Single Master Operations.这些角色包括:★架构主机(Schema master) －架构主机角色是林范围的角色，每个林一个。

此角色用于扩展Active Directory 林的架构或运行adprep /domainprep 命令。

★域命名主机(Domain naming master) －域命名主机角色是林范围的角色，每个林一个。

此角色用于向林中添加或从林中删除域或应用程序分区。

★RID 主机(RID master) －RID 主机角色是域范围的角色，每个域一个。

此角色用于分配RID 池，以便新的或现有的域控制器能够创建用户帐户、计算机帐户或安全组。

★PDC 模拟器(PDC emulator) －PDC 模拟器角色是域范围的角色，每个域一个。

将数据库更新发送到Windows NT 备份域控制器的域控制器需要具备这个角色。

此外，拥有此角色的域控制器也是某些管理工具的目标，它还可以更新用户帐户密码和计算机帐户密码。

★结构主机(Infrastructure master) －结构主机角色是域范围的角色，每个域一个。

此角色供域控制器使用，用于成功运行adprep /forestprep 命令，以及更新跨域引用的对象的SID 属性和可分辨名称属性。

Active Directory 安装向导(Dcpromo.exe) 将这五种FSMO 角色全部分配给林根域中的第一台域控制器.三.现在我们要做的事情就是:将FSMO角色转移到另一台域控制器上.使用的工具是:ntdsutil.exe(在命令行直接运行).关于ntdsutil.exe的使用可以参考微软的相应文档.1.使用Ntdsutil.exe 捕获FSMO 角色或将其转移到域控制器[url]/kb/255504/zh-cn[/url]2.域控制器降级失败后如何删除Active Directory 中的数据[url]/kb/216498/[/url]3.域控制器降级失败后如何删除Active Directory 中的数据(这个文档是针对win 2K的,对于windows 2003,参考价值仍有)[url]/kb/216498/zh-cn[/url]四.基本步骤如下:1.清除AD中的数据,(命令是可以简化的,比如connect to server servername可以写作con to ser,命令提示符键入ntdsutil,metadata cleanup,connections,connect to server servername,quit,select operation target,list domains,select domain number,(比如select domain 0,下同)list sites,select site number,list servers in site,select server number,quit,remove selected server,quit.2.清理DC帐户需要运行adsiedit.msc.这个工具是要安装的.安装ADSIedit.msc工具:运行windows 2003光盘\SUPPORT\TOOLS\ suptools.msi,工具将安装在C:\Program Files\Support Tools文件夹下.3.在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＳMＯ操作,核心命令是:Seize domain naming masterSeize infrastructure masterSeize PDCSeize RID masterSeize schema master[注:Seize是在原FSMO不在线时的操作,如果原FSMO在线,需要使用转移(Transfer)操作]4.可能还需要清理DNS和设置全局编录(GC),这个难度不大,不再多述.至此,FSMO开始在另一台域控制器上正常工作.exchange等服务也恢复正常.。

