主域控制损坏安装新域控制FSMO角色转移详细过程
主域控制损坏安装新域控制FSMO角色转移详细过程
[ 来源：https://www.360docs.net/doc/ab2845112.html,/ | 作者：| 时间：2008-9-6 10:48:35 | 浏览：13 人次] FSMO角色的转移/夺取的过程(用于如硬件更新,DC损坏,让BDC工作)
由于公司硬件环境的更换,那么现在把老的服务器去掉,换上了新的服务器.
这个过程的实施给写下来:
服务器操作软件资源站">下载">系统.2003Entprise Edition
客户端系统.XP pro
拓朴如下:
现在是存在一台DC(域名:nwtrader.msft),DC上有用户a(用于后面验证),一台客户端,网络是连通的.
购买了一台新的机器,放到这个网络来了,IP:192.168.10.2.准备替换之前那台DC
那么第一步工作是.把新的机器,作为BDC,把活动目录信息同步过来.
操作过程如下新机器上操作)
检查跟DC的域名解释.
建立BDC
输入具有权限的用户,我用的是administrator,属于enterprise admins 现有DNS名称.
数据库存放路径,sysvol存放路径,(建议用默认路径)必须存放在NTFS的文件系统.
输放还原模式密码,用于目录服务的还原.
BDC建立成功.
BDC重启.
接下来在BDC上建立DNS服务器,同步AD信息. 打开控制面版,winodws组件向导.
BDC的DNS指向自己.
接着在运行输入dnsmgmt.msc
新建正向区域.
输入域名.允许动态更新.
重新加载DNS,目的是让区域生成SRV(资源指针记录). 用到命令如图,,或重新启动.
接下来可以指自己做为GC. 在运行里输放dssite.msc
用到的命令是命令符下,ntdsutil
具体命令作用,在这我不详述.后接命令,请用问号,有详细的中文说明. 以下图是用于建立连接.
转移用的是transfer命令
以上是DC正常情况下的转移,DC坏了,怎么办?(转移的过程,余下的步骤跟夺取一样,但夺取用的环境更特殊所以我就只把夺取写了下来,而没把转移过程贴图)
这也问到重点了.
跟转移时用法一样,但这时DC是在线的.
如果DC真坏了,那就不以基于以上用的转移命令,这时用的是夺取...seize....
这是域命名主机角色的夺取,以及成功的图(角色一旦是夺取,说明DC是坏了的,那么就是DC不在线的情况下用的)
把如4个角色像刚才一样操作,那就5种角色转移成功.
辅助域控及dns设置
主域控制器 https://www.360docs.net/doc/ab2845112.html,+DNS 操作系统：Microsoft Windows Server 2003 网卡信息：IP：192.168.1.10/24 首选DNS：192.168.1.10 备用DNS：192.168.1.11 额外域控制器 https://www.360docs.net/doc/ab2845112.html,+DNS 操作系统：Microsoft Windows Server 2003 网卡信息：IP：192.168.1.11/24 首选DNS：192.168.1.11 备用DNS：192.168.1.10 安装步骤： 1 安装前，额外域控制器的DNS指向主域控 2 安装DNS服务但不设置 3 安装额外域控,如果主域控中dns和AD集成，额外域控制器会在安装ad后自动同步dns 记录. 4 安装后修改额外域控制器的DNS指向本机(可选)。 一、额外域控制器安装及相关设置 在做额外域控的机器上运行DCPROMO，安装额外域控制器。 安装完毕后，重启。 1、在dcserver主域控器DNS管理界面里 1）选中正向区域的“_https://www.360docs.net/doc/ab2845112.html,“，点右键属性，确认区域类型: “Active Director 集成区域”；更改区域复制范围为“至Active Directory域中的所有域控制器”确认动态更新为“安全” 2）再“名称服务器”标签中，将额外域控制器全域名及IP添加进来 3）在“区域复制”标签中，将“允许区域复制”打勾，并点选“只有在“名称服务器”选项卡中列出的服务器”这项。 4）依次在“https://www.360docs.net/doc/ab2845112.html,”和反向查找区域“192.168.1.x. subnet”做以上各步履，在主域DNS服务器设置完成。 2、在额外域控制器上安装DNS服务（升级额外域控时未配置DNS服务）安装完毕，打开DNS管理器界面（相关设定应该自动复制完毕），再将各区域设置为“允许区域复制”。 3、将主域控及额外域控主DNS设为本机IP，备用DNS地址互指。 4、将额外域控制器dcbak本身设为“全局编录” 打开“Active Directory站点和服务”，点选DCBAK ->NTDS右击属性，将“全局编录”打勾，点确定退出。 5、客户端还需要将主备dns地址填上主域控及额外域控的地址（可通过组策略中登陆脚本实现客户端DNS地址添加） 至此，主域控与额外域控可负载均衡（应该是这么叫吧），若一个域控损坏，客户端登陆不受影响。 二、主域控制器FSMO角色的迁移
主域控挂掉后的方法
