ntdsutil脱机夺取FSMO 备份DC升级为主DC 备份域控制器升级为主域控制器

通过ntdsutil脱机夺取FSMO备份DC升级为主DC备份域控制器升级为主域控制器2009-07-2900:25摘要本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使ActiveDirectory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。一、ActiveDirectory操作主机角色概述ActiveDirectory定义了五种操作主机角色（又称FSMO）：架构主机schemamaster、域命名主机domainnamingmaster相对标识号（RID）主机RIDmaster主域控制器模拟器（PDCE）基础结构主机infrastructuremaster而每种操作主机角色负担不同的工作，具有不同的功能：架构主机具有架构主机角色的DC是可以更新目录架构的唯一DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。架构主机是基于目录林的，整个目录林中只有一个架构主机。域命名主机具有域命名主机角色的DC是可以执行以下任务的唯一DC：向目录林中添加新域。从目录林中删除现有的域。添加或删除描述外部目录的交叉引用对象。相对标识号（RID）主机此操作主机负责向其它DC分配RID池。只有一个服务器执行此任务。在创建安全主体（例如用户、组或计算机）时，需要将RID与域范围内的标识符相结合，以创建唯一的安全标识符（SID）。每一个Windows2000DC都会收到用于创建对象的RID池（默认为512）。RID主机通过分配不同的池来确保这些ID在每一个DC上都是唯一的。通过RID主机，还可以在同一目录林中的不同域之间移动所有对象。域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机PDCE主域控制器模拟器提供以下主要功能：向后兼容低级客户端和服务器，允许WindowsNT4.0备份域控制器（BDC）加入到新的Windows2000环境。本机Windows2000环境将密码更改转发到PDCE。每当DC验证密码失败后，它会与PDCE取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证DC中。时间同步一目录林中各个域的PDCE都会与目录林的根域中的PDCE进行同步。PDCE是基于域的，目录林中的每个域都有自己的PDCE。基础结构主机基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时，此引用包含该对象的全局唯一标识符（GUID）、安全标识符（SID）和可分辨的名称（DN）。如果被引用的对象移动，则在域中担当结构主机角色的DC会负责更新该域中跨域对象引用中的SID和DN。基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机默认，这五种FMSO存在于目录林根域的第一台DC（主域控制器）上，而子域中的相对标识号（RID）主机、PDCE、基础结构主机存在于子域中的第一台DC。二、环境分析公司I（虚拟）有一台主域控制器DC.，还有一台额外域控制器DC1.。现主域控制器（DC.）由于硬件故障突然损坏，事先又没有DC.的系统状态备份，没办法通过备份修复主域控制器（DC.），我们怎么让额外域控制器（DC1.）替代主域控制器，使AcitvieDirectory继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。如果你的第一台。。坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种FMSO，并需要把额外域控制器设置为GC。三、从AD中清除主域控制器DC.对象3.1在额外域控制器(DC1.)上通过ntdsutil.exe工具把主域控制器(DC.)从AD中删除；c:>ntdsutilntdsutil:metadatacleanupmetadatacleanup:selectoperationtargetselectoperationtarget:connectionsserverconnections:serverconnections:quitselectoperationtarget:listsitesFound1site(s)0-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comselectoperationtarget:selectsite0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comNocurrentdomainNocurrentserverNocurrentNamingContextselectoperationtarget:ListdomainsinsiteFound1domain(s)0-DC=test,DC=comFound1domain(s)0-DC=test,DC=comselectoperationtarget:selectdomain0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comDomain-DC=test,DC=comNocurrentserverNocurrentNamingContextselectoperationtarget:ListserversfordomaininsiteFound2server(s)0-CN=DC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com1-CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comselectoperationtarget:selectserver0selectoperationtarget:quitmetadatacleanup:Removeselectedserver出现对话框，按“确定“删除DC主控服务器。metadatacleanup:quitntdsutil:quit使用ADSIEDIT工具删除ActiveDirectoryusersandcomputers中的Domaincontrollers中DC服务器对象ADSIEDIT是Windows2000supporttools中的工具，你需要安装Windows2000supporttool,安装程序在windows2000光盘中的support\tools目录下。打开ADSIEDIT工具，展开DomainNC[DC1.]，展开OU=Domaincontrollers,右击CN=DC，然后选择Delete，把DC服务器对象删除，如图1：在ActiveDirectorySitesandService中删除DC服务器对象打开Administrativetools中的ActiveDirectorySitesandService，展开Sites，展开Default-First-Site-Name，展开Servers，右击DC，选择Delete，单击Yes按钮，如图2： 四、在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作c:>ntdsutilntdsutil:rolesfsmomaintenance:Selectoperationtargetselectoperationtarget:connectionsserverconnections:serverconnections:quitselectoperationtarget:listsitesFound1site(s)0-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comselectoperationtarget:selectsite0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comNocurrentdomainNocurrentserverNocurrentNamingContextselectoperationtarget:ListdomainsinsiteFound1domain（s）0-DC=test,DC=comselectoperationtarget:selectdomain0Site-CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comDomain-DC=test,DC=comNocurrentserverNocurrentNamingContextselectoperationtarget:ListserversfordomaininsiteFound1server（s）0-CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=comselectoperationtarget:selectserver0selectoperationtarget:quitfsmomaintenance:Seizedomainnamingmaster出现对话框，按“确定“fsmomaintenance:Seizeinfrastructuremaster出现对话框，按“确定“fsmomaintenance:SeizePDC出现对话框，按“确定“fsmomaintenance:SeizeRIDmaster出现对话框，按“确定“fsmomaintenance:Seizeschemamaster出现对话框，按“确定“fsmomaintenance:quitntdsutil:quit（注：Seize是在原FSMO不在线时进行操作，如果原FSMO在线，需要使用Transfer操作） 五、 设置额外控制（DC1.）为GC（全局编录）打开AdministrativeTools中的ActiveDirectorySitesandServices，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC1.（额外控制器），右击NTDSSettings选择Properties，然后在"GlobalCatalog”前面打勾，单击〃确定〃按钮，然后重新启动服务器。六、 重新安装并恢复损坏主域控制器