主副域控工作机制主副域控工作机制引言：在计算机网络中，域控制器是一种重要的服务器角色，用于管理和控制域内的计算机和用户。

主副域控制工作机制是一种常见的配置方式，用于提高域控制器的可用性和容错性。

本文将详细介绍主副域控制工作机制的原理和实施方法。

一、主副域控制工作机制的概述主副域控制工作机制是指在一个域中同时配置一个主域控制器和一个副域控制器的方式。

主域控制器负责处理域内的所有操作，而副域控制器则作为备份，以确保在主域控制器故障时能够无缝切换并继续提供服务。

这种工作机制可以提高域控制器的可用性和容错性，确保网络的稳定运行。

二、主副域控制工作机制的原理主副域控制工作机制的原理是通过域同步和故障切换来实现的。

主域控制器和副域控制器之间通过域同步机制保持数据的一致性。

主域控制器将域内的所有更改记录下来，并将这些更改传输给副域控制器，以确保副域控制器上的数据与主域控制器上的数据保持同步。

当主域控制器发生故障时，副域控制器会自动接管主域控制器的工作，并继续提供服务，从而实现故障切换。

三、主副域控制工作机制的实施方法1. 配置主域控制器：首先，需要选择一台服务器作为主域控制器，并安装相应的操作系统和域控制器软件。

然后，进行域控制器的配置和设置，包括域名、管理员账户、安全策略等。

最后，将主域控制器添加到域中，并进行必要的测试和验证。

2. 配置副域控制器：选择一台服务器作为副域控制器，并按照相同的步骤进行操作系统和域控制器软件的安装。

在配置过程中，需要指定主域控制器的名称和地址，以便副域控制器能够与主域控制器进行域同步。

完成配置后，将副域控制器添加到域中，并进行测试和验证。

3. 配置域同步：在主副域控制器之间配置域同步，以确保数据的一致性。

域同步可以通过多种方式实现，如使用文件复制、数据库复制或日志复制等。

根据实际情况选择合适的同步方式，并进行相应的配置和测试。

4. 测试和验证：完成主副域控制器的配置后，需要进行测试和验证，以确保主副域控制工作机制的正常运行。

主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果....关于AD灾难恢复，最终测试..关于AD灾难恢复有很多非常好技术文章可以参考，在狗狗搜索NNN编，但为何还是要写这篇呢，‘听不如看，看不如做，做不如写’嘿嘿，反正写写没多难，最紧要入脑袋！！其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～本贴说明：....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！AD、DC说明：.域名：..主域：DC-ISA-NLB-1..副域：DC-ISA-NLB-2.系统：2003企业版故障情况：（真实环境跑完全过程..）..主域崩溃，副域无法正常工作，如：....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；....AD管理项目均报错，组策略.....等；....域用户无法登录；解决方法：（以上是在副域上操作）..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；..使用命令：ntdsutil.....AD工具..过程：（大概6-8分钟）C:\Documents and Settings\Administrator.LH>ntdsutilntdsutil: metadata cleanupmetadata cleanup: connectionsserver connections: connect to server dc-isa-nlb-2绑定到 dc-isa-nlb-2 ...用本登录的用户的凭证连接 dc-isa-nlb-2。

server connections: qmetadata cleanup: qntdsutil: rolesfsmo maintenance:Seize domain naming master ‘点OK’fsmo maintenance:Seize infrastructure master ‘点OK’fsmo maintenance:Seize PDC ‘点OK’fsmo maintenance:Seize RID master ‘点O K’fsmo maintenance:Seize schema master ‘点OK’‘关闭CMD窗口’...～～以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧：..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’；.....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’；..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’.....1.点击‘DC-ISA－NLB-1’；...........a.选中分支‘NTDS Settings’；...........b.点击‘删除’，对话框‘选择第三项’；.....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’；.....3.点击‘DC-ISA－NLB-2’...........a.选中分支‘NTDS Settings’...........b.点击右键选择‘属性’，全局编录前打上勾；完工....以上搞点后，余下就可以慢慢修复你的主域了。

Server 2012 R2部署域控、额外域控与FSMO角色转移和夺取网络环境：2012R2DC1.itpro.+DNS+DHCP操作系统：Windows Server 2012 R2 Standard网卡信息：IP：2012R2DC2.itpro.+DNS+DHCP操作系统：Windows Server 2012 R2 Standard网卡信息：IP：DHCP配置如下：网关：无配置2台服务器为DHCP故障转移一、主域的安装与配置配置网卡信息，如如下图打开服务器管理器，点击添加角色和功能如如下图选择安装类型：基于角色或基于功能的安装，如如下图池中仅一台主机，保持默认〔此图是在未更改主机名时截取的，更改后的截图找不到了，拿来顶替〕，如如下图选择AD域服务并添加功能，如如下图功能不做添加，不选择直接下一步，跳转到添加ADDS域服务向导，如如下图确认安装所选内容，点击安装，如如下图正在安装域服务器，如如下图安装完毕，点击关闭，如如下图点击服务器管理器上方的小旗子查看提示内容，选择将此服务器提示为域控制器，如如下图因为这是此域中第一个域，选择添加新林并输入根域名信息，如如下图选择域控制器林和域功能级别并设置DSRM密码，如如下图出现DNS敬告，因为没有安装DNS，忽略，直接下一步，如如下图NETBIOS设置，保持默认，直接下一步，如如下图17指定ADDS数据库、日志文件和SYSVOL存放的位置，如如下图配置选项查看，可检查是否有问题，有问题点击上一步返回，否如此直接下一步，如如下图AD域服务器部署前先决条件检查，检查通过后，点击安装，如如下图正在配置域服务，配置完成后会自动重启。

如如下图重启后，登录AD服务器，配置DNS反向查找区域，没有反向查找区域时，nslookup解析会出现问题，如如下图DNS反向查找区域配置向导，如如下图在区域类型中选择主要区域，如如下图设置传送作用域，如如下图设置反向查找IP类型，如如下图输入反向查找区域名称，如如下图指定反响查找更新类型，如如下图完成DNS反向查找区域建立，如如下图在DNS反向查找区域中查看记录，如如下图二、上面设置已经完成主域的部署，接下来，部署额外域控。