主域控挂掉后的方法.txt婚姻是键盘，太多秩序和规则；爱情是鼠标，一点就通。男人自比主机，内存最重要；女人好似显示器，一切都看得出来。Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.360docs.net/doc/ab2845112.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作 设置额外域控制器为GC（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 ________________________________________ 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称FSMO）： 架构主机 schema master、 域命名主机 domain naming master 相对标识号 (RID) 主机 RID master 主域控制器模拟器 (PDCE) 基础结构主机 infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号 (RID) 主机 此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、 组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。每一个 Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来确保这 些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有对象。 域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机 PDCE 主域控制器模拟器提供以下主要功能： 向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的Windows 2000 环境。本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与 PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证 DC 中。
域控服务器迁移步骤(精)
域控服务器迁移步骤 假设主域控制器的IP为192.168.1.10，额外域控制器的IP为192.168.1.20 第一步：主域迁移之前的备份： 1. 备份主域服务器的系统状态 2. 备份主域服务器的系统镜像 3. 备份额外域服务器的系统状态 4. 备份额外域服务器的系统镜像 第二步：主域控制迁移： 1.在主域控服务器（19 2.168.1.10）上查看FSMO（五种主控角色）的owner(拥有者)，安装Windows Server 2003系统光盘中的Support目录下的support tools 工具，然后打开提示符输入： netdom query fsmo 查看域控主机的五种角色是不是都在主域服务器上，当然也有可能在备份域控服务器上。 2.将域控角色转移到备份域服务器（192.168.1.20) 在主域控服务器（192.168.1.10）执行以下命令： 2.1 进入命令提示符窗口，在命令提示符下输入： ntdsutil 回车， 再输入:roles 回车， 再输入connections 回车， 再输入connect to server 192.168.1.20 （连接到额外域控制器） 提示绑定成功后，输入q退出。 2.2 依次输入以下命令： Transfer domain naming master Transfer infrastructure master Transfer PDC Transfer RID master Transfer schema master 以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YES，完成后按Q退出界面。 2.3 五个步骤完成以后，进入192.168.1.20，检查一下是否全部转移到备份服务器192.168.1.20上，打开提示符输入： netdom query fsmo 再次查看域控制器的5个角色是不是都在192.168.1.20上面。 3. 转移全局编录： 3.1 打开“活动目录站点和服务”，展开site->default-first-site-name->servers,展开192.168.1.20， 右击【NTDS Settings】点【属性】，勾上全局编录前面的勾。 然后展开192.168.1.10，右击【NTDS Settings】点【属性】，去掉全局编录前面的勾。
升级新域控后,手动删除旧主域控服务器
添加新域控后，手动删除旧主域控制器 如何手动删除/清除遗留的DC？我有一个DC，由于硬件损坏导致系统无法正常使用，DC的名字为DC02。 我重新安装了一台新的DC，取名为DC03。 我的问题是： 1 当类似有DC损坏，我重新安装新的DC时，是否可以将新的DC取名为DC02，这样会有问题么？ 2 如果向我上面那些安装新的DC03，原有的DC02的信息还在AD的数据库中，因为DC02已经无法降级，我该如何正确的将DC02从AD中清除掉 回答：根据您的描述，我了解到您想知道如何手动删除DC及清除AD中遗留信息。 根据我的经验，针对我们现在所遇到的情况，我建议我们可以如下操作。 1. 当我们把新服务器命名为DC02，则在提升域控操作之前，我们必须手动将AD中有关DC02的元数据清除干净。 2. 清除AD中DC02元数据的方法，我们可以参照 (KB216498)https://www.360docs.net/doc/ab2845112.html,/kb/216498/zh-cn 1. 单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。 2. 在命令提示符处，键入 ntdsutil，然后按 Enter。 3. 键入 metadata cleanup，然后按 Enter。根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。
