2008年05月16日 星期五 13:25
在之前我們已經(jīng)了解了在AD(活動(dòng)目錄)中創(chuàng)建林,域樹(shù)和子域的方法,在一個(gè)域中,為了提高容錯(cuò)性和高可用性,我們建議大家在一個(gè)域中最好存在多臺(tái)DC,每個(gè)DC維護(hù)域中相同的活動(dòng)目錄數(shù)據(jù)庫(kù).而這些DC是對(duì)等的,那么就會(huì)產(chǎn)生一些問(wèn)題:為了保證活動(dòng)目錄數(shù)據(jù)庫(kù)的一致性就需要執(zhí)行復(fù)制操作,一般的復(fù)制是多主機(jī)復(fù)制(多個(gè)DC平等),但某些更改不適合使用多主機(jī)復(fù)制執(zhí)行,因此需要有稱為"操作主機(jī)"的DC接受此類更改的請(qǐng)求.
首先我們先來(lái)了解什么是"操作主機(jī)","操作主機(jī)"都包括什么?
在每個(gè)林中有5種操作主機(jī)角色(這些操作主機(jī)角色可以指派給一個(gè)或多個(gè)DC)
在林范圍內(nèi)包括以下兩種:
1)架構(gòu)主機(jī)
2)域命名主機(jī)
在每個(gè)林中這些角色都必須是唯一的!
在域范圍內(nèi)包括以下:
1)主域控制器仿真主機(jī)（PDC Emulator）
2)相對(duì) ID (RID) 主機(jī)
3)基礎(chǔ)結(jié)構(gòu)主機(jī)
以上三種在每個(gè)域中必須是唯一的!
1.架構(gòu)主機(jī)（Schema Master）
架構(gòu)主機(jī)控制對(duì)整個(gè)林的架構(gòu)的全部更新
在整個(gè)林中，只能有一個(gè)架構(gòu)主機(jī)
如何管理架構(gòu)主機(jī)(默認(rèn)沒(méi)有安裝管理架構(gòu)的工具):
1)注冊(cè)架構(gòu)管理工具regsvr32 schmmgmt.dll
2)使用mmc添加【Active Directory架構(gòu)】
3)查看架構(gòu)主機(jī)
2.域命名主機(jī)（Domain Naming Master）
控制林中域的添加或刪除，可以防止林中的域名重復(fù)
在整個(gè)林中只能有一個(gè)域命名主機(jī)
注意:任何運(yùn)行WIN2003的DC都可以擔(dān)當(dāng)域命名主機(jī)這一角色,如果運(yùn)行WIN2003的DC擔(dān)當(dāng)域命名主機(jī)角色,則必須啟用為全局編錄服務(wù)器
使用【Active Directory域和信任關(guān)系】查看域命名主機(jī)
3.PDC 仿真主機(jī)（PDC Emulator Master）
PDC 仿真主機(jī)作為混合模式域中的Windows NT PDC（主域控制器）
林中的每個(gè)域中只能有一個(gè)PDC 仿真主機(jī)
PDC 仿真主機(jī)的主要作用:
1)管理來(lái)自客戶端（Windows NT/95/98）的密碼更改
2)最小化密碼變化的復(fù)制等待時(shí)間
3)同步整個(gè)域內(nèi)所有域控制器上的時(shí)間
4)查看PDC 仿真主機(jī)
4.RID 主機(jī)（RID Master）
RID 主機(jī)將相對(duì) ID（RID）序列分配給域中每個(gè)域控制器
林中的每個(gè)域中只能有一個(gè)RID 主機(jī)
每次當(dāng)DC創(chuàng)建用戶、組或計(jì)算機(jī)對(duì)象時(shí)，它就給該對(duì)象指派一個(gè)唯一的安全I(xiàn)D（SID）。SID包含一個(gè)域SID（它與域中創(chuàng)建的所有SID相同）和一個(gè)RID（它對(duì)域中創(chuàng)建的每個(gè)SID是唯一的）。對(duì)象的SID=域SID+RID
使用【Active Directory用戶和計(jì)算機(jī)】查看RID主機(jī)
5.基礎(chǔ)結(jié)構(gòu)主機(jī)（Infrastructure Master）
負(fù)責(zé)更新從它所在的域中的對(duì)象到其他域中對(duì)象的引用
每個(gè)域中只能有一個(gè)基礎(chǔ)結(jié)構(gòu)主機(jī)
基礎(chǔ)結(jié)構(gòu)主機(jī)將其數(shù)據(jù)與全局編錄的數(shù)據(jù)進(jìn)行比較,全局編錄通過(guò)復(fù)制操作接受所有域中對(duì)象的定期更新,從而使全局編錄的數(shù)據(jù)始終保持更新.如果基礎(chǔ)結(jié)構(gòu)主機(jī)發(fā)現(xiàn)數(shù)據(jù)已過(guò)時(shí)時(shí),則它會(huì)從全局編錄請(qǐng)求更新的數(shù)據(jù),然后,基礎(chǔ)結(jié)構(gòu)主機(jī)再將這些更新的數(shù)據(jù)復(fù)制到域中的其他DC!
