1. 程式人生 > >AD中FSMO五大角色的介紹及操作(轉移與抓取)

AD中FSMO五大角色的介紹及操作(轉移與抓取)

  FSMO是Flexible single master operation的縮寫,意思就是靈活單主機操作。營運主機(Operation Masters,又稱為Flexible Single Master Operation,即FSMO)是被設定為擔任提供特定角色資訊的網域控制站,在每一個活動目錄網域中,至少會存在三種營運主機的角色。但對於大型的網路,整個域森林中,存在5種重要的FSMO角色.而且這些角色都是唯一的。 

  五大角色:

  1、 森林級別(一個森林只存在一臺DC有這個角色):

  (1)、Schema Master(也叫Schema Owner):架構主控

  (2)、Domain Naming Master:域命名主控

  2、 域級別(一個域裡面只存一臺DC有這個角色):

  (1)、PDC Emulator :PDC模擬器

  (2)、RID Master :RID主控

  (3)、Infrastructure Master :結構主控

  對於查詢FSMO主機的方式有很多,本人一般在命令列下,用netdom query fsmo命令查詢.要注意的是本命令需要安裝windows 的Support Tools.

  五種角色主控有什麼作用?

  1、 Schema Master(架構主控)

  作用是修改活動目錄的源資料。我們知道在活動目錄裡存在著各種各樣的對像,比如使用者、計算機、印表機等,這些對像有一系列的屬性,活動目錄本身就是一個數據庫,物件和屬性之間就好像表格一樣存在著對應關係,那麼這些對像和屬性之間的關係是由誰來定義的,就是Schema Master,如果大家部署過Exchange的話,就會知道Schema是可以被擴充套件的,但需要大家注意的是,擴充套件Schema一定是在Schema Master進行擴充套件的,在其它域控制器上或成員伺服器上執行擴充套件程式,實際上是通過網路把資料傳送到Schema上然後再在Schema Master上進行擴充套件的,要擴充套件Schema就必須具有Schema Admins組的許可權才可以。

  建議:在佔有Schema Master的域控制器上不需要高效能,因為我們不是經常對Schema進行操作的,除非是經常會對Schema進行擴充套件,不過這種情況非常的少,但我們必須保證可用性,否則在安裝Exchange或LCS之類的軟體時會出錯。

  2、 Domain Naming Master (域命名主控)

  這也是一個森林級別的角色,它的主要作用是管理森林中域的新增或者刪除。如果你要在你現有森林中新增一個域或者刪除一個域的話,那麼就必須要和Domain Naming Master進行聯絡,如果Domain Naming Master處於Down機狀態的話,你的新增和刪除操作那上肯定會失敗的。

  建議:對佔有Domain Naming Master的域控制器同樣不需要高效能,我想沒有一個網路管理員會經常在森林裡新增或者刪除域吧?當然高可用性是有必要的,否則就沒有辦法新增刪除森裡的域了。

  3、 PDC Emulator (PDC模擬器)

  在前面已經提過了,Windows 2000域開始,不再區分PDC還是BDC,但實際上有些操作則必須要由PDC來完成,那麼這些操作在Windows 2000域裡面怎麼辦呢?那就由PDC Emulator來完成,主要是以下操作:

  ⑴、處理密碼驗證要求;

  在預設情況下,Windows 2000域裡的所有DC會每5分鐘複製一次,但有一些情況是例外的,比如密碼的修改,一般情況下,一旦密碼被修改,會先被複制到PDC Emulator,然後由PDC Emulator觸發一個即時更新,以保證密碼的實時性,當然,實際上由於網路複製也是需要時間的,所以還是會存在一定的時間差,至於這個時間差是多少,則取決於你的網路規模和線路情況。

  ⑵、統一域內的時間;