主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果..其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～本贴说明：....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！AD、DC说明：.域名：..主域：DC-ISA-NLB-1..副域：DC-ISA-NLB-2.系统：2003企业版故障情况：（真实环境跑完全过程..）..主域崩溃，副域无法正常工作，如：....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；....AD管理项目均报错，组策略.....等；....域用户无法登录；解决方法：（以上是在副域上操作）..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；..使用命令：ntdsutil.....AD工具..过程：（大概6-8分钟）.登入Windows 2000 Server 或Windows Server 2003 成員電腦或樹系(要抓取FSMO 角色的地方) 中的網域控制站。

建議您登入要指派FSMO 角色的網域控制站。

登入的使用者必須是要傳輸架構主機，或網域命名主機角色的企業系統管理員群組成員；或正要傳輸PDC 模擬器、RID 主機和基礎結構主機等角色，其所在網域的網域系統管理員群組之成員。

.按一下[開始]，按一下[執行]，在[開啟]方塊中輸入ntdsutil，然後按一下[確定]。

.輸入roles，再按下ENTER。

.輸入connections，再按下ENTER。

.輸入connect to server servername，然後按ENTER，其中servername是您要指派FSMO 角色的網域控制站之名稱。

.在server connections提示字元中輸入q，然後按下ENTER。

.輸入seize role，其中role是您要抓取的角色。

WindowsServer2012R2辅域控制器如何升级成主域控制器⼀、实验模拟故障问题： zhuyu公司架设了⼀台主域控制器和⼀台辅域控制器，某⼀天，zhuyu公司的主域控制器系统崩溃，主域控制器系统也进不去。

虽然辅域控制器可以暂时代替主域控制器的普通⼯作，但是特殊的操作辅域控制器是没办法操作的。

经过zhuyu公司领导同意， 决定把主域控制器撤⾛，直接让辅域控制器升级成主域控制器。

⼆、⽹络拓扑图：********** 注意事项 **********1、辅域控若要接管主域控的前提是主域控与辅域控上都要有DNS，并且DNS是与域控是集成的。

2、客户端进⾏域访问时⾸先会联系⾸选DNS，即主域控，但是这时的主域控已经脱离⽹络，⽆法访问。

客户端就会尝试使⽤备⽤DNS，就会联系辅域控，达到正常访问，但是这样做的话，有⼀个很明显的问题，就是访问、验证、登录会⽐以前慢很多，因为要先联系主域控。

3、主域控系统⽹络是断开状态，辅域控若要获取主域控全部权限，辅域控必须通过强夺的⽅式把主域的FSMO的五个⾓⾊从主域控上强夺过来使⽤，通过ntdsutil命令清理死亡的主域控的残留信息(元数据)，最后指定辅域控为GC(全局编录)。

4、修改辅域控的IP为原来主域控的IP，同时重启Netlogon服务，⼿动将主域的DNS记录（包括A记录、NS记录、SRV记录、SOA记录）更改为原主域控的IP地址，把DNS名称服务器(NS)存在的已死亡的主域控删除掉。

5、辅域控重启系统检查DNS和域控是否正常，查看⽇志⽂件是否报错。

三、操作步骤：1、辅域控制器固定IP设置。

2、主域控制器已经脱离⽹络，ping 192.168.10.30已经不通了。

3、因为主域控已经断开连接，所以，辅域控的操作主机显⽰错误。

4、在辅域控DOS命令下运⾏netdom query fsmo 查看当前的FSMO五个⾓⾊的拥有者都是test-zhuAD主域控，所有辅域控test-beiAD采⽤强夺⽅式把主域控test-zhuAD五个⾓⾊强夺过来。

主域控制器两种故障恢复的处理⽅式主域控制器故障的两种情况：主域控制器出现故障后仍可⽤与主域控制器出现故障后彻底不能⽤的的处理⽅式。

AD：主域控制器⼜简称为PDC，故障通常会出现两种情况，但是都需要额外域控制器的帮助，下⾯是两种故障的解决⽅案。

主域控制器故障，有两种状况：主域控制器故障仍可⽤和主域控制器故障彻底玩完，看看两种故障的处理⽅式咯1、主域控制器故障但仍可⽤主域控制器=服务器A；额外域控制器=服务器B在服务器B上安装Windows server 2003的管理⼯具，将服务器B升级为新主域控制器，A将⾃动降级成额外域控制器，然后再原主域控制器服务器A上运⾏dcpromo命令将其本⾝从AD中删除----转移操作主机⾓⾊--连接额外域控制器A、在主域控制器 [管理⼯具]--[AD⽤户和计算机]B、右键单击选中[]域，选择[连接到域控制器]C、在[连接到域控制器]属性对话框中[选择⼀个可⽤的域控制器]列表中选择当前域的额外控制器[],点击确定。

--转移RID主机⾓⾊A、⽤⿏标右键单击[]，选择[操作主机]B、在[操作主机]属性对话框，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改RID主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在AD对话框中的“你确定要传送操作主机⾓⾊？”点击是。

