簡介面向Windows Server域環(huán)境初學(xué)者與系統(tǒng)管理員的實(shí)操型文檔圍繞主域控制器、輔助域控制器部署及主域控制器遷移展開幫助讀者梳理域架構(gòu)搭建、角色轉(zhuǎn)移與常見故障處理思路。資源包共1個(gè)docx文件約566KB以文字說明和命令示例整理環(huán)境準(zhǔn)備、活動(dòng)目錄安裝、額外域控加入、FSMO五大角色遷移及全局編錄設(shè)置等內(nèi)容并給出ntdsutil命令行轉(zhuǎn)移與角色奪取的參考寫法內(nèi)容按搭建、加入、遷移與驗(yàn)證順序組織便于在實(shí)驗(yàn)環(huán)境中對照練習(xí)、驗(yàn)證主輔域控復(fù)制效果和遷移結(jié)果。該文檔已有2064人瀏覽學(xué)習(xí)適合課程實(shí)驗(yàn)、企業(yè)域控遷移預(yù)演及日常運(yùn)維知識(shí)梳理也可作為搭建主輔域控、執(zhí)行角色遷移時(shí)的速查筆記幫助讀者減少配置遺漏并建立較完整的排錯(cuò)思路。1. 從 dcpromo 到 ntdsutil把主域控、輔助域控和遷移串成一條線機(jī)房角落里那臺(tái)跑了七八年的機(jī)器要下架域里五個(gè) FSMO 角色全壓在它身上全局編錄也只有它一份這時(shí)候才想起來翻文檔最容易出現(xiàn)的問題是步驟對不上號。這份記錄把三件事串成一條線主域控怎么用 dcpromo 從零建起來輔助域控怎么作為額外域控制器加入并把復(fù)制鏈路跑通最后把 RID、PDC、基礎(chǔ)結(jié)構(gòu)、域命名、架構(gòu)五個(gè)角色連同全局編錄一起遷移到新機(jī)器上。整套流程基于 Microsoft Windows Server 2003 Enterprise Edition 的雙機(jī)方案適合還在維護(hù)老活動(dòng)目錄環(huán)境的人、想搭實(shí)驗(yàn)環(huán)境驗(yàn)證遷移路徑的人以及需要理解「域控裝完不等于交付」的運(yùn)維從業(yè)者。下面按搭建、加入、遷移、排錯(cuò)的順序往下走每一步都給出命令和判斷依據(jù)。2. 主域控的搭建dcpromo 向?qū)?11 個(gè)頁面分別該填什么2.1 先定地址和名字別等裝到一半才想域控搭建里最難調(diào)整的是地址規(guī)劃一旦 dcpromo 跑完改 IP 意味著 DNS 記錄、SRV 記錄、站點(diǎn)信息全部要跟著動(dòng)。我一般會(huì)在裝系統(tǒng)之前就把表格填好兩臺(tái)機(jī)器對號入座裝的時(shí)候照著抄不給自己臨場發(fā)揮的機(jī)會(huì)。項(xiàng)目主域控 A輔助域控 B操作系統(tǒng)Windows Server 2003 Enterprise Edition同左計(jì)算機(jī)名DCADCBIP 地址10.10.10.1010.10.10.20子網(wǎng)掩碼255.0.0.0255.0.0.0默認(rèn)網(wǎng)關(guān)10.10.10.110.10.10.1首選 DNS10.10.10.10自身10.10.10.10指向主域控域 DNS 全名corp.lab同左NetBIOS 名CORP同左原始資料里用的是 1.1.1.1 / 255.0.0.0 這套寫法掩碼是 A 類的默認(rèn)掩碼。實(shí)驗(yàn)環(huán)境圖省事可以這么干但我建議換成私網(wǎng)號段一來 1.1.1.1 現(xiàn)在被公共 DNS 服務(wù)占用客戶端做名稱解析時(shí)容易和外部解析打架二來掩碼寫 255.0.0.0 意味著整個(gè) 10.0.0.0/8 都算同網(wǎng)段真實(shí)機(jī)房里跨網(wǎng)段復(fù)制、站點(diǎn)劃分這些判斷會(huì)失真。真要復(fù)現(xiàn)實(shí)驗(yàn)用 10.10.10.0/24 更貼近生產(chǎn)掩碼 255.255.255.0判斷邏輯一模一樣出問題時(shí)排查范圍還小。還有兩個(gè)容易忽略的前置動(dòng)作把兩臺(tái)機(jī)器的防火墻對域控相關(guān)端口放行至少包括 53、88、135、139、389、445、636、3268、3269把系統(tǒng)時(shí)間對齊域內(nèi) Kerberos 認(rèn)證對時(shí)間偏差容忍度只有 5 分鐘時(shí)間不同步時(shí)會(huì)報(bào)「安全數(shù)據(jù)庫中存在該計(jì)算機(jī)賬戶但登錄失敗」這類看起來莫名其妙的錯(cuò)誤。2.2 dcpromo 向?qū)е痦?xiàng)拆解裝完系統(tǒng)、配好靜態(tài) IP 和 DNS 指向自身之后從運(yùn)行框或者命令行調(diào)起安裝向?qū)АＣ钚蟹绞奖赛c(diǎn)開始菜單更穩(wěn)尤其是遠(yuǎn)程桌面里操作的時(shí)候:: 調(diào)起活動(dòng)目錄安裝向?qū)?dcpromo這條命令本身沒有參數(shù)走的是交互式向?qū)?。dcpromo 也支持應(yīng)答文件靜默安裝dcpromo /answer:文件名但初次搭建不建議用向?qū)恳徊降倪x擇直接決定后面域的行為手點(diǎn)一遍能看清每一項(xiàng)的含義。