簡介面向Windows Server域環(huán)境初學(xué)者與系統(tǒng)管理員的實操型文檔圍繞主域控制器、輔助域控制器部署及主域控制器遷移展開幫助讀者梳理域架構(gòu)搭建、角色轉(zhuǎn)移與常見故障處理思路。資源包共1個docx文件約566KB以文字說明和命令示例整理環(huán)境準(zhǔn)備、活動目錄安裝、額外域控加入、FSMO五大角色遷移及全局編錄設(shè)置等內(nèi)容并給出ntdsutil命令行轉(zhuǎn)移與角色奪取的參考寫法內(nèi)容按搭建、加入、遷移與驗證順序組織便于在實驗環(huán)境中對照練習(xí)、驗證主輔域控復(fù)制效果和遷移結(jié)果。該文檔已有2064人瀏覽學(xué)習(xí)適合課程實驗、企業(yè)域控遷移預(yù)演及日常運維知識梳理也可作為搭建主輔域控、執(zhí)行角色遷移時的速查筆記幫助讀者減少配置遺漏并建立較完整的排錯思路。1. 從 dcpromo 到 ntdsutil把主域控、輔助域控和遷移串成一條線機房角落里那臺跑了七八年的機器要下架域里五個 FSMO 角色全壓在它身上全局編錄也只有它一份這時候才想起來翻文檔最容易出現(xiàn)的問題是步驟對不上號。這份記錄把三件事串成一條線主域控怎么用 dcpromo 從零建起來輔助域控怎么作為額外域控制器加入并把復(fù)制鏈路跑通最后把 RID、PDC、基礎(chǔ)結(jié)構(gòu)、域命名、架構(gòu)五個角色連同全局編錄一起遷移到新機器上。整套流程基于 Microsoft Windows Server 2003 Enterprise Edition 的雙機方案適合還在維護老活動目錄環(huán)境的人、想搭實驗環(huán)境驗證遷移路徑的人以及需要理解「域控裝完不等于交付」的運維從業(yè)者。下面按搭建、加入、遷移、排錯的順序往下走每一步都給出命令和判斷依據(jù)。2. 主域控的搭建dcpromo 向?qū)?11 個頁面分別該填什么2.1 先定地址和名字別等裝到一半才想域控搭建里最難調(diào)整的是地址規(guī)劃一旦 dcpromo 跑完改 IP 意味著 DNS 記錄、SRV 記錄、站點信息全部要跟著動。我一般會在裝系統(tǒng)之前就把表格填好兩臺機器對號入座裝的時候照著抄不給自己臨場發(fā)揮的機會。項目主域控 A輔助域控 B操作系統(tǒng)Windows Server 2003 Enterprise Edition同左計算機名DCADCBIP 地址10.10.10.1010.10.10.20子網(wǎng)掩碼255.0.0.0255.0.0.0默認網(wǎng)關(guān)10.10.10.110.10.10.1首選 DNS10.10.10.10自身10.10.10.10指向主域控域 DNS 全名corp.lab同左NetBIOS 名CORP同左原始資料里用的是 1.1.1.1 / 255.0.0.0 這套寫法掩碼是 A 類的默認掩碼。實驗環(huán)境圖省事可以這么干但我建議換成私網(wǎng)號段一來 1.1.1.1 現(xiàn)在被公共 DNS 服務(wù)占用客戶端做名稱解析時容易和外部解析打架二來掩碼寫 255.0.0.0 意味著整個 10.0.0.0/8 都算同網(wǎng)段真實機房里跨網(wǎng)段復(fù)制、站點劃分這些判斷會失真。真要復(fù)現(xiàn)實驗用 10.10.10.0/24 更貼近生產(chǎn)掩碼 255.255.255.0判斷邏輯一模一樣出問題時排查范圍還小。還有兩個容易忽略的前置動作把兩臺機器的防火墻對域控相關(guān)端口放行至少包括 53、88、135、139、389、445、636、3268、3269把系統(tǒng)時間對齊域內(nèi) Kerberos 認證對時間偏差容忍度只有 5 分鐘時間不同步時會報「安全數(shù)據(jù)庫中存在該計算機賬戶但登錄失敗」這類看起來莫名其妙的錯誤。2.2 dcpromo 向?qū)е痦棽鸾庋b完系統(tǒng)、配好靜態(tài) IP 和 DNS 指向自身之后從運行框或者命令行調(diào)起安裝向?qū)?。命令行方式比點開始菜單更穩(wěn)尤其是遠程桌面里操作的時候:: 調(diào)起活動目錄安裝向?qū)?dcpromo這條命令本身沒有參數(shù)走的是交互式向?qū)?。dcpromo 也支持應(yīng)答文件靜默安裝dcpromo /answer:文件名但初次搭建不建議用向?qū)恳徊降倪x擇直接決定后面域的行為手點一遍能看清每一項的含義。