使用基礎(chǔ)結(jié)構(gòu)主機(jī)的要點(diǎn):
1)除非域中只有一個(gè)域控制器，否則不應(yīng)將基礎(chǔ)結(jié)構(gòu)主機(jī)角色指派給全局編錄所在的域控制器
2)如果域中的所有域控制器都存有全局編錄 ,則無(wú)論哪個(gè)域控制器承擔(dān)基礎(chǔ)結(jié)構(gòu)主機(jī)角色均不重要
3)負(fù)責(zé)在重命名或更改組成員時(shí)更新“組到用戶”的引用
操作主機(jī)角色總結(jié):
接下來(lái)我們來(lái)做轉(zhuǎn)移操作主機(jī)角色
案例:BENET公司組建了一個(gè)單域benet.com.cn,有兩臺(tái)DC，第一臺(tái)DC的硬件配置比較低,第二臺(tái)DC的硬件配置較高,目前的5個(gè)操作主機(jī)角色都在第一臺(tái)DC上，如何將之轉(zhuǎn)移到第二臺(tái)DC上?
1)轉(zhuǎn)移PDC主機(jī),RID主機(jī)和基礎(chǔ)結(jié)構(gòu)主機(jī)角色
a)打開(kāi)"AD用戶與計(jì)算機(jī)"工具,右擊"AD用戶與計(jì)算機(jī)"然后單擊"連接到域控制器",在"輸入另一個(gè)DC的名稱"窗口中,輸入要擔(dān)任PDC主機(jī)角色的DC的名稱(dc2.benet.com.cn)或單擊可用的DC列表中的該DC.在控制臺(tái)樹(shù)中,右擊"AD用戶與計(jì)算機(jī)",指向"所有任務(wù)",然后單擊"操作主機(jī)"---"PDC"命令,顯示當(dāng)前的操作主機(jī)是"dc1.benet.com.cn":
b)選擇"更改":
c)查看操作主機(jī)已經(jīng)被轉(zhuǎn)移成功,轉(zhuǎn)移操作是可逆的!
2)轉(zhuǎn)移架構(gòu)主機(jī)角色
a)使用"AD架構(gòu)"工具"來(lái)更改域控制器:
b)指定名稱:
c)更改架構(gòu)主機(jī):
轉(zhuǎn)移架構(gòu)主機(jī)注意:
執(zhí)行此過(guò)程的帳戶必須是AD中Schema admins組的成員,后者必須被委派了相應(yīng)的權(quán)限
要想在控制臺(tái)中添加AD架構(gòu)管理單元,需要執(zhí)行"regsvr32 schmmmgmt.dll"命令注冊(cè)該管理單元
3)轉(zhuǎn)移域命名主機(jī)角色
a)打開(kāi)"AD域和信任關(guān)系"工具,選擇"連接到DC",在"輸入另一個(gè)DC的名稱"窗口中輸入要擔(dān)任域命名主機(jī)角色的DC的名稱.
b)在控制臺(tái)中,右擊"AD域和信任關(guān)系",然后單擊"操作主機(jī)",顯示域命名主機(jī)是"dc1.benet.com.cn"
c)選擇更改:
轉(zhuǎn)移域命名主機(jī)角色要注意:
執(zhí)行此過(guò)程的帳戶必須是AD中的domain admins組或 enterprise admins組的成員,后被委派權(quán)限
若要將角色轉(zhuǎn)移到另一個(gè)DC,可能首先需要將"AD域和信任關(guān)系"的焦點(diǎn)改為目標(biāo)DC,要執(zhí)行此操作,右擊"AD域和信任關(guān)系",在單擊"連接到域控制器",然后單擊目標(biāo)DC即可!