4. 键入 connections，然后按 Enter。此菜单用于连接将发生这些更改的具体服务器。如果当前登录的用户没有管理权限，可以在建立连接之前指定要使用的替代凭据。为此，请键入 set credsDomainNameUserNamePassword，然后按 Enter。如果密码为空，则键入 null 作为密码参数。 5. 键入 connect to server servername，然后按 Enter。然后出现一条确认消息，说明已成功建立该连接。如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。 6. 键入 quit，然后按 Enter。将出现“清除元数据”菜单。 7. 键入 select operation target，然后按 Enter。 8. 键入 list domains，然后按 Enter。将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。 9. 键入 select domain number，然后按 Enter；其中 number 是与要删除的服务器所属的域相关联的编号。您选择的域将用于确定要删除的服务器是否为该域的最后一个域控制器。 10. 键入 list sites，然后按 Enter。将出现一个站点列表，其中每个站点都带有一个关联的编号。 11. 键入 select site number，然后按 Enter；其中 number 是与要删除的服务器所属站点相关联的编号。将出现一条确认消息，其中列出了所选的站点和域。 12. 键入 list servers in site，然后按 Enter。将显示一个列出站点中所有服务器的列表，每个服务器都有一个关联的编号。 13. 键入 select server number，其中 number 是与要删除的服务器关联的编号。将出现一条确认消息，其中会列出所选的服务器、该服务器的域名系统 (DNS) 主机名以及要删除
Windows server 域控制器 迁移 操作主机
Windows域迁移方法 1:新DC安装系统，配置IP DNS指向老DC (新DC可以加入现有域,也可以不加) 2:提升新DC为辅助域控制器后重启 3:重启完成后，安装DNS服务.然后等老DC的DNS信息同步到新DC的DNS上) 4:将新DC设置为GC,然后等新/旧DC同步,这要看你的网络环境了. 5:同步完成之后,就可以传送FSMO角色这是最重要的一步.(用ntdsutil来把旧DC上的FSMO五种角色转移到新DC 上,转移用到命令transfer )整个过程见下方. 6:老DC降级 重启 然后退域。关机 7:新DC改IP,把自己的IP地址改为DNS地址(做这一步就是为了让客户感觉不到更换了服务器,也省了到下面去改DNS 地址) 8:清理DNS记录,把以前所有旧DC的信息全部删除掉.A:然后利用ntdsutil命令删除掉所有旧DC的信息,B:用adsiedit.msc删除没有用的信息.C:进入活动目录站点与服务删除相应的站点和服务.D:在主域控器的dsa.msc的domain controller里删除没有用的旧DC 9:旧DC拔掉网线,重装系统. 10:到此基本就完成了. AD的五种操作主机的作用及转移方法 Active Directory 定义了五种操作主机角色（又称FSMO）： 1.架构主机 schema master 2..域命名主机domain naming master 3.相对标识号 (RID) 主机 RID master 4.主域控制器模拟器 (PDCE) 5.基础结构主机 infrastructure master 转移办法: 转移RID\PDC\结构主机: Windows 界面: 1. 打开 Active Directory 用户和计算机。 2. 在控制台树中，右键单击“Active Directory 用户和计算机”，然后单击“连接到域控制器”。 3. 在“输入另一个域控制器的名称”中，键入要担任主机角色的域控制器的名称。 或单击可用的域控制器列表中的该域控制器。 4. 在控制台树中，右键单击“Active Directory 用户和计算机”，指向“所有任务”，然后单击“操作主机”。 5. 单击其中要改的选项卡，然后单击“更改”。 使用命令行: ntdsutil roles connection connect to server [DomainController] quit transfer RID master transfer PDC transfer infrastructure master 转移架构主机: windows 界面: 1. 打开 Active Directory 架构管理单元。 2. 在控制台树中，右键单击“Active Directory 架构”，然后单击“更改域控制器”。 3. 单击“指定名称”并键入要担任架构主机角色的域控制器的名称。 4. 在控制台树中，右键单击“Active Directory 架构”，然后单击“操作主机”。
域控制器建立完整教程
把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统， 我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server IP:192.168.5.1 子网掩码:255.255.255.0 DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器) 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面: 向下搬运右边的滚动条，找到“网络服务”，选中:
默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装: 然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
如何将备用的域控制器升级到主域控制器111