向?qū)У捻撁骓樞蚝蛯?yīng)的填法如下照著填基本不會出錯向?qū)ы撨x擇判斷依據(jù)操作系統(tǒng)兼容性下一步提示性頁面說明舊版 Windows 的兼容限制域控制器類型新域的域控制器這是林里的第一臺域控創(chuàng)建一個新域在新林中的域全新森林沒有可依附的父域新域的 DNS 全名corp.lab這個名字就是以后的登錄后綴NetBIOS 名CORP默認從 DNS 名截取老客戶端靠它識別域數(shù)據(jù)庫和日志文件夾分開存放數(shù)據(jù)庫和日志放不同物理盤IO 互不干擾共享的系統(tǒng)卷默認 %systemroot%\SYSVOL保持默認即可遷移時也好找DNS 注冊診斷第二項讓本機同時安裝并配置 DNS充當(dāng)域的 DNS 服務(wù)器權(quán)限只與 Windows Server 2003 兼容純 2003 環(huán)境選它安全設(shè)置更嚴(yán)格還原模式密碼自定義強密碼目錄服務(wù)還原模式專用和域管理員密碼分開摘要核對后下一步這里還能回頭改過了這一步就開始寫庫幾個值得多解釋兩句的點「在新林中的域」這個選項意味著當(dāng)前這臺機器會成為新森林的根域同時自動持有全部五個 FSMO 角色和全局編錄這是后面遷移章節(jié)的起點。如果選錯成「現(xiàn)有域的額外域控制器」向?qū)筇峁└赣驊{據(jù)環(huán)境里根本沒有只能退出重來。數(shù)據(jù)庫和日志文件分開存放不是形式主義?；顒幽夸洈?shù)據(jù)庫文件 NTDS.dit 的寫入模式和日志文件差別很大日志是順序追加寫數(shù)據(jù)庫是隨機讀寫放在同一塊盤上日志刷盤會被數(shù)據(jù)庫的隨機 IO 拖慢域控在用戶集中登錄的早高峰會明顯卡頓。實驗環(huán)境一塊盤無所謂生產(chǎn)環(huán)境至少分兩個分區(qū)。DNS 注冊診斷這一頁給三個選項第二項的大意是「在這臺計算機上安裝并配置 DNS 服務(wù)器將使用此 DNS 服務(wù)器作為該域的 DNS 服務(wù)器」選它之后向?qū)詣友b DNS 服務(wù)并建好正向區(qū)域。第一項是「不在本機安裝 DNS稍后手動配置」這種方式適合 DNS 已經(jīng)由別的團隊統(tǒng)一管理、要單獨提申請的場景如果本機 DNS 沒配好就選它裝完域控會得到一個客戶端連不上的域。原始資料里選第二項是對的。權(quán)限頁面選 2003 兼容模式會啟用更嚴(yán)格的安全設(shè)置比如對匿名查詢的限制。只有當(dāng)林里還存在 Windows 2000 域控、需要向下兼容時才選另一個選項。選完這一頁就沒有回頭路了。還原模式密碼是另一套獨立的口令只在開機按 F8 進入目錄服務(wù)還原模式時使用用于離線恢復(fù) NTDS.dit。它和域管理員密碼沒有任何關(guān)系很多人裝完就忘真出事要恢復(fù)時抓瞎。我一般要求它寫在兩處紙質(zhì)交接單和密碼管理工具里各一份不許只存在腦子里。2.3 裝完先自檢別急著加第二臺向?qū)芡陼崾局貑⒅貑⒑蟮谝患虏皇侨ゼ虞o助域控而是把自檢做完。主域控如果本身是帶病的后面所有復(fù)制問題都會顯得像玄學(xué)排查成本翻幾倍。我習(xí)慣跑這么幾條:: 1. 看 SYSVOL 和 NETLOGON 兩個共享是否自動建立 net share :: 2. 用 Support Tools 里的診斷工具做一輪基礎(chǔ)體檢 dcdiag /test:netlogons /test:advertising /test:services :: 3. 檢查 DNS 里域控的 SRV 記錄是否注冊完整 nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab :: 4. 確認本機當(dāng)前持有的 FSMO 角色 netdom query fsmo第一條net share的輸出里必須能看到 SYSVOL 和 NETLOGON 兩個共享。這兩個共享是組策略下發(fā)和登錄腳本的基礎(chǔ)沒有它們域能登錄但策略不生效表現(xiàn)是改了口令策略卻沒人被強制。共享不存在通常是 SYSVOL 還沒復(fù)制完或者文件系統(tǒng)權(quán)限異常等幾分鐘再刷新一直不出來就得看事件日志里的 FRS 報錯。第二條dcdiag需要預(yù)先安裝 Windows Server 2003 Support Tools裝完在%programfiles%\support tools目錄下。