辅域控升级成主域控详解

一.
其实，对于windows 2003,并没有“传统”的主域控制器和额外域控制器的区别。
如果说有区别的话,那就是第一台域控制器上拥有FSMO.

二.
什么是FSMO?
FSMO的英文全称为Flexible Single Master Operations.
这些角色包括:
★架构主机 (Schema master) － 架构主机角色是林范围的角色，每个林一个。此角色用于扩展 Active Directory 林的架构或运行 adprep /domainprep 命令。
★域命名主机 (Domain naming master) － 域命名主机角色是林范围的角色，每个林一个。此角色糜谙蛄种刑砑踊虼恿种猩境?蚧蛴τ贸绦蚍智??
★RID 主机 (RID master) － RID 主机角色是域范围的角色，每个域一个。此角色用于分配 RID 池，以便新的或现有的域控制器能够创建用户帐户、计算机帐户或安全组。
★PDC 模拟器 (PDC emulator) － PDC 模拟器角色是域范围的角色，每个域一个。将数据库更新发送到 Windows NT 备份域控制器的域控制器需要具备这个角色。此外，拥有此角色的域控制器也是某些管理工具的目标，它还可以更新用户帐户密码和计算机帐户密码。
★结构主机 (Infrastructure master) － 结构主机角色是域范围的角色，每个域一个。此角色供域控制器使用，用于成功运行 adprep /forestprep 命令，以及更新跨域引用的对象的 SID 属性和可分辨名称属性。
Active Directory 安装向导 (Dcpromo.exe) 将这五种 FSMO 角色全部分配给林根域中的第一台域控制器.

二、环境分析
公司Test.com（虚拟）有一台主域控制器DC-01.test.com，还有一台额外域控制器DC-02.test.com。现主域控制器（DC-01.test.com）由于硬件故障突然损坏，事先又没有DC-01.test.com的系统状态备份，没办法通过备份修复主域控制器（DC-01.test.com），我们怎么让额外域控制器（DC-02.test.com）替代主域控制器，使Acitvie Directory继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。
如果你的第一台DC坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种FMSO，并需要把额外域控制器设置为GC。
________________________________________
三、从AD中清除主域控制器DC-01.test.com对象
3.1在额外域控制器(DC-02.test.com)上通过ntdsutil.exe工具把主域控制器(DC-01.test.com)从AD中删除；
c:>ntdsutil
ntdsutil: metadata cleanup
metadata cleanup: select operation target
select operation target: connections
server connections: connect to domain test.com
select operation target: list sites
Found 1 site(s)
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
select operation target: select site 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
No current domain
No current server
No current Naming Context
select operation target: List domains in site
Found 1 domain(s)
0 - DC=test,DC=com
Found 1 domain(s)
0 - DC=test,DC=com
select operation target: select domain 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
Domain - DC=test,DC=com
No current server
No current Naming Context
select operation target: List servers for domain in site
Found 2 server(s)
0 - CN=DC-01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te
st,DC=com
1 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te
st,DC=com
select operation target: select server 0
select operation target: quit
metadata cleanup:Remove selected server