向?qū)У捻撁骓樞蚝蛯?yīng)的填法如下照著填基本不會(huì)出錯(cuò)向?qū)ы撨x擇判斷依據(jù)操作系統(tǒng)兼容性下一步提示性頁面說明舊版 Windows 的兼容限制域控制器類型新域的域控制器這是林里的第一臺(tái)域控創(chuàng)建一個(gè)新域在新林中的域全新森林沒有可依附的父域新域的 DNS 全名corp.lab這個(gè)名字就是以后的登錄后綴NetBIOS 名CORP默認(rèn)從 DNS 名截取老客戶端靠它識(shí)別域數(shù)據(jù)庫和日志文件夾分開存放數(shù)據(jù)庫和日志放不同物理盤IO 互不干擾共享的系統(tǒng)卷默認(rèn) %systemroot%\SYSVOL保持默認(rèn)即可遷移時(shí)也好找DNS 注冊診斷第二項(xiàng)讓本機(jī)同時(shí)安裝并配置 DNS充當(dāng)域的 DNS 服務(wù)器權(quán)限只與 Windows Server 2003 兼容純 2003 環(huán)境選它安全設(shè)置更嚴(yán)格還原模式密碼自定義強(qiáng)密碼目錄服務(wù)還原模式專用和域管理員密碼分開摘要核對后下一步這里還能回頭改過了這一步就開始寫庫幾個(gè)值得多解釋兩句的點(diǎn)「在新林中的域」這個(gè)選項(xiàng)意味著當(dāng)前這臺(tái)機(jī)器會(huì)成為新森林的根域同時(shí)自動(dòng)持有全部五個(gè) FSMO 角色和全局編錄這是后面遷移章節(jié)的起點(diǎn)。如果選錯(cuò)成「現(xiàn)有域的額外域控制器」向?qū)?huì)要求提供父域憑據(jù)環(huán)境里根本沒有只能退出重來。數(shù)據(jù)庫和日志文件分開存放不是形式主義?；顒?dòng)目錄數(shù)據(jù)庫文件 NTDS.dit 的寫入模式和日志文件差別很大日志是順序追加寫數(shù)據(jù)庫是隨機(jī)讀寫放在同一塊盤上日志刷盤會(huì)被數(shù)據(jù)庫的隨機(jī) IO 拖慢域控在用戶集中登錄的早高峰會(huì)明顯卡頓。實(shí)驗(yàn)環(huán)境一塊盤無所謂生產(chǎn)環(huán)境至少分兩個(gè)分區(qū)。DNS 注冊診斷這一頁給三個(gè)選項(xiàng)第二項(xiàng)的大意是「在這臺(tái)計(jì)算機(jī)上安裝并配置 DNS 服務(wù)器將使用此 DNS 服務(wù)器作為該域的 DNS 服務(wù)器」選它之后向?qū)?huì)自動(dòng)裝 DNS 服務(wù)并建好正向區(qū)域。第一項(xiàng)是「不在本機(jī)安裝 DNS稍后手動(dòng)配置」這種方式適合 DNS 已經(jīng)由別的團(tuán)隊(duì)統(tǒng)一管理、要單獨(dú)提申請的場景如果本機(jī) DNS 沒配好就選它裝完域控會(huì)得到一個(gè)客戶端連不上的域。原始資料里選第二項(xiàng)是對的。權(quán)限頁面選 2003 兼容模式會(huì)啟用更嚴(yán)格的安全設(shè)置比如對匿名查詢的限制。只有當(dāng)林里還存在 Windows 2000 域控、需要向下兼容時(shí)才選另一個(gè)選項(xiàng)。選完這一頁就沒有回頭路了。還原模式密碼是另一套獨(dú)立的口令只在開機(jī)按 F8 進(jìn)入目錄服務(wù)還原模式時(shí)使用用于離線恢復(fù) NTDS.dit。它和域管理員密碼沒有任何關(guān)系很多人裝完就忘真出事要恢復(fù)時(shí)抓瞎。我一般要求它寫在兩處紙質(zhì)交接單和密碼管理工具里各一份不許只存在腦子里。2.3 裝完先自檢別急著加第二臺(tái)向?qū)芡陼?huì)提示重啟重啟后第一件事不是去加輔助域控而是把自檢做完。主域控如果本身是帶病的后面所有復(fù)制問題都會(huì)顯得像玄學(xué)排查成本翻幾倍。我習(xí)慣跑這么幾條:: 1. 看 SYSVOL 和 NETLOGON 兩個(gè)共享是否自動(dòng)建立 net share :: 2. 用 Support Tools 里的診斷工具做一輪基礎(chǔ)體檢 dcdiag /test:netlogons /test:advertising /test:services :: 3. 檢查 DNS 里域控的 SRV 記錄是否注冊完整 nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab :: 4. 確認(rèn)本機(jī)當(dāng)前持有的 FSMO 角色 netdom query fsmo第一條net share的輸出里必須能看到 SYSVOL 和 NETLOGON 兩個(gè)共享。這兩個(gè)共享是組策略下發(fā)和登錄腳本的基礎(chǔ)沒有它們域能登錄但策略不生效表現(xiàn)是改了口令策略卻沒人被強(qiáng)制。共享不存在通常是 SYSVOL 還沒復(fù)制完或者文件系統(tǒng)權(quán)限異常等幾分鐘再刷新一直不出來就得看事件日志里的 FRS 報(bào)錯(cuò)。第二條dcdiag需要預(yù)先安裝 Windows Server 2003 Support Tools裝完在%programfiles%\support tools目錄下。