三個測試項分別驗證網(wǎng)絡(luò)登錄權(quán)限、域控是否在 DNS 中正確對外宣告自己、以及關(guān)鍵服務(wù)KDC、Netlogon、W32Time的啟動狀態(tài)輸出里出現(xiàn) failed 的行要逐條看清楚警告warning可以先放一放失敗failed必須當(dāng)場解決。第三條nslookup查 SRV 記錄正常應(yīng)該返回_ldap._tcp.dc._msdcs.corp.lab對應(yīng)的主機名和端口 389。如果返回「找不到」說明 DNS 自動注冊沒成功客戶端加入域時會報找不到域控。修復(fù)方式是重啟 Netlogon 服務(wù)觸發(fā)重新注冊命令是net stop netlogon net start netlogon還不行就手工檢查 DNS 正向區(qū)域里_msdcs、_sites、_tcp、_udp四個子目錄是否存在。第四條netdom query fsmo同樣來自 Support Tools輸出會列出五個角色分別落在哪臺機器上。剛裝完應(yīng)該是五個角色全部指向 DCA.corp.lab這個輸出是后面遷移的基準(zhǔn)線建議截圖存檔遷移完再跑一次做對比。這四條命令加起來不到兩分鐘能把八成的基礎(chǔ)問題擋在門外。等第二臺機器加入之后再發(fā)現(xiàn)就分不清是主域控的鍋還是復(fù)制鏈路的鍋了。3. 輔助域控加入ping 得通不等于復(fù)制得通3.1 地址和 DNS 指向決定了 dcpromo 能不能找到域輔助域控的準(zhǔn)備工作看著簡單出問題的概率卻最高。核心就一句話B 機的首選 DNS 必須指向 A 機不能指向任何外部 DNS也不能指向自己。因為 dcpromo 加入現(xiàn)有域的第一步是查_ldap._tcp.dc._msdcs.corp.lab這條 SRV 記錄只有 A 機上的 DNS 有這個記錄指向別的解析器就等于把導(dǎo)航關(guān)了。配置完先做連通性驗證別憑感覺認為「應(yīng)該通了」:: 基礎(chǔ)連通性 ping 10.10.10.10 :: 名稱解析是否走通了域名到域控的映射 nslookup corp.lab nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab :: 直接問主域控要域信息這條最接近 dcpromo 內(nèi)部的實際動作 nltest /dsgetdc:corp.lab /forceping只能證明三層通證明不了域服務(wù)可用。真正有說服力的是nltest /dsgetdc它模擬的就是客戶端定位域控的過程正常輸出會列出主域控的全名、IP、站點名和標(biāo)志位其中應(yīng)該包含 GC全局編錄標(biāo)記。這條命令報錯「無法找到域控制器」那 dcpromo 一定失敗先修解析別去改別的。權(quán)限方面加入額外域控制器用的賬號必須是 Domain Admins 組或者 Enterprise Admins 組成員普通域用戶不行。我一般直接拿域管理員賬號操作實驗環(huán)境不糾結(jié)最小權(quán)限但要注意這個賬號的密碼里不能有會觸發(fā)命令行轉(zhuǎn)義的特殊字符否則在向?qū)Ю镎迟N會出問題。3.2 走一遍「現(xiàn)有域的額外域控制器」:: 在輔助域控 B 上執(zhí)行 dcpromo向?qū)窂胶椭饔蚩卮罱ㄓ忻黠@分叉從第二頁開始就不一樣了第一步操作系統(tǒng)兼容性頁面直接下一步。第二步域控制器類型選「現(xiàn)有域的額外域控制器」和主域控那臺選「新域的域控制器」正好相反。這一步選錯會把 B 機變成一個新森林的根兩臺機器各管各的表面上都叫域控實際上毫無關(guān)系。第三步網(wǎng)絡(luò)憑據(jù)頁面填有權(quán)限加入域的賬號、密碼和域名。域名這里填corp.lab或者 NetBIOS 名CORP都行向?qū)詣咏馕?。如果前?DNS 沒配對這一步會卡住并提示「無法聯(lián)系到域 corp.lab 的域控制器」回頭檢查 2.1 和 3.1 的內(nèi)容。第四步額外域控制器域名默認帶出corp.lab接受即可。第五步數(shù)據(jù)庫和日志文件夾同樣建議分開放路徑可以和主域控不同但目錄結(jié)構(gòu)保持一致便于后期統(tǒng)一備份。第六步目錄服務(wù)還原模式密碼。這里有個細節(jié)輔助域控的還原密碼可以和主域控不同兩臺機器各自獨立。