出现对话框，按“确定“删除DC-01主控服务器。
metadata cleanup:quit
ntdsutil: quit
3.2使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中DC-01服务器对象，
ADSI EDIT是Windows 2000 support tools中的工具，你需要安装Windows 2000 support tool，安装程序在windows 2000光盘中的support\tools目录下。打开ADSI EDIT工具，展开Domain NC[DC-02.test.com]，展开OU=Domain controllers，右击CN=DC-01，然后选择Delete，把DC-01服务器对象删除，如图1：
3.3 在Active Directory Sites and Service中删除DC-01服务器对象
打开Administrative tools中的Active Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右击DC-01，选择Delete，单击Yes按钮，如图2：
________________________________________
四、在额外域控制器上通过ntdsutil.exe工具执行夺取五种FMSO操作
c:>ntdsutil
ntdsutil: roles
fsmo maintenance: Select operation target
select operation target: connections
server connections: connect to domain test.com
select operation target: list sites
Found 1 site(s)
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
select operation target: select site 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
No current domain
No current server
No current Naming Context
select operation target: List domains in site
Found 1 domain(s)
0 - DC=test,DC=com
select operation target: select domain 0
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
Domain - DC=test,DC=com
No current server
No current Naming Context
select operation target: List servers for domain in site
Found 1 server(s)
0 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te
st,DC=com
select operation target: select server 0
select operation target: quit
fsmo maintenance:Seize domain naming master
出现对话框，按“确定“
fsmo maintenance:Seize infrastructure master
出现对话框，按“确定“
fsmo maintenance:Seize PDC
出现对话框，按“确定“
fsmo maintenance:Seize RID master
出现对话框，按“确定“
fsmo maintenance:Seize schema master
出现对话框，按“确定“
fsmo maintenance:quit
ntdsutil: quit
（注：Seize是在原FSMO不在线时进行操作，如果原FSMO在线，需要使用Transfer操作）
________________________________________
五、设置额外控制(DC-02.test.com)为GC（全局编录）
打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC-02.test.com(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。
________________________________________
六、重新安装并恢复损坏主域控制器
修理好DC-01.test.com损坏的硬件之后，在DC-01.test.com服务器重新安装Windows 2000 Server，安装好Windows 2000 Server之后，再运行Dcpromo升成额外的域控制器；如果你需要使DC-01.test.com担任五种FMSO角色，通过ntdsutil工具进行角色转换，进行Transfer操作就行了（注意：不能用Seize）。并通过Active Directory Sites and Services设置DC-01.test.com为GC，取消DC-02.test.com的GC功能。
建议domain naming master不要和RID master在一台DC上，而domain naming master同时必须为GC


关于辅域控制器夺取主域控制器角色，接替其工作时的一些疑问及回答

1 为了出于安全角度的考虑，一般在一个域环境内至少有两个域控制器，即pdc及bdc，在windows2003中辅助域的角色定义给淡化了，取而代之的是额外域控制器。

2 在额外域接替主域工作的时候，客户端依旧设置的是原pdc的dns解析地址，是无法登陆的，有两种方法第一 将替代后的域服务器的ip地址设置为原域控制器地址，方法二 将客户端的dns解析地址设置先有的dns解析地址

3在域环境中往往有许多成员服务器在工作，例如exchange，lcs等服务器，其在安装的时候都需要在主域上进行林扩展。当夺取角色后，这些成员服务器是否能继续工作。

答案是肯定能进行正常工作的，因为在主域扩展的时候相应的信息也同时通过复制传递给了辅域控制器，保留了这些林扩展的信息。同时这些复制的信息也包括策略等。特别是在但只有一个架构的域中，同步频率是很高的。信息复制还是比较及时的。

4当域内的pdc完完全全的挂掉后，也就是只有额外域进行工作，pdc无法连接。在使用命令行夺取角色，至connect to server xxx，这里的xxx是指bdc服务器，也就是要进行夺取操作的那台服务器。

5pdc会在活动目录数据库残留有相关数据，建议在夺取角色之前将其数据全部删除，同时有pdc担任的角色会自己传给其他的域控。同时之后再建立另外的域控尽量不要取与pdc的计算机名称重复。

6一般而言当第一个域控制器建立的时候，其默认为gc服务器。gc服务器的角色是至关重要的，在夺取角色取代工作的前提下额外域控制器就必须是gc的角色。所以在建立额外域控制器的时候，应在站点里面将其也设置为gc，以备后患。

7最后建议大家，在作相关设置的时候，一定要作系统备份，万一在出现误操作的时候，还可能有挽回的余地。以上这些都是我在一步步学习及工程中遇到的一些问题得到各位高手指点，及经验之谈的记录。