三個(gè)測試項(xiàng)分別驗(yàn)證網(wǎng)絡(luò)登錄權(quán)限、域控是否在 DNS 中正確對外宣告自己、以及關(guān)鍵服務(wù)KDC、Netlogon、W32Time的啟動(dòng)狀態(tài)輸出里出現(xiàn) failed 的行要逐條看清楚警告warning可以先放一放失敗failed必須當(dāng)場解決。第三條nslookup查 SRV 記錄正常應(yīng)該返回_ldap._tcp.dc._msdcs.corp.lab對應(yīng)的主機(jī)名和端口 389。如果返回「找不到」說明 DNS 自動(dòng)注冊沒成功客戶端加入域時(shí)會(huì)報(bào)找不到域控。修復(fù)方式是重啟 Netlogon 服務(wù)觸發(fā)重新注冊命令是net stop netlogon net start netlogon還不行就手工檢查 DNS 正向區(qū)域里_msdcs、_sites、_tcp、_udp四個(gè)子目錄是否存在。第四條netdom query fsmo同樣來自 Support Tools輸出會(huì)列出五個(gè)角色分別落在哪臺(tái)機(jī)器上。剛裝完應(yīng)該是五個(gè)角色全部指向 DCA.corp.lab這個(gè)輸出是后面遷移的基準(zhǔn)線建議截圖存檔遷移完再跑一次做對比。這四條命令加起來不到兩分鐘能把八成的基礎(chǔ)問題擋在門外。等第二臺(tái)機(jī)器加入之后再發(fā)現(xiàn)就分不清是主域控的鍋還是復(fù)制鏈路的鍋了。3. 輔助域控加入ping 得通不等于復(fù)制得通3.1 地址和 DNS 指向決定了 dcpromo 能不能找到域輔助域控的準(zhǔn)備工作看著簡單出問題的概率卻最高。核心就一句話B 機(jī)的首選 DNS 必須指向 A 機(jī)不能指向任何外部 DNS也不能指向自己。因?yàn)?dcpromo 加入現(xiàn)有域的第一步是查_ldap._tcp.dc._msdcs.corp.lab這條 SRV 記錄只有 A 機(jī)上的 DNS 有這個(gè)記錄指向別的解析器就等于把導(dǎo)航關(guān)了。配置完先做連通性驗(yàn)證別憑感覺認(rèn)為「應(yīng)該通了」:: 基礎(chǔ)連通性 ping 10.10.10.10 :: 名稱解析是否走通了域名到域控的映射 nslookup corp.lab nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab :: 直接問主域控要域信息這條最接近 dcpromo 內(nèi)部的實(shí)際動(dòng)作 nltest /dsgetdc:corp.lab /forceping只能證明三層通證明不了域服務(wù)可用。真正有說服力的是nltest /dsgetdc它模擬的就是客戶端定位域控的過程正常輸出會(huì)列出主域控的全名、IP、站點(diǎn)名和標(biāo)志位其中應(yīng)該包含 GC全局編錄標(biāo)記。這條命令報(bào)錯(cuò)「無法找到域控制器」那 dcpromo 一定失敗先修解析別去改別的。權(quán)限方面加入額外域控制器用的賬號必須是 Domain Admins 組或者 Enterprise Admins 組成員普通域用戶不行。我一般直接拿域管理員賬號操作實(shí)驗(yàn)環(huán)境不糾結(jié)最小權(quán)限但要注意這個(gè)賬號的密碼里不能有會(huì)觸發(fā)命令行轉(zhuǎn)義的特殊字符否則在向?qū)Ю镎迟N會(huì)出問題。3.2 走一遍「現(xiàn)有域的額外域控制器」:: 在輔助域控 B 上執(zhí)行 dcpromo向?qū)窂胶椭饔蚩卮罱ㄓ忻黠@分叉從第二頁開始就不一樣了第一步操作系統(tǒng)兼容性頁面直接下一步。第二步域控制器類型選「現(xiàn)有域的額外域控制器」和主域控那臺(tái)選「新域的域控制器」正好相反。這一步選錯(cuò)會(huì)把 B 機(jī)變成一個(gè)新森林的根兩臺(tái)機(jī)器各管各的表面上都叫域控實(shí)際上毫無關(guān)系。第三步網(wǎng)絡(luò)憑據(jù)頁面填有權(quán)限加入域的賬號、密碼和域名。域名這里填corp.lab或者 NetBIOS 名CORP都行向?qū)?huì)自動(dòng)解析。如果前面 DNS 沒配對這一步會(huì)卡住并提示「無法聯(lián)系到域 corp.lab 的域控制器」回頭檢查 2.1 和 3.1 的內(nèi)容。第四步額外域控制器域名默認(rèn)帶出corp.lab接受即可。第五步數(shù)據(jù)庫和日志文件夾同樣建議分開放路徑可以和主域控不同但目錄結(jié)構(gòu)保持一致便于后期統(tǒng)一備份。第六步目錄服務(wù)還原模式密碼。這里有個(gè)細(xì)節(jié)輔助域控的還原密碼可以和主域控不同兩臺(tái)機(jī)器各自獨(dú)立。為了降低交接成本我通常設(shè)成一樣但會(huì)在交接文檔里標(biāo)注「兩臺(tái)機(jī)器的 DSRM 密碼相同任何一臺(tái)需要恢復(fù)都使用此口令」。