為了降低交接成本我通常設(shè)成一樣但會在交接文檔里標(biāo)注「兩臺機器的 DSRM 密碼相同任何一臺需要恢復(fù)都使用此口令」。第七步摘要頁面核對點下一步開始安裝。安裝過程中會從主域控復(fù)制完整的目錄數(shù)據(jù)庫數(shù)據(jù)量大的話這一步耗時較長中間不要中斷。安裝完成后必須重啟重啟之后 B 機才真正開始以域控身份工作。重啟后回到 A 機打開「Active Directory 用戶和計算機」展開 Domain Controllers 組織單位應(yīng)該能看到 DCB 這個計算機對象。這一步能驗證加入動作本身成功但證明不了復(fù)制正常下一節(jié)專門說。3.3 復(fù)制鏈路怎么驗證才算真的通了原始資料里寫「經(jīng)測試主域控制器的數(shù)據(jù)能及時復(fù)制到輔助域控上面」這個結(jié)論要靠具體手段落地不然出事時說不清。我常用三層驗證從粗到細:: 第一層總體摘要看兩臺域控之間有沒有失敗計數(shù) repadmin /replsummary :: 第二層逐條復(fù)制伙伴的詳細狀態(tài)包括上次成功時間 repadmin /showrepl :: 第三層手動觸發(fā)一次復(fù)制然后立刻回看結(jié)果 repadmin /replicate DCB.corp.lab DCA.corp.lab DCcorp,DClabrepadmin /replsummary輸出的是每個域控作為源和目標(biāo)時的最大失敗時間、失敗次數(shù)。正常狀態(tài)下失敗次數(shù)應(yīng)該是 0最大失敗時間顯示「never」。只要出現(xiàn)非零失敗次數(shù)第二層命令能定位到是哪一對復(fù)制伙伴、哪個命名上下文出的問題。repadmin /showrepl會列出 B 機所有的入站復(fù)制伙伴每條下面有「上次成功」的時間戳和連續(xù)失敗次數(shù)。判斷標(biāo)準(zhǔn)很簡單上次成功時間應(yīng)該在最近 15 分鐘內(nèi)同站點內(nèi)默認復(fù)制間隔連續(xù)失敗必須是 0。第三條手動復(fù)制命令適合在改完配置后立即驗證參數(shù)依次是目標(biāo)域控、源域控、命名上下文。命名上下文寫成DCcorp,DClab這種形式對應(yīng)域的 DN。執(zhí)行完再用repadmin /showrepl看時間戳是否刷新刷新了就說明鏈路完全正常。圖形界面的等價操作在「Active Directory 站點和服務(wù)」里展開 Sites → Default-First-Site-Name → Servers → DCB → NTDS Settings右側(cè)會列出復(fù)制連接右鍵選擇「立即復(fù)制」即可。想看得更細可以打開事件查看器里的目錄服務(wù)日志篩選來源為 NTDS Replication 的事件成功復(fù)制的事件 ID 是 1869報錯通常是 1311復(fù)制配置信息不可用或者 8524DNS 名稱解析失敗這兩個錯誤碼基本能把大部分復(fù)制故障歸類。還有一點容易被忽略同站點內(nèi)的復(fù)制默認是變更通知驅(qū)動的主域控上有對象改動后大約 15 秒就會通知輔助域控拉取所以「及時」是有前提的前提是兩臺機器在同一個站點里。如果后面為了模擬多站點環(huán)境把它們分到不同站點復(fù)制就變成按計劃間隔執(zhí)行默認最短 15 分鐘那時候再測「及時性」會覺得怎么都不對其實是站點鏈接的開銷在起作用。4. FSMO 五角色遷移圖形界面走一遍命令行再兜一次底4.1 遷移前先做 system state 備份角色遷移是不可逆的在線操作雖然正常轉(zhuǎn)移不破壞數(shù)據(jù)但萬一中途斷電、網(wǎng)絡(luò)斷、目標(biāo)機器宕機目錄數(shù)據(jù)庫可能處于不一致狀態(tài)。動手之前必須先做系統(tǒng)狀態(tài)備份這是唯一能回退的手段我稱之為后悔藥。Windows Server 2003 自帶的備份工具是 ntbackup命令行方式比圖形界面更適合留檔:: 把系統(tǒng)狀態(tài)備份到 D 盤帶作業(yè)名和日志 ntbackup backup systemstate /j pre-fsmo-move /f D:\backup\sysstate-01.bkf /l D:\backup\backup.log /m normal參數(shù)逐個解釋backup systemstate指定備份內(nèi)容為系統(tǒng)狀態(tài)包含注冊表、COM 類注冊數(shù)據(jù)庫、引導(dǎo)文件、系統(tǒng)文件以及活動目錄數(shù)據(jù)庫/j是作業(yè)名方便在備份日志里檢索/f指定備份文件路徑.bkf是 ntbackup 的專有格式/l指定日志文件出問題時看這個/m normal表示普通備份不做增量標(biāo)記。