如前面一片文章所提到的。比较麻烦的是，Exchange 2003的邮件服务器是安装在主域控制器上的，所以，主域控制器也被干掉了。 型号，做文件服务器的那台服务器也是域控制器，就要将这台文件服务器，升级到主域控制器了。 如果你没有执行过这样的动作，会觉得这是个很麻烦的事情。当我们操作过之后，你就会发现，其实这个不难。 首先，我们执行【netdom query fsmo】命令，来看一下目前的主域控制器是哪台。 然后依次执行下面的命令 ntdsutil roles connections connect to server https://www.360docs.net/doc/ab2845112.html, 下面就开始夺取主域控制器的命令了 seize domain naming master seize infrastructure master seize pdc seize rid master seize schema master slect operation target q命令式退出命令。 这样，我们这台域控制器，就成为了主域了。 最后，我们还要将这台服务器成为全局编目服务器。方法如下： 管理工具——Active Directory站和服务——站点——Default-First-Site-Name——服务器——域控制器——NTDS设置——全局编目，把空格勾上就好 本文转自☆★黑白前线★☆- https://www.360docs.net/doc/ab2845112.html, 转载请注明出处，侵权必究！ 原文链接：https://www.360docs.net/doc/ab2845112.html,/a/special/qyaq/server/2010/0429/3595.html 将额外控制器升级为主域控制器[原]
如何降域(主域控挂掉后的方法)
Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.360docs.net/doc/ab2845112.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作 设置额外域控制器为GC（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 ________________________________________ 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称FSMO）： 架构主机 schema master、 域命名主机 domain naming master 相对标识号 (RID) 主机 RID master 主域控制器模拟器 (PDCE) 基础结构主机 infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号 (RID) 主机
此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、 组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。每一 个 Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来 确保这 些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有 对象。 域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机 PDCE 主域控制器模拟器提供以下主要功能： 向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的 Windows 2000 环境。本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制 到验证 DC 中。 时间同步—目录林中各个域的 PDCE 都会与目录林的根域中的 PDCE 进行同步。 PDCE是基于域的，目录林中的每个域都有自己的PDCE。 基础结构主机 基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时，此引用包含该对象 的 全局唯一标识符 (GUID)、安全标识符 (SID) 和可分辨的名称 (DN)。如果被引用的对象移动，则在域中担 当结构主机角色的 DC 会负责更新该域中跨域对象引用中的 SID 和 DN。 基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机 默认，这五种FMSO存在于目录林根域的第一台DC（主域控制器）上，而子域中的相对标识号(RID) 主机、PDCE 、基础结构主机存在于子域中的第一台DC。 ________________________________________ 二、环境分析
简述Win 2003域控制器的迁移
简述Win 2003域控制器的迁移 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库…… 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。以上讲的便是域控制器的优越性之一，由于域控制器的种种优势，当今众多企业分别采用域的管理模式管理企业内部的计算机。与此同时，种种问题也相应出现，对域控制器的迁移问题作为microsoft的忠实用户应该并不陌生，网上对域控制器迁移的操作步骤的文章也算少。不过在多级域下的域控制器作迁移工作的文章则寥寥无几，我们在此便讨论一下这个问题。 说明：根据上图可知A为B的主域控，在此我们只给大家作了一个模拟环境，实际当中，主域和子域可以不在一个网段内，也可以分布在用VPN相连的Intranet内，其原理是一样的。我们在此仅对A域控下的B域控做迁移工作，迁移过程为：首先B域控迁移到准备替换DC的PC上，down掉B域控，使得客户端工作无影响，再次对B主机作重灌windows 2003 server ，并替换PC的DC，这个过程中要求对客户端无任何影响。以下为操作步骤： 步骤1.备份DC的安装