第七步摘要頁面核對點(diǎn)下一步開始安裝。安裝過程中會(huì)從主域控復(fù)制完整的目錄數(shù)據(jù)庫數(shù)據(jù)量大的話這一步耗時(shí)較長中間不要中斷。安裝完成后必須重啟重啟之后 B 機(jī)才真正開始以域控身份工作。重啟后回到 A 機(jī)打開「Active Directory 用戶和計(jì)算機(jī)」展開 Domain Controllers 組織單位應(yīng)該能看到 DCB 這個(gè)計(jì)算機(jī)對象。這一步能驗(yàn)證加入動(dòng)作本身成功但證明不了復(fù)制正常下一節(jié)專門說。3.3 復(fù)制鏈路怎么驗(yàn)證才算真的通了原始資料里寫「經(jīng)測試主域控制器的數(shù)據(jù)能及時(shí)復(fù)制到輔助域控上面」這個(gè)結(jié)論要靠具體手段落地不然出事時(shí)說不清。我常用三層驗(yàn)證從粗到細(xì):: 第一層總體摘要看兩臺(tái)域控之間有沒有失敗計(jì)數(shù) repadmin /replsummary :: 第二層逐條復(fù)制伙伴的詳細(xì)狀態(tài)包括上次成功時(shí)間 repadmin /showrepl :: 第三層手動(dòng)觸發(fā)一次復(fù)制然后立刻回看結(jié)果 repadmin /replicate DCB.corp.lab DCA.corp.lab DCcorp,DClabrepadmin /replsummary輸出的是每個(gè)域控作為源和目標(biāo)時(shí)的最大失敗時(shí)間、失敗次數(shù)。正常狀態(tài)下失敗次數(shù)應(yīng)該是 0最大失敗時(shí)間顯示「never」。只要出現(xiàn)非零失敗次數(shù)第二層命令能定位到是哪一對復(fù)制伙伴、哪個(gè)命名上下文出的問題。repadmin /showrepl會(huì)列出 B 機(jī)所有的入站復(fù)制伙伴每條下面有「上次成功」的時(shí)間戳和連續(xù)失敗次數(shù)。判斷標(biāo)準(zhǔn)很簡單上次成功時(shí)間應(yīng)該在最近 15 分鐘內(nèi)同站點(diǎn)內(nèi)默認(rèn)復(fù)制間隔連續(xù)失敗必須是 0。第三條手動(dòng)復(fù)制命令適合在改完配置后立即驗(yàn)證參數(shù)依次是目標(biāo)域控、源域控、命名上下文。命名上下文寫成DCcorp,DClab這種形式對應(yīng)域的 DN。執(zhí)行完再用repadmin /showrepl看時(shí)間戳是否刷新刷新了就說明鏈路完全正常。圖形界面的等價(jià)操作在「Active Directory 站點(diǎn)和服務(wù)」里展開 Sites → Default-First-Site-Name → Servers → DCB → NTDS Settings右側(cè)會(huì)列出復(fù)制連接右鍵選擇「立即復(fù)制」即可。想看得更細(xì)可以打開事件查看器里的目錄服務(wù)日志篩選來源為 NTDS Replication 的事件成功復(fù)制的事件 ID 是 1869報(bào)錯(cuò)通常是 1311復(fù)制配置信息不可用或者 8524DNS 名稱解析失敗這兩個(gè)錯(cuò)誤碼基本能把大部分復(fù)制故障歸類。還有一點(diǎn)容易被忽略同站點(diǎn)內(nèi)的復(fù)制默認(rèn)是變更通知驅(qū)動(dòng)的主域控上有對象改動(dòng)后大約 15 秒就會(huì)通知輔助域控拉取所以「及時(shí)」是有前提的前提是兩臺(tái)機(jī)器在同一個(gè)站點(diǎn)里。如果后面為了模擬多站點(diǎn)環(huán)境把它們分到不同站點(diǎn)復(fù)制就變成按計(jì)劃間隔執(zhí)行默認(rèn)最短 15 分鐘那時(shí)候再測「及時(shí)性」會(huì)覺得怎么都不對其實(shí)是站點(diǎn)鏈接的開銷在起作用。4. FSMO 五角色遷移圖形界面走一遍命令行再兜一次底4.1 遷移前先做 system state 備份角色遷移是不可逆的在線操作雖然正常轉(zhuǎn)移不破壞數(shù)據(jù)但萬一中途斷電、網(wǎng)絡(luò)斷、目標(biāo)機(jī)器宕機(jī)目錄數(shù)據(jù)庫可能處于不一致狀態(tài)。動(dòng)手之前必須先做系統(tǒng)狀態(tài)備份這是唯一能回退的手段我稱之為后悔藥。Windows Server 2003 自帶的備份工具是 ntbackup命令行方式比圖形界面更適合留檔:: 把系統(tǒng)狀態(tài)備份到 D 盤帶作業(yè)名和日志 ntbackup backup systemstate /j pre-fsmo-move /f D:\backup\sysstate-01.bkf /l D:\backup\backup.log /m normal參數(shù)逐個(gè)解釋backup systemstate指定備份內(nèi)容為系統(tǒng)狀態(tài)包含注冊表、COM 類注冊數(shù)據(jù)庫、引導(dǎo)文件、系統(tǒng)文件以及活動(dòng)目錄數(shù)據(jù)庫/j是作業(yè)名方便在備份日志里檢索/f指定備份文件路徑.bkf是 ntbackup 的專有格式/l指定日志文件出問題時(shí)看這個(gè)/m normal表示普通備份不做增量標(biāo)記。