當(dāng)然還可以使用命令行方式轉(zhuǎn)移主機(jī)角色
以下顯示轉(zhuǎn)移RID主機(jī)的操作:
如果要轉(zhuǎn)移其他角色,可以在fsmo maintenance命令提示符下,輸入"help"命令:
命 令
意 義
Transfer PDC轉(zhuǎn)移PDC仿真主機(jī)
Transfer PID master轉(zhuǎn)移RID主機(jī)
Transfer infrastructure master轉(zhuǎn)移基礎(chǔ)結(jié)構(gòu)主機(jī)
Transfer domain naming master轉(zhuǎn)移域命名主機(jī)
Transfer schema master轉(zhuǎn)移架構(gòu)主機(jī)
轉(zhuǎn)移操作主機(jī)角色的總結(jié):
在轉(zhuǎn)移主機(jī)角色過(guò)程中，相關(guān)DC始終聯(lián)機(jī)，因此沒(méi)有數(shù)據(jù)損失
在轉(zhuǎn)移主機(jī)角色過(guò)程中要注意執(zhí)行者是否有權(quán)限
可以使用Windows圖形界面和命令行方式實(shí)現(xiàn)
轉(zhuǎn)移操作主機(jī)的過(guò)程是可逆的
剛才我們?cè)谧鲛D(zhuǎn)移主機(jī)的時(shí)候,原來(lái)的DC還存在,屬于聯(lián)機(jī)狀態(tài)下做的轉(zhuǎn)移,那么如果操作主機(jī)角色所在的域控制器出了故障，并且無(wú)法恢復(fù)，如何解決?這時(shí)就不能通過(guò)轉(zhuǎn)移的方法產(chǎn)生出新的操作主機(jī)角色,那么要通過(guò)占用操作主機(jī)的方法(或叫強(qiáng)制傳送).
案例:BENET公司組建了一個(gè)單域,域名為benet.com.cn,有兩臺(tái)DC,目前的5個(gè)操作主機(jī)角色都在第一臺(tái)DC上,某一天第一臺(tái)DC出了故障,并且無(wú)法恢復(fù),如何使第二臺(tái)DC充當(dāng)5個(gè)操作主機(jī)角色呢?
為了模擬第一臺(tái)DC出故障,可以禁用第一臺(tái)DC的網(wǎng)卡,使該計(jì)算機(jī)不能聯(lián)網(wǎng),這時(shí)第二臺(tái)DC就聯(lián)系不到操作主機(jī),顯示操作主機(jī)錯(cuò)誤,如下圖,角色不能被傳送.
1）在“命令提示符”中鍵入“ntdsutil”命令
2）在ntdsutil命令提示符下鍵入“roles”命令
3）在fsmo maintenance命令提示符下,鍵入“connection” 命令
4）在
server connections命令提示符下,鍵入 "connect to
server dc2.benet.com.cn"(由于第一臺(tái)DC脫機(jī),需要使用第二臺(tái)DC進(jìn)行域名解析)命令
5）在server connections命令提示符下,鍵入“quit”（返回上一級(jí)命令提示符）
6）在fsmo maintenance命令提示符下,鍵入“seize RID master” ,按提示確認(rèn)是否占用RID Master角色,單擊"是"按鈕,完成操作后,操作主機(jī)恢復(fù)為第二臺(tái)DC:
最后查看操作主機(jī):
如果要占用其他角色,可以在fsmo maintenance命令提示符下,鍵入"help"命令,使用以下命令來(lái)完成:
命 令
意 義
Seize PDC占用PDC仿真主機(jī)
Seize PID master占用RID主機(jī)
Seize infrastructure master占用基礎(chǔ)結(jié)構(gòu)主機(jī)
Seize domain naming master占用域命名主機(jī)
Seize schema master占用架構(gòu)主機(jī)