(1)选用一台PC，安装windows 2003 server，设置IP为192.168.10.2;主机名为adbak，重新启动。 (2)BDC的安装:运行-dcpromo-下一步-选择：现有域的额外域控制器-下一步-输入用户名、密码、域[此账户名和密码为主域控制器的账户名密码，权限为管理级，域为主域的域名]-下一步-下一步-下一步-下一步-还原模式密码[本主机域的登陆密码-确认密码]-下一步-到向导配置[需花几分钟]-完成 (3)重新启动计算机 步骤2.备份DC的DNS安装 (1)在adbak上，用主域控A的管理帐户密码登陆到A的域内。 (2)开始-控制面板-添加或删除程序-添加或删除window组件-选择网路服务-点击详细信息-勾选域名系统(DNS)-下一步-完成 (3)打开dnsmgmt-设置属性-点击转发器-添加转发的IP地址表192.168.10.100、192.168.10.1-确定 (4)解析DNS：解析B的域名会得到2个IP地址即192.168.10.1和192.168.10.2，以及各个主机记录是否解析正常 (5)Active Directory站点和服务，设置adbak NTDS setting属性为全局编录-确定 (6)在CMD命令下，键入net stop netlogon 再键入 net start netlogon 步骤3.FSMO夺取过程及其他操作 (1)在CMD命令行下键入：ntdsutil-roles-connections-connections to server https://www.360docs.net/doc/ab2845112.html, 成功连接 (2)角色的转移(后接命令,请用问号,有详细的中文说明)：[transfer domain nameing master][transfer infrastructure master][transfer PDC][transfer RID master][transfer schema master] 若转移不成功也可以选用夺取seize
主域控制器损坏后,额外域控制器强占 FSMO 测试过程和结果.
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果.. ..关于AD灾难恢复，最终测试.. 关于AD灾难恢复有很多非常好技术文章可以参考，在狗狗搜索NNN编，但为何还是要写这篇呢，‘听不如看，看不如做，做不如写’嘿嘿，反正写写没多难，最紧要入脑袋！！ 其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～ 本贴说明： ....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！ AD、DC说明： .域名：https://www.360docs.net/doc/ab2845112.html, ..主域：DC-ISA-NLB-1 ..副域：DC-ISA-NLB-2 .系统：2003企业版 故障情况：（真实环境跑完全过程..） ..主域崩溃，副域无法正常工作，如： ....无法浏览https://www.360docs.net/doc/ab2845112.html, 中 Active Directory用户和计算机，提示无法连接错误； ....AD管理项目均报错，组策略.....等； ....域用户无法登录； 解决方法：（以上是在副域上操作） ..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录； ..使用命令：ntdsutil.....AD工具 ..过程：（大概6-8分钟） C:\Documents and Settings\Administrator.LH>ntdsutil ntdsutil: metadata cleanup metadata cleanup: connections server connections: connect to server dc-isa-nlb-2 绑定到 dc-isa-nlb-2 ... 用本登录的用户的凭证连接 dc-isa-nlb-2。 server connections: q metadata cleanup: q ntdsutil: roles fsmo maintenance:Seize domain naming master ‘点OK’ fsmo maintenance:Seize infrastructure master ‘点OK’ fsmo maintenance:Seize PDC ‘点OK’ fsmo maintenance:Seize RID master ‘点O K’ fsmo maintenance:Seize schema master ‘点OK’ ‘关闭CMD窗口’...～～ 以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧： ..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’； .....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’； ..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’ .....1.点击‘DC-ISA－NLB-1’； ...........a.选中分支‘NTDS Settings’； ...........b.点击‘删除’，对话框‘选择第三项’； .....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’； .....3.点击‘DC-ISA－NLB-2’ ...........a.选中分支‘NTDS Settings’ ...........b.点击右键选择‘属性’，全局编录前打上勾； 完工....以上搞点后，余下就可以慢慢修复你的主域了。