這條命令要在主域控和輔助域控上各跑一次兩臺(tái)機(jī)器都要有可回退的基線。備份文件生成后建議復(fù)制一份到網(wǎng)絡(luò)位置或者移動(dòng)硬盤不要只留在本機(jī)因?yàn)樽钚枰謴?fù)的場景往往是本機(jī)磁盤掛了。系統(tǒng)狀態(tài)備份不能單獨(dú)還原部分內(nèi)容恢復(fù)時(shí)必須在目錄服務(wù)還原模式下整份還原或者用權(quán)威還原authoritative restore的方式只恢復(fù)特定對象。還原模式的開機(jī)方式是在啟動(dòng)時(shí)按 F8選擇「目錄服務(wù)還原模式」登錄時(shí)用 2.2 節(jié)里設(shè)置的那個(gè)還原模式密碼不是域管理員密碼。這一整套流程建議在實(shí)驗(yàn)環(huán)境里完整跑一遍真出事的時(shí)候才不至于手忙腳亂。4.2 RID、PDC、基礎(chǔ)結(jié)構(gòu)同一張對話框里的三個(gè)角色這三個(gè)角色的轉(zhuǎn)移入口都在「Active Directory 用戶和計(jì)算機(jī)」里操作路徑高度一致區(qū)別只是操作主機(jī)對話框里選哪個(gè)標(biāo)簽頁。先理解它們各自管什么再動(dòng)手會(huì)穩(wěn)很多角色職責(zé)轉(zhuǎn)移后的直接影響RID 主機(jī)為域內(nèi)所有域控分配 RID 池轉(zhuǎn)移后新用戶、新計(jì)算機(jī)的 SID 才繼續(xù)分配PDC 仿真主機(jī)兼容舊客戶端、口令變更優(yōu)先寫入、域時(shí)間源轉(zhuǎn)移后密碼修改的即時(shí)性依賴新主機(jī)基礎(chǔ)結(jié)構(gòu)主機(jī)維護(hù)跨域?qū)ο笠萌缃M成員中的他域用戶轉(zhuǎn)移后跨域組成員變更才能正確反映具體步驟在輔助域控 B 上打開「Active Directory 用戶和計(jì)算機(jī)」右鍵點(diǎn)擊域名 corp.lab選擇「連接到域控制器」在列表里選中 DCB.corp.lab確定。這一步是關(guān)鍵不切換的話后面點(diǎn)「操作主機(jī)」看到的還是當(dāng)前連接的域控改來改去改的是自己。連上之后再次右鍵域名選擇「操作主機(jī)」彈出對話框三個(gè)標(biāo)簽頁分別是 RID、PDC、基礎(chǔ)結(jié)構(gòu)。每個(gè)頁面里都有一個(gè)「更改」按鈕點(diǎn)擊后系統(tǒng)會(huì)確認(rèn)「是否將操作主機(jī)角色轉(zhuǎn)移到 DCB.corp.lab」選是然后確定。三個(gè)頁面按同樣方式操作一遍每個(gè)角色轉(zhuǎn)移成功都會(huì)有提示框。這里有一個(gè)經(jīng)典坑基礎(chǔ)結(jié)構(gòu)主機(jī)如果和全局編錄部署在同一臺(tái)機(jī)器上它會(huì)停止更新跨域?qū)ο笠靡驗(yàn)樗J(rèn)為自己的數(shù)據(jù)已經(jīng)是最新的。判斷規(guī)則是——如果林里所有域控都是全局編錄那基礎(chǔ)結(jié)構(gòu)主機(jī)不起作用放哪都無所謂如果林里存在非全局編錄的域控基礎(chǔ)結(jié)構(gòu)主機(jī)就必須放在非全局編錄的域控上。原始資料的場景里兩臺(tái)都是全局編錄所以不受影響但換到有三四臺(tái)域控的環(huán)境里這一條不檢查就會(huì)埋雷表現(xiàn)是跨域組的成員變更延遲很久才生效還查不出原因。PDC 仿真主機(jī)還有個(gè)隱性職責(zé)是域的時(shí)間源。轉(zhuǎn)移完成后新持有者會(huì)成為域內(nèi)時(shí)間的權(quán)威來源如果這臺(tái)機(jī)器的 CMOS 電池老化導(dǎo)致時(shí)間漂移整個(gè)域的時(shí)間都會(huì)跟著漂。我一般會(huì)在這臺(tái)機(jī)器上配一個(gè)可靠的外部時(shí)間源用w32tm /config /manualpeerlist:... /syncfromflags:manual /reliable:yes /update命令搞定然后net stop w32time net start w32time重啟時(shí)間服務(wù)。4.3 域命名主機(jī)與架構(gòu)主機(jī)兩個(gè)藏起來的控制臺(tái)域命名主機(jī)管的是林級別的域增刪入口在另一個(gè)管理工具里在輔助域控上打開「Active Directory 域和信任關(guān)系」先右鍵根節(jié)點(diǎn)選擇「連接到域控制器」選中 DCB確定。然后再次右鍵根節(jié)點(diǎn)選擇「操作主機(jī)」對話框里只有一個(gè)標(biāo)簽頁點(diǎn)「更改」確認(rèn)。這個(gè)角色是林級別的整個(gè)林只有一臺(tái)持有者轉(zhuǎn)移過程中如果提示權(quán)限不足檢查當(dāng)前登錄賬號是否屬于 Enterprise Admins。