将域的五个角色转移到Windows server 2012 R2

将域的五个角色转移到Windows server 2012 R2

AD域环境中的五大主机角色

在Win Server多主机复制环境中,任何域控制器理论上都可以更改ActiveDirectory中的任何对象。但实际上并非如此,某些AD功能不允许在多台DC上完成,否则可能会造成AD数据库一致性错误,这些特殊的功能称为“灵活单一主机操作”,常用FSMO来表示,拥有这些特殊功能执行能力的主机被称为FSMO角色主机。在Win AD域中,FSMO有五种角色,分成两大类:

森林级别(在整个林中只能有一台DC拥有访问主机角色)

1:架构主机 (Schema Master)

2:域命令主机 (Domain Naming Master)

域级别(在域中只有一台DC拥有该角色

3:PDC模拟器(PDC Emulator)

4:RID主机 (RID Master)

5:基础架构主机 (Infrastructure Master)

1:架构主机

控制活动目录整个林中所有对象和属性的定义,具有架构主机角色的DC是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。 架构主机是基于目录林的,整个目录林中只有一个架构主机。

2:域命令主机

向目录林中添加新域。

从目录林中删除现有的域。

添加或删除描述外部目录的交叉引用对象.

3:PDC模拟器

向后兼容低级客户端和服务器,担任NT系统中PDC角色

时间同步服务源,作为本域权威时间服务器,为本域中其它DC以及客户机提供时间同步服务,林中根域的PDC模拟器又为其它域PDC模拟器提供时间同步!

密码最终验证服务器,当一用户在本地DC登录,而本地DC验证本地用户输入密码无效时,本地DC会查询PDC模拟器,询问密码是否正确。

首选的组策略存放位置,组策略对象(GPO)由两部分构成:GPT和GPC,其中GPC存放在AD数据库中,GPT默认存放PDC模拟器在\\windows\sysvol\sysvol\<domainname>目录下,然后通过DFS复制到本域其它DC中。name域主机浏览器,提供通过网上邻居查看域环境中所有主机的功能

4:主机角色:RID主机

Win环境中,所有的安全主体都有SID,SID由域SID+序列号组合而成,后者称为“相对ID”(Relative ID,RID),在Win环境中,由于任何DC都可以创建安全主体,为保证整个域中每个DC所创建的安全主体对应的SID在整个域范围唯一性,设立该主机角色,负责向其它DC分配RID池(默认一次性分配500个),所有非RID主机在创建安全实体时,都从分配给的RID池中分配RID,以保证SID不会发生冲突! 当非RID主机中分配的RID池使用到80%时,会继续RID主机,申请分配下一个RID地址池!

5:基础架构主机

基础结构主机的作用是负责对跨域对象引用进行更新,以确保所有域间操作对象的一致性。

基础架构主机工作机制是定期会对没有保存在本机的引用对象信息,而对于GC来说,会保存当前林中所有对象信息。如果基础架构主机与GC在同一台机,基础架构主机就不会更新到任何对象。所以在多域情况下,强烈建议不要将基础架构主机设为GC。

接下来就开始介绍如何利用ntdsutil.exe 工具迁移五个主机角色

1.在windows server 2012 R2 域控制器上,以管理员身份打开Powershell,并且输入ntdsutil.exe
image001
2.输入 Rolesimage003

3.输入connectionimage005

4.输入connect to server win2012R2(注:新的域控名称)image007

5.输入quit 返回上层命令image009

6.输入transfer naming master,迁移命名主机角色,点击是image011

7.输入transfer infrastructure master ,迁移基础架构主机角色,点击是image013

8.输入transfer PDC,迁移PDC主机角色,点击是image015

9.输入transfer RID Master ,迁移RID主机角色,点击是image015

10.输入transfer schema master ,迁移架构主机角色,点击是image017

11.输入Netdom query fsmo,查看角色转移情况image019

 


2,329 Views