這條命令要在主域控和輔助域控上各跑一次兩臺機器都要有可回退的基線。備份文件生成后建議復(fù)制一份到網(wǎng)絡(luò)位置或者移動硬盤不要只留在本機因為最需要恢復(fù)的場景往往是本機磁盤掛了。系統(tǒng)狀態(tài)備份不能單獨還原部分內(nèi)容恢復(fù)時必須在目錄服務(wù)還原模式下整份還原或者用權(quán)威還原authoritative restore的方式只恢復(fù)特定對象。還原模式的開機方式是在啟動時按 F8選擇「目錄服務(wù)還原模式」登錄時用 2.2 節(jié)里設(shè)置的那個還原模式密碼不是域管理員密碼。這一整套流程建議在實驗環(huán)境里完整跑一遍真出事的時候才不至于手忙腳亂。4.2 RID、PDC、基礎(chǔ)結(jié)構(gòu)同一張對話框里的三個角色這三個角色的轉(zhuǎn)移入口都在「Active Directory 用戶和計算機」里操作路徑高度一致區(qū)別只是操作主機對話框里選哪個標(biāo)簽頁。先理解它們各自管什么再動手會穩(wěn)很多角色職責(zé)轉(zhuǎn)移后的直接影響RID 主機為域內(nèi)所有域控分配 RID 池轉(zhuǎn)移后新用戶、新計算機的 SID 才繼續(xù)分配PDC 仿真主機兼容舊客戶端、口令變更優(yōu)先寫入、域時間源轉(zhuǎn)移后密碼修改的即時性依賴新主機基礎(chǔ)結(jié)構(gòu)主機維護跨域?qū)ο笠萌缃M成員中的他域用戶轉(zhuǎn)移后跨域組成員變更才能正確反映具體步驟在輔助域控 B 上打開「Active Directory 用戶和計算機」右鍵點擊域名 corp.lab選擇「連接到域控制器」在列表里選中 DCB.corp.lab確定。這一步是關(guān)鍵不切換的話后面點「操作主機」看到的還是當(dāng)前連接的域控改來改去改的是自己。連上之后再次右鍵域名選擇「操作主機」彈出對話框三個標(biāo)簽頁分別是 RID、PDC、基礎(chǔ)結(jié)構(gòu)。每個頁面里都有一個「更改」按鈕點擊后系統(tǒng)會確認「是否將操作主機角色轉(zhuǎn)移到 DCB.corp.lab」選是然后確定。三個頁面按同樣方式操作一遍每個角色轉(zhuǎn)移成功都會有提示框。這里有一個經(jīng)典坑基礎(chǔ)結(jié)構(gòu)主機如果和全局編錄部署在同一臺機器上它會停止更新跨域?qū)ο笠靡驗樗J為自己的數(shù)據(jù)已經(jīng)是最新的。判斷規(guī)則是——如果林里所有域控都是全局編錄那基礎(chǔ)結(jié)構(gòu)主機不起作用放哪都無所謂如果林里存在非全局編錄的域控基礎(chǔ)結(jié)構(gòu)主機就必須放在非全局編錄的域控上。原始資料的場景里兩臺都是全局編錄所以不受影響但換到有三四臺域控的環(huán)境里這一條不檢查就會埋雷表現(xiàn)是跨域組的成員變更延遲很久才生效還查不出原因。PDC 仿真主機還有個隱性職責(zé)是域的時間源。轉(zhuǎn)移完成后新持有者會成為域內(nèi)時間的權(quán)威來源如果這臺機器的 CMOS 電池老化導(dǎo)致時間漂移整個域的時間都會跟著漂。我一般會在這臺機器上配一個可靠的外部時間源用w32tm /config /manualpeerlist:... /syncfromflags:manual /reliable:yes /update命令搞定然后net stop w32time net start w32time重啟時間服務(wù)。4.3 域命名主機與架構(gòu)主機兩個藏起來的控制臺域命名主機管的是林級別的域增刪入口在另一個管理工具里在輔助域控上打開「Active Directory 域和信任關(guān)系」先右鍵根節(jié)點選擇「連接到域控制器」選中 DCB確定。然后再次右鍵根節(jié)點選擇「操作主機」對話框里只有一個標(biāo)簽頁點「更改」確認。這個角色是林級別的整個林只有一臺持有者轉(zhuǎn)移過程中如果提示權(quán)限不足檢查當(dāng)前登錄賬號是否屬于 Enterprise Admins。