架構(gòu)主機(jī)更隱蔽默認(rèn)的管理工具里根本沒有入口必須先注冊一個(gè)動(dòng)態(tài)鏈接庫把管理單元放出來:: 注冊架構(gòu)管理單元 regsvr32 schmmgmt.dll :: 打開空白 MMC 控制臺(tái) mmcregsvr32是注冊 DLL 組件的標(biāo)準(zhǔn)命令schmmgmt.dll位于%systemroot%\system32目錄下注冊成功會(huì)彈出一個(gè)提示框。注冊完成后運(yùn)行mmc打開空白控制臺(tái)按 CtrlM 或者菜單里的「添加/刪除管理單元」在列表里找到「Active Directory 架構(gòu)」添加、關(guān)閉、確定。接下來兩步順序不能顛倒先右鍵「Active Directory 架構(gòu)」節(jié)點(diǎn)選擇「更改域控制器」點(diǎn)「指定名稱」輸入DCB.corp.lab確定。確認(rèn)當(dāng)前連接已經(jīng)切到輔助域控之后再右鍵該節(jié)點(diǎn)選擇「操作主機(jī)」點(diǎn)「更改」按提示確認(rèn)。如果順序搞反了直接點(diǎn)操作主機(jī)改的可能是當(dāng)前默認(rèn)連接的域控通常是主域控自己你會(huì)看到一個(gè)「更改」按鈕點(diǎn)下去毫無反應(yīng)或者報(bào)錯(cuò)因?yàn)榧軜?gòu)主機(jī)默認(rèn)就在林里的第一臺(tái)域控上。原始資料里特別強(qiáng)調(diào)先改域控制器再改操作主機(jī)就是踩過這個(gè)坑留下的經(jīng)驗(yàn)。架構(gòu)主機(jī)的轉(zhuǎn)移需要 Schema Admins 權(quán)限而且這個(gè)角色的變更會(huì)觸發(fā)整個(gè)林的架構(gòu)同步操作時(shí)林內(nèi)所有域控最好都在線。如果某臺(tái)域控長時(shí)間離線架構(gòu)更新會(huì)在它恢復(fù)后集中推送極端情況下會(huì)導(dǎo)致復(fù)制沖突。生產(chǎn)環(huán)境做這一步一般會(huì)安排在變更窗口內(nèi)。4.4 全局編錄遷移與 ntdsutil 命令行兜底全局編錄不是 FSMO 角色但它決定了登錄驗(yàn)證和跨域查詢能不能工作必須和五個(gè)角色一起遷。默認(rèn)情況下林里的第一臺(tái)域控就是全局編錄新建的額外域控默認(rèn)不帶這個(gè)勾。圖形方式在「Active Directory 站點(diǎn)和服務(wù)」里展開 Sites → Default-First-Site-Name → Servers → DCB → 右鍵 NTDS Settings → 屬性勾選「全局編錄」確定。然后對 DCA 做反向操作展開到 DCA 的 NTDS Settings 屬性取消勾選。順序很重要先給 B 機(jī)勾上等目錄數(shù)據(jù)完整復(fù)制過來用 3.3 節(jié)的方法確認(rèn)沒有未完成的復(fù)制再取消 A 機(jī)的勾。反過來操作會(huì)有個(gè)窗口期林里一臺(tái)全局編錄都沒有客戶端登錄時(shí)報(bào)「找不到全局編錄服務(wù)器」所有依賴 GC 的查詢?nèi)渴?。這個(gè)窗口期哪怕只有幾分鐘也夠用戶打電話了。五個(gè)角色全部轉(zhuǎn)移完之后用命令行的方式復(fù)核一遍同時(shí)準(zhǔn)備好 seize 的語法以備不時(shí)之需:: 進(jìn)入目錄服務(wù)維護(hù)工具 ntdsutil :: 進(jìn)入 FSMO 維護(hù)上下文 roles :: 建立到目標(biāo)域控的連接 connections connect to server DCB.corp.lab quit :: 逐個(gè)轉(zhuǎn)移角色正常轉(zhuǎn)移要求原持有者在線 transfer RID master transfer PDC transfer infrastructure master transfer domain naming master transfer schema master :: 退出 quit quit這套交互式命令的層級要看清ntdsutil是頂層提示符是ntdsutil:輸入roles進(jìn)入fsmo maintenance:輸入connections進(jìn)入server connections:connect to server之后必須quit退回到fsmo maintenance:才能執(zhí)行 transfer 命令在server connections:提示符下敲 transfer 會(huì)提示命令無效。這是新手最?？ㄗ〉牡胤?。transfer和seize的區(qū)別值得單獨(dú)說清楚兩者語義完全不同命令適用場景前提條件后果transfer原持有者正常在線計(jì)劃內(nèi)遷移原域控可達(dá)角色平滑移交原機(jī)自動(dòng)降為普通域控seize原持有者徹底損壞、永久下線確認(rèn)原機(jī)不會(huì)再上線強(qiáng)制奪取原機(jī)恢復(fù)后不能直接接入網(wǎng)絡(luò)seize是最后手段。如果你的主域控只是暫時(shí)宕機(jī)、硬盤還能修千萬別用 seize。