win2003域控制器 升级 迁移到win2008R2详细步骤
win2003域控制器升级迁移到win2008的详细步骤 原 Domain Control情况如下： 计算机名： whdgap01.WHDG.local IP地址： 192.168.2.31/24 （DNS: 192.168.2.31;202.96.134.133 GW:192.168.2.1/24） 操作系统： Windows Server 2003 Enterprise Edition SP1 提供服务： Domain Control、DNS 完成升级后，增加 Server2008为域控制器 计算机名： whdgap01.WHDG.local IP地址： 192.168.2.31/24 （DNS: 192.168.2.31;202.96.134.133 GW:192.168.2.1/24） 操作系统： Windows Server 2008 R2 enterprise 提供服务： Domain Control、DNS Win2003域添加Win2008域控制器 1、安装Windows Server 2008服务器。 2、将win2008加入域whdg中
3、对Forest（林）、 Domian（域）和RODC（域控制器）进行扩展。 在原 Windows Server 2003 域控制器上运行 Windows Server 2008的ADPREP工具，该工具位于 Windows Server 2008 光盘中的 Source\adprep目录下，复制 adprep目录到Windows Server 2003域控制上的任意磁盘分区中。 注意：扩展操作在DC2003（域控制器）上进行操作。 开始－运行－CMD，进入D分区的ADPREP目录输入 adprep /forestprep 根据提示，选择”C “，并按下 Enter键继续。（林拓展）
如何设置域控制器(图文介绍)
目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统， 我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server IP:192.168.5.1 子网掩码:255.255.255.0 DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器) 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面:
向下搬运右边的滚动条，找到“网络服务”，选中: 默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:
然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。 安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导” 在这里直接点击“下一步”:
多域控制器环境下A D灾难恢复
多域控制器环境下Active Directory灾难恢复 -------------------------------------------------------------------------------- 摘要 本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。 -------------------------------------------------------------------------------- 目录 Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.360docs.net/doc/ab2845112.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作 设置额外域控制器为ＧＣ（全局编录） 重新安装并恢复损坏主域控制器 附:用于检测AD中五种操作主机角色的脚本 参考信息 作者介绍 -------------------------------------------------------------------------------- 一、Active Directory操作主机角色概述 Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）： 架构主机schema master、 域命名主机domain naming master 相对标识号(RID) 主机RID master 主域控制器模拟器(PDCE) 基础结构主机infrastructure master 而每种操作主机角色负担不同的工作，具有不同的功能： 架构主机 具有架构主机角色的DC 是可以更新目录架构的唯一DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。 域命名主机 具有域命名主机角色的DC 是可以执行以下任务的唯一DC： 向目录林中添加新域。 从目录林中删除现有的域。 添加或删除描述外部目录的交叉引用对象。 相对标识号(RID) 主机 此操作主机负责向其它DC 分配RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、
如何迁移域控制器+FSMO+5个角色和GC