--转移PDC主机⾓⾊A、在[操作主机]属性对话框，单击[PDC]选项卡，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改PDC主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在更改过程中弹出的对话框，单击是--转移结构主机⾓⾊A、在[操作主机]属性对话框，单击[结构]选项卡，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改结构主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在更改过程中弹出的对话框，单击是--转移域命名主机⾓⾊A、在[管理⼯具]中运⾏[AD域和信任关系]B、右键单击[AD域和信任关系]，从菜单中选择[连接到域控制器]，将弹出[连接到域控制器]对话框，选中[原额外域控制器的计算机名称]单击确定。

域控制器配置心得体会作为企业的IT管理员，域控制器的配置是一项必备的技能。

在这个过程中，我积累了许多经验和心得。

今天，我想分享我的一些体会。

1. 首先，要熟悉Active Directory的架构和功能。

在配置域控制器时，必须使用Active Directory来管理用户、计算机和其他资源。

Active Directory 是一个复杂的系统，需要深入了解它的基本结构、域和子域之间的关系、安全性、复杂的组织单元和不同对象类型之间的交互。

只有全面理解了这些，才能确保域控制器的正确配置。

2. 确定合适的硬件和操作系统。

域控制器的性能是关键，一般情况下，硬件应该是高性能、可靠的。

另外，操作系统版本选择也需要慎重考虑，因为不同的版本可能会影响安全和功能等方面。

3. 建立良好的域名命名约定。

域名应该被精心选择，不能太长或太冗长，因为这可能会影响用户的体验。

同时，应该确保所有管理员使用相同的命名约定来建立域名，这样可以避免混淆。

4. 使用域控制器的最佳做法。

对于IT管理员而言，使用域控制器的最佳做法是确保系统的稳定和安全。

一些最佳实践包括升级和测试所有更新、使用安全口令并进行定期更换、备份和恢复策略、在所有的 Server Core 安装上启用崩溃转储或 minidump 文件。

此外，对于管理员而言，最佳做法还包括在所有域控制器上启用硬件和网络监测，以帮助检测问题并保护系统安全。

5. 监测和优化域控制器性能。

对于IT管理员而言，相关参数的监测和优化是保持系统正常运行的关键。

一些相关的参数包括系统的空间和磁盘使用率，CPU、网络、内存和存储器的使用率等等。

通过监控和优化这些参数，可以持续改善系统性能，加强系统的安全性和可靠性。

6. 培训和支持。

对于IT管理员而言，他们应该提供训练和支持以确保他们的员工可以正确地使用域控制器。

培训应该包括有关 Active Directory 的基本原理、模板和策略和信息安全方面的基本知识。

酒泉人民医院额外域控制器提升为主域控制器的过程一、提升额外域控制器步骤：1、在安装完企业版WIN2003操作系统后，打SP2补丁，以及相关补丁。

2、在IP地址中配置好IP以及主DNS服务器的的地址3、在开始运行中输入：dcpromo命令，进入域控提升程序4、选择现有域控的额外域控制器选项，按照正常步骤进行到结束，重启服务器5、安装DNS组件二、将额外域控制器提升为主域控的步骤（转换域的五个功能角色）1、将服务器IP地址中主DNS选项改为本机IP地址，额外的DNS选择其他DNS服务器地址2、打开AD用户和计算机工具，在服务器级别右键，选择连接到域控制器3、在弹出对话框中选择新安装的额外域控制器，点击确定4、在服务器级别右键，选择操作主机一项6、在弹出的对话框中有三个标签项，分别代表域中的三个功能角色：RID,PDC,结构，当前操作主机应该是当前的主域控制器，如果想把角色变更到新的额外的域控制器中，点击更改按钮，改变角色主机，如果更改成功会有相应提示成功。

分别将三个标签的角色都进行更改，如都成功了，说明在域中的三个重要角色已经转移到额外的域控制器中。

7、打开AD域和信任关系工具，参照之前的方法提升第四个功能角色（域命名主机），先选择连接到域控制器，在弹出对话框中选择额外的域控制器，确定退出8、再右键选择操作主机，在弹出的对话框中点击更改，更改角色主机9、更改第五个域的重要角色的操作主机位置，点击开始运行，输入regsvr32 schmmgmt.dll注册最后一个域的功能角色（架构主控），10、在开始运行输入MMC，点击控制台，点击添加删除管理单元11、在弹出的对话框中点击添加按钮，选择AD架构一项，点击添加，点击确定退出13、右键点击选择操作主机，将角色进行更改三。

、提升域控为GC1、在提升为主域控制器后，要将此域控提升为GC，在AD站点和服务工具中选择新的站点服务器，在NTDS SETTING中选择右键属性2、选中全局编录选项，确定退出，全局编录服务器设定完成。