一旦強(qiáng)奪原機(jī)上的目錄數(shù)據(jù)庫里還認(rèn)為自己是角色持有者修好之后直接開機(jī)接入網(wǎng)絡(luò)就會(huì)出現(xiàn)兩個(gè) RID 主機(jī)同時(shí)分配 RID 池的情況SID 沖突、復(fù)制沖突接踵而至清理起來比重裝還麻煩。真要強(qiáng)奪原機(jī)恢復(fù)后必須先做元數(shù)據(jù)清理metadata cleanup把它從林中徹底摘掉再考慮是否重新加入。命令行方式還有一個(gè)好處是可以寫成批處理留檔。我習(xí)慣把整個(gè) transfer 序列寫成一個(gè).bat文件存在運(yùn)維目錄里遷移時(shí)直接執(zhí)行事后作為變更記錄的一部分歸檔比截圖可靠。5. 避坑與排查五個(gè)把遷移搞翻車的現(xiàn)場5.1 搭建階段的兩個(gè)高頻錯(cuò)誤坑一輔助域控的 DNS 指向了外部解析器現(xiàn)象在 B 機(jī)上運(yùn)行dcpromo選「現(xiàn)有域的額外域控制器」填完憑據(jù)后卡住提示「無法聯(lián)系到域 corp.lab 的域控制器請確認(rèn)域名輸入正確」。原因B 機(jī)的首選 DNS 被設(shè)成了運(yùn)營商地址或者網(wǎng)關(guān)地址解析corp.lab時(shí)查不到 SRV 記錄。dcpromo 定位域控完全依賴 DNS不依賴廣播或者 hosts 文件。解決把 B 機(jī)首選 DNS 改回主域控 IPipconfig /flushdns清緩存再用nslookup -typesrv _ldap._tcp.dc._msdcs.corp.lab驗(yàn)證能解析出記錄然后重新跑 dcpromo。如果不想每次都手改可以在 B 機(jī) hosts 里加一條靜態(tài)記錄做兜底但那是權(quán)宜之計(jì)DNS 的正規(guī)配置不能省?？佣饔蚩匮b完不做 DNS 自檢SRV 記錄缺失現(xiàn)象主域控本身能登錄但任何客戶端加入域都報(bào)「找不到域」輔助域控也加不進(jìn)來。原因dcpromo 安裝過程中如果 DNS 服務(wù)安裝失敗、或者安裝后 Netlogon 服務(wù)沒有正常啟動(dòng)SRV 記錄就不會(huì)自動(dòng)注冊。很多人裝完看到「安裝成功」的提示就直接往下走跳過了驗(yàn)證。解決在 A 機(jī)上重啟 Netlogon 服務(wù)觸發(fā)重新注冊命令是net stop netlogon net start netlogon然后nslookup復(fù)查 SRV 記錄。如果還是沒有手工檢查 DNS 控制臺(tái)里corp.lab區(qū)域下的_msdcs、_sites、_tcp、_udp四個(gè)文件夾是否存在缺哪個(gè)就手工建或者把 DNS 區(qū)域刪掉重裝。這個(gè)坑我在實(shí)驗(yàn)環(huán)境里踩過一次重裝 DNS 花了半小時(shí)后來就養(yǎng)成了裝完必跑 SRV 查詢的習(xí)慣。5.2 遷移階段的三個(gè)致命操作坑三跳過備份直接 seize原機(jī)修好后又接回網(wǎng)絡(luò)現(xiàn)象主域控硬件故障情急之下在輔助域控上執(zhí)行了seize奪取全部角色。幾天后原機(jī)修好開機(jī)接入網(wǎng)絡(luò)域內(nèi)開始出現(xiàn)用戶登錄隨機(jī)失敗、新建賬號 SID 沖突、復(fù)制報(bào)錯(cuò) 8606對象已存在但屬性不同。原因seize 只是讓新機(jī)器接管角色原機(jī)的目錄數(shù)據(jù)庫里仍然記錄自己是角色持有者。兩臺(tái)機(jī)器同時(shí)對同一批對象做寫入復(fù)制引擎無法判斷誰是權(quán)威沖突就此產(chǎn)生。解決這個(gè)坑基本沒有優(yōu)雅的補(bǔ)救辦法標(biāo)準(zhǔn)流程是立即把原機(jī)斷網(wǎng)在正常域控上用ntdsutil的metadata cleanup清除原機(jī)的域控元數(shù)據(jù)把它的計(jì)算機(jī)賬號、復(fù)制連接、DNS 記錄全部摘干凈然后重裝系統(tǒng)再重新加入。從那以后我這邊有一條硬規(guī)定只要用了 seize原機(jī)在元數(shù)據(jù)清理完成之前網(wǎng)線不許插。坑四只轉(zhuǎn)移了角色忘了遷移全局編錄現(xiàn)象五個(gè) FSMO 角色都顯示在新域控上了netdom query fsmo輸出也正確但客戶端登錄變慢、Outlook 查全球地址簿失敗、跨域組查詢超時(shí)。原因全局編錄還留在原主域控上或者兩臺(tái)機(jī)器的 GC 勾選狀態(tài)搞反了——新機(jī)器沒勾上老機(jī)器先取消了。整個(gè)林里沒有可用的 GC所有依賴全局編錄的查詢都會(huì)退化成慢速查詢或者直接失敗。解決在「Active Directory 站點(diǎn)和服務(wù)」里按 4.4 節(jié)的順序重新操作先給新域控勾上 GC用repadmin /showrepl確認(rèn)復(fù)制完成再取消老域控的勾選。判斷 GC 是否真的生效可以用nltest /dsgetdc:corp.lab /gc指定查詢?nèi)志庝涊敵龅姆?wù)器應(yīng)該是新域控。