架構(gòu)主機更隱蔽默認的管理工具里根本沒有入口必須先注冊一個動態(tài)鏈接庫把管理單元放出來:: 注冊架構(gòu)管理單元 regsvr32 schmmgmt.dll :: 打開空白 MMC 控制臺 mmcregsvr32是注冊 DLL 組件的標(biāo)準(zhǔn)命令schmmgmt.dll位于%systemroot%\system32目錄下注冊成功會彈出一個提示框。注冊完成后運行mmc打開空白控制臺按 CtrlM 或者菜單里的「添加/刪除管理單元」在列表里找到「Active Directory 架構(gòu)」添加、關(guān)閉、確定。接下來兩步順序不能顛倒先右鍵「Active Directory 架構(gòu)」節(jié)點選擇「更改域控制器」點「指定名稱」輸入DCB.corp.lab確定。確認當(dāng)前連接已經(jīng)切到輔助域控之后再右鍵該節(jié)點選擇「操作主機」點「更改」按提示確認。如果順序搞反了直接點操作主機改的可能是當(dāng)前默認連接的域控通常是主域控自己你會看到一個「更改」按鈕點下去毫無反應(yīng)或者報錯因為架構(gòu)主機默認就在林里的第一臺域控上。原始資料里特別強調(diào)先改域控制器再改操作主機就是踩過這個坑留下的經(jīng)驗。架構(gòu)主機的轉(zhuǎn)移需要 Schema Admins 權(quán)限而且這個角色的變更會觸發(fā)整個林的架構(gòu)同步操作時林內(nèi)所有域控最好都在線。如果某臺域控長時間離線架構(gòu)更新會在它恢復(fù)后集中推送極端情況下會導(dǎo)致復(fù)制沖突。生產(chǎn)環(huán)境做這一步一般會安排在變更窗口內(nèi)。4.4 全局編錄遷移與 ntdsutil 命令行兜底全局編錄不是 FSMO 角色但它決定了登錄驗證和跨域查詢能不能工作必須和五個角色一起遷。默認情況下林里的第一臺域控就是全局編錄新建的額外域控默認不帶這個勾。圖形方式在「Active Directory 站點和服務(wù)」里展開 Sites → Default-First-Site-Name → Servers → DCB → 右鍵 NTDS Settings → 屬性勾選「全局編錄」確定。然后對 DCA 做反向操作展開到 DCA 的 NTDS Settings 屬性取消勾選。順序很重要先給 B 機勾上等目錄數(shù)據(jù)完整復(fù)制過來用 3.3 節(jié)的方法確認沒有未完成的復(fù)制再取消 A 機的勾。反過來操作會有個窗口期林里一臺全局編錄都沒有客戶端登錄時報「找不到全局編錄服務(wù)器」所有依賴 GC 的查詢?nèi)渴　＿@個窗口期哪怕只有幾分鐘也夠用戶打電話了。五個角色全部轉(zhuǎn)移完之后用命令行的方式復(fù)核一遍同時準(zhǔn)備好 seize 的語法以備不時之需:: 進入目錄服務(wù)維護工具 ntdsutil :: 進入 FSMO 維護上下文 roles :: 建立到目標(biāo)域控的連接 connections connect to server DCB.corp.lab quit :: 逐個轉(zhuǎn)移角色正常轉(zhuǎn)移要求原持有者在線 transfer RID master transfer PDC transfer infrastructure master transfer domain naming master transfer schema master :: 退出 quit quit這套交互式命令的層級要看清ntdsutil是頂層提示符是ntdsutil:輸入roles進入fsmo maintenance:輸入connections進入server connections:connect to server之后必須quit退回到fsmo maintenance:才能執(zhí)行 transfer 命令在server connections:提示符下敲 transfer 會提示命令無效。這是新手最?？ㄗ〉牡胤?。transfer和seize的區(qū)別值得單獨說清楚兩者語義完全不同命令適用場景前提條件后果transfer原持有者正常在線計劃內(nèi)遷移原域控可達角色平滑移交原機自動降為普通域控seize原持有者徹底損壞、永久下線確認原機不會再上線強制奪取原機恢復(fù)后不能直接接入網(wǎng)絡(luò)seize是最后手段。