如何迁移域控制器FSMO 5个角色和GC 2009-04-07 17:27:02 标签：2003windows server 要使用 Ntdsutil 实用工具转移 FSMO 角色，请按照下列步骤操作： 1. 登录到基于 Windows 2000 Server 或基于 Windows Server 2003 的成员服务器，或登录到转移 FSMO 角色时所在林中的域控制器。我们建议您登录到要为其分配 FSMO 角色的域控制器。登录用户应该是企业管理员组的成员，才能转移架构主机角色或域命名主机角色，或者是转移 PDC 模拟器、RID 主机和结构主机角色时所在域中的域管理员组的成员。 2. 单击“开始”，单击“运行”，在“打开”框中键入 ntdsutil，然后单击“确定”。 3. 键入 roles，然后按 Enter。 注意：要在 Ntdsutil 实用工具中的任一提示符处查看可用命令的列表，请键入 ?，然后按Enter。 4. 键入 connections，然后按 Enter。 5. 键入 connect to server servername，然后按 Enter，其中 servername 是要赋予其FSMO 角色的域控制器的名称。 6. 在“server connections”提示符处，键入 q，然后按 Enter。 7. 键入 transfer role，其中 role 是要转移的角色。要查看可转移角色的列表，请在“fsmo maintenance”提示符处键入 ?，然后按 Enter，或者查看本文开头的角色列表。例如，要转移 RID 主机角色，键入 transfer rid master。PDC 模拟器角色的转移是一个例外，其语法是 transfer pdc 而非 transfer pdc emulator。 8. 在“fsmo maintenance”提示符处，键入 q，然后按 Enter，以进入“ntdsutil”提示符。键入 q，然后按 Enter，退出 Ntdsutil 实用工具。
主域控损坏Active Directory转移
手工删除Active Directory 数据 三、我们在上一篇博文中已经把实验环境搭建好了，现在万事具备只欠损坏主域控制器，下面我们关掉主域控制器（DENVER）。如下图所示：先在FIRENZE的Active Directory中把DENVER删除掉，使用“ntdsutil”工具，打开FIRENZE在命令行中输入“ntdsutil”命令后，如果记不清使用什么命令，可以使用？问一下。 使用“metadata cleanup”清理不使用的服务器的对象 使用“connections”连接到一个特定域控制器
使用“connect to server firenze”连接到自己，使用“quit”退出到上一级菜单中。 使用“select operation target”选择站点
使用“list sites”就会显示出所有的站点，我们只有一个站点，这里的站点是用0代表。 使用“select site 0”就是选中站点了。 使用“list domains in site”列出所选站点中的域，只有https://www.360docs.net/doc/ab2845112.html, 一个域，还是用0代表。
使用“select domain 0”选中https://www.360docs.net/doc/ab2845112.html,这个域。 使用“list server for domain in site”列出所选域和站点中的服务器，列出了主域控制器DENVER和额外域控制器FIRENZE，还是用数字0和1代表。 使用“select server 0”就是选中了DENVER，因为我们是在删除主DENVER。
我们想要选的服务器已经选中了，使用“quit”退出到上一个菜单中。 使用“remove selected server”删除所先的对象DENVER，出现了一个确认对话框，选择“是”。 最后使用“quit”命令退出就可以了。 我们打开“Active Directory 站点和服务”下把“DENVER”选中，右击“删除”。
Windows域(AD)迁移方案
域迁移方案 一、事前准备： 先分别建立两个位于不同林的域，内建Server若干，结构如下： https://www.360docs.net/doc/ab2845112.html, ADC02 172.16.1.2/24 https://www.360docs.net/doc/ab2845112.html, EXS01 172.16.1.101/24 https://www.360docs.net/doc/ab2845112.html, ADC01 172.16.1.1/24 其中： https://www.360docs.net/doc/ab2845112.html,： ADC01作为https://www.360docs.net/doc/ab2845112.html,主域控制器，操作系统为Windows Server 2008 R2，并安装有DHCP服务，作用域范围为172.16.1.100/24——172.16.1.200/24。 ADC02作为https://www.360docs.net/doc/ab2845112.html,的辅助域控制器，操作系统为Windows Server 2008 R2 Exs01为https://www.360docs.net/doc/ab2845112.html,的Mail服务器，操作系统为Windows Server 2003 SP2，Exchange 版本为2003 TMG01为防火墙，加入到https://www.360docs.net/doc/ab2845112.html,网域，操作系统为Windows Server 2008 R2，Forefront TMG为2010 Client为加入到此https://www.360docs.net/doc/ab2845112.html,网域的客户端PC，由DHCP Server分配IP https://www.360docs.net/doc/ab2845112.html,：