  微軟活動目錄是用Kerberos協議來進行身份認證的,在預設情況下,驗證方與被驗證方之間的時間差不能超過5分鐘,否則會被拒絕通過,微軟這種設計主要是用來防止回放式攻擊。所以在域內的時間必須是統一的,這個統一時間的工作就是由PDC Emulator來完成的。

  ⑶、向域內的NT4 BDC提供複製資料來源;

  對於一些新建的網路,不大會存在Windows 2000域裡包含NT4的BDC的現象,但是對於一些從NT4升級而來的Windows 2000域卻很可能存有這種情況,這種情況下要向NT4 BDC複製,就需要PDC Emulator。

  ⑷、統一修改組策略的模板;

  ⑸、對Windows 2000以前的作業系統,如WIN98之類的計算機提供支援;

  對於Windows 2000之前的作業系統,它們會認為自己加入的是NT4域,所以當這些機器加入到Windows 2000域時,它們會嘗試聯絡PDC,而實際上PDC已經不存在了,所以PDC Emulator就會成為它們的聯絡物件!

  建議:從上面的介紹裡大家應該看出來了,PDC Emulator是FSMO五種角色裡任務最重的,所以對於佔用PDC Emulator的域控制器要保證高效能和高可用性。

  4、RID Master (RID主控)

  在Windows 2000的安全子系統中,使用者的標識不取決於使用者名稱,雖然我們在一些許可權設定時用的是使用者名稱,但實際上取決於安全主體SID,所以當兩個使用者的SID一樣的時候,儘管他們的使用者名稱可能不一樣,但Windows的安全子系統中會把他們認為是同一個使用者,這樣就會產生安全問題。而在域內的使用者安全SID=Domain SID+RID,那麼如何避免這種情況?這就需要用到RID Master,RID Master的作用是:分配可用RID池給域內的DC和防止安全主體的SID重複。

  建議:對於佔有RID Master的域控制器,其實也沒有必要一定要求高效能,因為我們很少會經常性的利用批處理或指令碼向活動目錄新增大量的使用者。這個請大家視實際情況而定了,當然高可用性是必不可少的,否則就沒有辦法新增使用者了。

  5、 Infrastructure Master (結構主控)

  FSMO的五種角色中最無關緊要的可能就是這個角色了,它的主要作用就是用來更新組的成員列表,因為在活動目錄中很有可能有一些使用者從一個OU轉移到另外一個OU,那麼使用者的DN名就發生變化,這時其它域對於這個使用者引用也要發生變化。這種變化就是由Infrastructure Master來完成的。

  建議:其實在活動目錄森林裡僅僅只有一個域或者森林裡所有的域控制器都是GC(全域性編錄)的情況下,Infrastructure Master根本不起作用,所以一般情況下對於佔有Infrastructure Master的域控制器往忽略效能和可能性。

  在FSMO的規劃時,請大家按以下原則進行:

  1、佔有Domain Naming Master角色的域控制器必須同時也是GC;

  2、不能把Infrastructure Master和GC放在同一臺DC上;

  3、建議將Schema Master和Domain Naming Master放在森林根域的GC伺服器上;

  4、建議將Schema Master和Domain Naming Master放在同一臺域控制器上;

  5、建議將PDC Emulator、RID Master及Infrastructure Master放在同一臺效能較好的域控制器上;

  6、儘量不要把PDC Emulator、RID Master及Infrastructure Master放置在GC伺服器上;

——————————————————————————————————————————————————

對FSMO角色的操作,即更改角色的操作主機(傳送或抓取,抓取也叫佔用)  

  我們在安裝完第一臺主DC後,一定會再安裝第二臺DC做為額外DC,以保持其域的安全可靠。從額外DC角色轉換為主DC角色可以有二種方法——通用FSMO的傳送或抓取來實現。