如果你的主域控只是暫時宕機、硬盤還能修千萬別用 seize。一旦強奪原機上的目錄數(shù)據(jù)庫里還認為自己是角色持有者修好之后直接開機接入網(wǎng)絡(luò)就會出現(xiàn)兩個 RID 主機同時分配 RID 池的情況SID 沖突、復(fù)制沖突接踵而至清理起來比重裝還麻煩。真要強奪原機恢復(fù)后必須先做元數(shù)據(jù)清理metadata cleanup把它從林中徹底摘掉再考慮是否重新加入。命令行方式還有一個好處是可以寫成批處理留檔。我習(xí)慣把整個 transfer 序列寫成一個.bat文件存在運維目錄里遷移時直接執(zhí)行事后作為變更記錄的一部分歸檔比截圖可靠。5. 避坑與排查五個把遷移搞翻車的現(xiàn)場5.1 搭建階段的兩個高頻錯誤坑一輔助域控的 DNS 指向了外部解析器現(xiàn)象在 B 機上運行dcpromo選「現(xiàn)有域的額外域控制器」填完憑據(jù)后卡住提示「無法聯(lián)系到域 corp.lab 的域控制器請確認域名輸入正確」。原因B 機的首選 DNS 被設(shè)成了運營商地址或者網(wǎng)關(guān)地址解析corp.lab時查不到 SRV 記錄。dcpromo 定位域控完全依賴 DNS不依賴廣播或者 hosts 文件。解決把 B 機首選 DNS 改回主域控 IPipconfig /flushdns清緩存再用nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab驗證能解析出記錄然后重新跑 dcpromo。如果不想每次都手改可以在 B 機 hosts 里加一條靜態(tài)記錄做兜底但那是權(quán)宜之計DNS 的正規(guī)配置不能省。坑二主域控裝完不做 DNS 自檢SRV 記錄缺失現(xiàn)象主域控本身能登錄但任何客戶端加入域都報「找不到域」輔助域控也加不進來。原因dcpromo 安裝過程中如果 DNS 服務(wù)安裝失敗、或者安裝后 Netlogon 服務(wù)沒有正常啟動SRV 記錄就不會自動注冊。很多人裝完看到「安裝成功」的提示就直接往下走跳過了驗證。解決在 A 機上重啟 Netlogon 服務(wù)觸發(fā)重新注冊命令是net stop netlogon net start netlogon然后nslookup復(fù)查 SRV 記錄。如果還是沒有手工檢查 DNS 控制臺里corp.lab區(qū)域下的_msdcs、_sites、_tcp、_udp四個文件夾是否存在缺哪個就手工建或者把 DNS 區(qū)域刪掉重裝。這個坑我在實驗環(huán)境里踩過一次重裝 DNS 花了半小時后來就養(yǎng)成了裝完必跑 SRV 查詢的習(xí)慣。5.2 遷移階段的三個致命操作坑三跳過備份直接 seize原機修好后又接回網(wǎng)絡(luò)現(xiàn)象主域控硬件故障情急之下在輔助域控上執(zhí)行了seize奪取全部角色。幾天后原機修好開機接入網(wǎng)絡(luò)域內(nèi)開始出現(xiàn)用戶登錄隨機失敗、新建賬號 SID 沖突、復(fù)制報錯 8606對象已存在但屬性不同。原因seize 只是讓新機器接管角色原機的目錄數(shù)據(jù)庫里仍然記錄自己是角色持有者。兩臺機器同時對同一批對象做寫入復(fù)制引擎無法判斷誰是權(quán)威沖突就此產(chǎn)生。解決這個坑基本沒有優(yōu)雅的補救辦法標(biāo)準(zhǔn)流程是立即把原機斷網(wǎng)在正常域控上用ntdsutil的metadata cleanup清除原機的域控元數(shù)據(jù)把它的計算機賬號、復(fù)制連接、DNS 記錄全部摘干凈然后重裝系統(tǒng)再重新加入。從那以后我這邊有一條硬規(guī)定只要用了 seize原機在元數(shù)據(jù)清理完成之前網(wǎng)線不許插?？铀闹晦D(zhuǎn)移了角色忘了遷移全局編錄現(xiàn)象五個 FSMO 角色都顯示在新域控上了netdom query fsmo輸出也正確但客戶端登錄變慢、Outlook 查全球地址簿失敗、跨域組查詢超時。原因全局編錄還留在原主域控上或者兩臺機器的 GC 勾選狀態(tài)搞反了——新機器沒勾上老機器先取消了。整個林里沒有可用的 GC所有依賴全局編錄的查詢都會退化成慢速查詢或者直接失敗。解決在「Active Directory 站點和服務(wù)」里按 4.4 節(jié)的順序重新操作先給新域控勾上 GC用repadmin /showrepl確認復(fù)制完成再取消老域控的勾選。