Ad-cntse为https://www.360docs.net/doc/ab2845112.html,的域控制器，操作系统为Windows Server 2008 R2，为了网域的迁移安装有ADMT以及SQL Server Express 2005 SP2 Exs-centse作为https://www.360docs.net/doc/ab2845112.html,的Mail Server，操作系统为Windows Server 2003 SP2，Exchange 版本为2003. 备注：所有的Server均处在同一个网段172.16.1.x/24 二、https://www.360docs.net/doc/ab2845112.html,的User结构： 如图，其中红色圈中部分为自建组别，OA User为普通办公人员组别，拥有Mail账号，admins为管理员群组，Terminal User为终端机用户组别，均没有Mail账号。以上三组别均建立有相应的GPO限制其权限。其他Users保持默认设定 三、设定域信任关系： 1、设定DNS转发器： 在https://www.360docs.net/doc/ab2845112.html,域控制器Ad-cntse的DNS管理器设定把https://www.360docs.net/doc/ab2845112.html,的解析交给https://www.360docs.net/doc/ab2845112.html,的DNS，同理，把https://www.360docs.net/doc/ab2845112.html,域控制器ads01的DNS管理器把https://www.360docs.net/doc/ab2845112.html, 的解析交给https://www.360docs.net/doc/ab2845112.html,的DNS。如下图：
域服务器的配置(详尽版)
域服务器的配置与实现（Windows Server2003） 法一： 1、dns服务器设置 a)开始—程序—管理工具—管理服务器角色—添加删除角色—域控制器（默认） 2、域控制器设置 法二： 一、域服务器的配置： 1.步骤： 1.0：计算机必须安装TCP/IP协议且IP地址最好为静态IP地址， 配置DNS服务器地址为网络中维护该区域DNS服务器的IP地址， 如下图：
1.1：点击开始?运行cmd，输入dcpromo命令，运行，出现【Acrive Directory安装向导】对话框； 1.2:安装配置Active Directory 【Acrive Directory安装向导】对话框： 1.2.1域控制类型：
选中【新域的域控制器】，下一步。 1.2.2创建一个新域： 选中【在新林中的域】，下一步。
1.2.3新的域名： 指定新域的DNS名称，一般应为公用的DNS域名，也可是部网使用的专用域名。 例如:hd.rjxy.。下一步。 1.2.4NetBI O S域名-默认 指定新域的NetBIOS名称。这是为了兼容以前版本Windows用户。该名默认为DNS名称最左
侧的名称，也可指定不同的名称。下一步。 1.2.5志文件文件夹：默认 指定这两种文件的文件夹位置，保留默认值即可。下一步。 1.2.6共享的系统卷：默认
指定存储域公用文件的文件夹，保持默认即可。下一步。 1.2.7DNS注册诊断 提示建立DNS服务器。 因为我们此前没有安装配置过DNS，所以诊断失败。这不是问题，我们让它自动安 装配置。 选中第2个，下一步。 1.2.8权限：默认
AD域、DNS分离+额外域控制器安装-及主域控制器损坏解决方法
AD 域DNS 分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS 集成安装，而且集成安装的方法好处有：使DNS 也得到AD 的安全保护，DNS 的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS 服务器，并且即将安装的DC 控制器负载预计会很重，如果觉得DC 本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS 服务器（DNS-srv ）+主域控制器（AD-zhu ）+额外域控制器（AD-fu 点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu 、AD-fu 、DNS-srv 为静态地址） huanjing.png 对于DC 和DNS 分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS 。先安装DC 在安装DNS 的话，需要注意的就是DC 安装完后在安装DNS 需要重启DC 以使DNS 得到DC 向DNS 注册的SRV 记录，Cname 记录，NS 记录。那么我们就以先安装DNS 为例,对于实现这个环境需要三个大步骤： 1.DNS 服务器的安装； 2.DC 主控制器的安装； 3.DC 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC 和DNS 的关系，安装前请先参阅：(v=ws.10) 安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active https://www.360docs.net/doc/ab2845112.html, AD-zhu DC 192.168.23.20 Client-0 客户端 192.168.23.40 DNS-srv DNS 192.168.23.10 AD-fu 额外DC 192.168.23.30