1、傳送:當主DC工作正常,但出於某些原因要將其上的FSMO角色主機傳到其它額外DC上時可以使用“傳送”方式。

2、抓取:當主DC工作出現嚴重故障,AD工作不正常時,如:作業系統故障且AD無法修復,亦或是硬體問題不能開機等原因,這時我們可以用“抓取”方式。

  一、傳送(使用圖形化介面操作)

  1、除Schema Master(也叫Schema Owner):架構主控 外,其它四個角色主控都可以通過下面這個方式進行操作:

1)開啟伺服器管理器,找到 [角色] --> [Active Directory 域服務] ,然後右建點選 [Active Directory 使用者和計算機] 
在 [所有任務] 中,先選擇 [更改域控制器] (此步驟是讓此DC計算機直接連線到另一臺額外DC計算機上的主控)

2)選擇要傳送的DC(聯機的即為當前是主控角色)

3)之後再回到第一步,重新找到 [角色] --> [Active Directory 域服務] ,然後右建點選 [Active Directory 使用者和計算機] 
在 [所有任務] 中,先選擇 [操作主機] 。然後單擊 [更改] 就可以將此角色主控傳送到剛才選擇的額外DC上去。
注:在這裡,域級別的三個角色主控RID、PDC、Infrastructure Master都在這裡操作。 另一個域林級別的Domain Naming Master:域命名主控則需要在[角色] --> [Active Directory 站點和服務] 中右鍵單擊進行操作,操作方式與這裡一樣。

  2、架構主控的傳送操作有一點點麻煩,因為微軟為了安全考慮並沒有預設安裝架構主控的管理單元。所以我們要自己手動安裝並在MMC中新增一下。方法如下:

1)用管理員身份執行CMD(一定要管理員身份哦!不然下面註冊時會報錯)

 

2)在命令列中輸入:regsvr32 schmmgmt.dll

然後回車!

3)在命令視窗輸入:mmc

回車後會彈出 [控制檯] 視窗

4)在管理臺中,點選 [檔案] --> [新增/刪除管理單元]

5)在新增或刪除管理單元中找到剛才註冊的 [Active Directory 架構] 單元,然後點 [新增],之後確定

6)還是和前面一樣,在架構單元上點右鍵,先要選擇 [更改Active Directory 域控制器] ,將管理的單元直接切換到另一個將要傳送角色的額外DC上,之後再點選 [操作主機]

7)在彈出的視窗中點選更改,就可以將架構主控從DC傳送到DC2上。

  到此,主控上的五大主控都傳送到另一臺額外DC上去了。這時額外DC就成了真正意義上的主控DC,而原主控DC剛成了額外了。(注意,windows2003開始,已經沒有主和副的概念了,只有主DC和額外DC,所有DC都是平等的,誰擔任了這五大FSMO主控角色誰就是主DC)。之後,可以把使用者的DNS指向新的這臺DC(已有DNS服務)。或將原主控DC下線,把新的DC改IP為原主DC(不推薦改新DC主機的IP方式,這樣做存在一些可可見的風險)

  二、抓取,也叫佔用(抓取只能使用命令列工具,傳送也可以用命令列方式)

1 ntdsutil            進入ntds工具提示符
2 roles             調整操作主機角色
3 connections          進入連線模式
4 connect to server "DC名"    連線到可用DC上
5 quit                                      返回上層選單
6 transfer pdc                        (或其他) 進行轉移或抓取
7 quit 退出

第6步的命令可以改為以下:

-抓取角色命令-


佔用 RID 主機角色
seize RID master

佔用 PDC 模擬器角色
seize PDC

佔用結構主機角色
seize infrastructure master

佔用域命名主機角色
seize domain naming master

佔用架構主機角色
seize schema master

-傳送角色命令-

轉移 RID 主機角色
transfer RID master

轉移 PDC 模擬器角色
transfer PDC

轉移結構主機角色
transfer infrastructure master

轉移域命名主機角色
transfer domain naming master

轉移架構主機角色
transfer schema master

以上內容參考微軟官方網站:

————————————————————————————————