判斷 GC 是否真的生效可以用nltest /dsgetdc:corp.lab /gc指定查詢?nèi)志庝涊敵龅姆?wù)器應(yīng)該是新域控?？游寮軜?gòu)主機轉(zhuǎn)移時沒先切換域控制器現(xiàn)象在 MMC 里添加了「Active Directory 架構(gòu)」管理單元右鍵點「操作主機」點「更改」按鈕是灰的或者點下去報「拒絕訪問」。原因MMC 控制臺默認連接到當(dāng)前登錄域或者林根域的第一臺域控而架構(gòu)主機默認就在那臺機器上。你在 B 機上點「更改」實際是在對 A 機自己操作等同于「把角色從 A 遷到 A」系統(tǒng)自然不會讓你點。解決先右鍵「Active Directory 架構(gòu)」節(jié)點選「更改域控制器」→「指定名稱」→ 輸入DCB.corp.lab確定之后再操作主機。這個順序原始資料里寫得很明確但實際操作時因為選項藏得深很容易漏掉。同樣的問題在「Active Directory 域和信任關(guān)系」里也有操作域命名主機之前必須先連接目標(biāo)域控。排查這類問題的通用思路是任何一個「操作主機」對話框點開之后第一眼先看對話框標(biāo)題或者描述里顯示的當(dāng)前域控名字是不是你以為的那臺。不是的話先斷開重連別急著點更改。這個習(xí)慣能省掉大量「改了沒反應(yīng)」的困惑。6. 遷移后的驗證與善后三條命令把「以為成功」變成「確認成功」角色轉(zhuǎn)移的對話框提示「操作成功」只代表這一次 RPC 調(diào)用完成了不代表整個域的狀態(tài)健康。我一般用三條命令做最終驗收跑完截圖存檔作為變更單的附件。:: 1. 確認五個角色的實際歸屬 netdom query fsmo :: 2. 對目標(biāo)域控做一輪完整診斷重點看復(fù)制和 DNS dcdiag /v /c /e /s:DCB.corp.lab :: 3. 用 CSV 格式導(dǎo)出復(fù)制拓撲便于長期歸檔對比 repadmin /showrepl /csv D:\backup\repl-after-move.csv第一條的輸出里RID、PDC、基礎(chǔ)結(jié)構(gòu)、域命名、架構(gòu)五行都應(yīng)該指向DCB.corp.lab。如果還有一行指向老機器說明那個角色沒轉(zhuǎn)成功回到第 4 章對應(yīng)小節(jié)重做。第二條的/v是詳細模式/c表示對所有測試項執(zhí)行包括一些默認跳過的/e表示檢查林內(nèi)所有域控/s指定起點服務(wù)器。這條跑完輸出很長重點看末尾的「failed」匯總行和 5.1、5.2 里提到的那幾個關(guān)鍵測試項。warning 可以接受failed 必須清零。第三條導(dǎo)出的 CSV 會記錄每一對復(fù)制伙伴的名稱、上次成功時間、失敗次數(shù)、錯誤碼。這份文件的價值在于時間維度上的對比——遷移當(dāng)天導(dǎo)一份一周后再導(dǎo)一份兩次對比如果失敗次數(shù)沒有增長、上次成功時間都在滾動說明復(fù)制鏈路穩(wěn)定。出現(xiàn)新的錯誤碼能第一時間發(fā)現(xiàn)不用等用戶報障。善后工作里最容易漏的是老域控的處置。角色和全局編錄都遷走之后老機器還留在 Domain Controllers 組織單位里仍然參與復(fù)制、仍然占著一個域控的席位。如果它的硬件確實要退役正確的收尾是用dcpromo執(zhí)行降級把它變成普通成員服務(wù)器或者直接退域讓域控元數(shù)據(jù)被自動清理干凈。降級之前務(wù)必確認新域控已經(jīng)承擔(dān)全部角色、GC 復(fù)制完成、并且至少有一份可用的系統(tǒng)狀態(tài)備份——降級本身也會觸發(fā)復(fù)制和數(shù)據(jù)庫變更出問題同樣需要恢復(fù)手段。降級命令也是dcpromo向?qū)崾尽高@個服務(wù)器是最后一個域控制器嗎」選否輸入有權(quán)限的憑據(jù)確認后開始降級。如果選是它會把這個域連同里面的所有對象一起刪掉那一瞬間整個域就沒了所以這一頁要看得特別仔細。從那以后我每次做完角色遷移都會強制走一遍「三條命令 一次備份校驗 老機器降級確認」的收尾流程哪怕領(lǐng)導(dǎo)催著說趕緊下班也不省這一步。遷移這活兒最怕的就是「看起來成功了」等到用戶登錄不上再回頭查往往已經(jīng)是幾天后的事日志滾沒了現(xiàn)場也沒了。希望幫到你。本文還有配套的精品資源點擊獲取