坑五架構(gòu)主機(jī)轉(zhuǎn)移時(shí)沒先切換域控制器現(xiàn)象在 MMC 里添加了「Active Directory 架構(gòu)」管理單元右鍵點(diǎn)「操作主機(jī)」點(diǎn)「更改」按鈕是灰的或者點(diǎn)下去報(bào)「拒絕訪問」。原因MMC 控制臺(tái)默認(rèn)連接到當(dāng)前登錄域或者林根域的第一臺(tái)域控而架構(gòu)主機(jī)默認(rèn)就在那臺(tái)機(jī)器上。你在 B 機(jī)上點(diǎn)「更改」實(shí)際是在對 A 機(jī)自己操作等同于「把角色從 A 遷到 A」系統(tǒng)自然不會(huì)讓你點(diǎn)。解決先右鍵「Active Directory 架構(gòu)」節(jié)點(diǎn)選「更改域控制器」→「指定名稱」→ 輸入DCB.corp.lab確定之后再操作主機(jī)。這個(gè)順序原始資料里寫得很明確但實(shí)際操作時(shí)因?yàn)檫x項(xiàng)藏得深很容易漏掉。同樣的問題在「Active Directory 域和信任關(guān)系」里也有操作域命名主機(jī)之前必須先連接目標(biāo)域控。排查這類問題的通用思路是任何一個(gè)「操作主機(jī)」對話框點(diǎn)開之后第一眼先看對話框標(biāo)題或者描述里顯示的當(dāng)前域控名字是不是你以為的那臺(tái)。不是的話先斷開重連別急著點(diǎn)更改。這個(gè)習(xí)慣能省掉大量「改了沒反應(yīng)」的困惑。6. 遷移后的驗(yàn)證與善后三條命令把「以為成功」變成「確認(rèn)成功」角色轉(zhuǎn)移的對話框提示「操作成功」只代表這一次 RPC 調(diào)用完成了不代表整個(gè)域的狀態(tài)健康。我一般用三條命令做最終驗(yàn)收跑完截圖存檔作為變更單的附件。:: 1. 確認(rèn)五個(gè)角色的實(shí)際歸屬 netdom query fsmo :: 2. 對目標(biāo)域控做一輪完整診斷重點(diǎn)看復(fù)制和 DNS dcdiag /v /c /e /s:DCB.corp.lab :: 3. 用 CSV 格式導(dǎo)出復(fù)制拓?fù)浔阌陂L期歸檔對比 repadmin /showrepl /csv D:\backup\repl-after-move.csv第一條的輸出里RID、PDC、基礎(chǔ)結(jié)構(gòu)、域命名、架構(gòu)五行都應(yīng)該指向DCB.corp.lab。如果還有一行指向老機(jī)器說明那個(gè)角色沒轉(zhuǎn)成功回到第 4 章對應(yīng)小節(jié)重做。第二條的/v是詳細(xì)模式/c表示對所有測試項(xiàng)執(zhí)行包括一些默認(rèn)跳過的/e表示檢查林內(nèi)所有域控/s指定起點(diǎn)服務(wù)器。這條跑完輸出很長重點(diǎn)看末尾的「failed」匯總行和 5.1、5.2 里提到的那幾個(gè)關(guān)鍵測試項(xiàng)。warning 可以接受failed 必須清零。第三條導(dǎo)出的 CSV 會(huì)記錄每一對復(fù)制伙伴的名稱、上次成功時(shí)間、失敗次數(shù)、錯(cuò)誤碼。這份文件的價(jià)值在于時(shí)間維度上的對比——遷移當(dāng)天導(dǎo)一份一周后再導(dǎo)一份兩次對比如果失敗次數(shù)沒有增長、上次成功時(shí)間都在滾動(dòng)說明復(fù)制鏈路穩(wěn)定。出現(xiàn)新的錯(cuò)誤碼能第一時(shí)間發(fā)現(xiàn)不用等用戶報(bào)障。善后工作里最容易漏的是老域控的處置。角色和全局編錄都遷走之后老機(jī)器還留在 Domain Controllers 組織單位里仍然參與復(fù)制、仍然占著一個(gè)域控的席位。如果它的硬件確實(shí)要退役正確的收尾是用dcpromo執(zhí)行降級把它變成普通成員服務(wù)器或者直接退域讓域控元數(shù)據(jù)被自動(dòng)清理干凈。降級之前務(wù)必確認(rèn)新域控已經(jīng)承擔(dān)全部角色、GC 復(fù)制完成、并且至少有一份可用的系統(tǒng)狀態(tài)備份——降級本身也會(huì)觸發(fā)復(fù)制和數(shù)據(jù)庫變更出問題同樣需要恢復(fù)手段。降級命令也是dcpromo向?qū)?huì)提示「這個(gè)服務(wù)器是最后一個(gè)域控制器嗎」選否輸入有權(quán)限的憑據(jù)確認(rèn)后開始降級。如果選是它會(huì)把這個(gè)域連同里面的所有對象一起刪掉那一瞬間整個(gè)域就沒了所以這一頁要看得特別仔細(xì)。從那以后我每次做完角色遷移都會(huì)強(qiáng)制走一遍「三條命令 一次備份校驗(yàn) 老機(jī)器降級確認(rèn)」的收尾流程哪怕領(lǐng)導(dǎo)催著說趕緊下班也不省這一步。遷移這活兒最怕的就是「看起來成功了」等到用戶登錄不上再回頭查往往已經(jīng)是幾天后的事日志滾沒了現(xiàn)場也沒了。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取