安装步骤：
1 安装前，额外域控制器的DNS指向主域控
2 安装DNS服务但不设置
3 安装额外域控,如果主域控中dns和AD集成，额外域控制器会在安装ad后自动同步dns 记录.
4 安装后修改额外域控制器的DNS指向本机(可选)。
一、额外域控制器安装及相关设置
在做额外域控的机器上运行DCPROMO，安装额外域控制器。
安装完毕后，重启。
1、在dcserver主域控器DNS管理界面里
1）选中正向区域的“_https://www.doczj.com/doc/6d7836055.html,“，点右键属性，确认区域类型: “Active Director 集成区域”；更改区域复制范围为“至Active Directory域中的所有域控制器”确认动态更新为“安全”
2）再“名称服务器”标签中，将额外域控制器全域名及IP添加进来
3）在“区域复制”标签中，将“允许区域复制”打勾，并点选“只有在“名称服务器”选项卡中列出的服务器”这项。
4）依次在“https://www.doczj.com/doc/6d7836055.html,”和反向查找区域“192.168.1.x. subnet”做以上各步履，在主域DNS服务器设置完成。
2、在额外域控制器上安装DNS服务（升级额外域控时未配置DNS服务）安装完毕，打开DNS管理器界面（相关设定应该自动复制完毕），再将各区域设置为“允许区域复制”。
3、将主域控及额外域控主DNS设为本机IP，备用DNS地址互指。
4、将额外域控制器dcbak本身设为“全局编录”
打开“Active Directory站点和服务”，点选DCBAK ->NTDS右击属性，将“全局编录”打勾，点确定退出。
5、客户端还需要将主备dns地址填上主域控及额外域控的地址（可通过组策略中登陆脚本实现客户端DNS地址添加）
至此，主域控与额外域控可负载均衡（应该是这么叫吧），若一个域控损坏，客户端登陆不受影响。
二、主域控制器FSMO角色的迁移
目的：若当前主域控制器在线，且因性能不佳或需更换硬件，为了不影响exchange server 正常使用，需要将主域控制器FSMO迁移至额外域控制器.
1、Active Directory 定义了5 种FSMO 角色：架构主机、域主机、RID 主机、PDC 模拟器和结构主机。架构主机和域命名主机是每个目录林都具有的角色。其余三种角色（RID 主机、PDC 模拟器和结构主机）是每个域都具有的角色。
查询FSMO角色所属域控制器方法：
a. 安装netdom工具，在windows 2003安装盘-〉support目录->tools目录下，安装完毕重启机器。
b.在命令行中输入netdom query fsmo，查询当前5种fsmo所属域控制器：
chema owner https://www.doczj.com/doc/6d7836055.html,
Domain role owner https://www.doczj.com/doc/6d7836055.html,
PDC role https://www.doczj.com/doc/6d7836055.html,
RID pool manager https://www.doczj.com/doc/6d7836055.html,
Infrastructure owner https://www.doczj.com/doc/6d7836055.html,
2、RID（RID pool manager ）、PDC（PDC role）和结构主机（Infrastructure owner）的角色转移
在额外域控制器DCbak上：
a.单击开始，指向程序，指向管理工具，然后单击“Active Directory 用户和计算机”。
b.右键单击域名"https://www.doczj.com/doc/6d7836055.html,"，然后单击操作主机。
c.在更改操作主机对话框中，单击要转移的角色对应的选项卡（RID、PDC 或结构）。
d.单击更改操作主机对话框中的更改。
e.单击确定以确认您想转移的角色。
f.单击确定。
3、转移域命名主机角色（Domain role owner）
在额外域控制器DCbak上：
a.单击开始，指向程序，指向管理工具，然后单击“Active Directory 域和信任关系”。
b.右键单击“Active Directory 域和信任关系”，然后单击操作主机。
c.在更改操作主机对话框中，单击更改。
d.单击确定以确认您想转移的角色。
e.单击确定。
4. 转移架构主机角色（chema owner）
在额外域控制器DCbak上：
a.单击开始，然后单击运行。
b.键入regsvr32 schmmgmt.dll，然后单击确定。应显示出一条指出注册成功的消息。
c.单击开始，单击运行，键入mmc，然后单击确定。
d.在控制台菜单上，单击“添加/删除管理单元”。
e.单击添加。
f.单击Active Directory 架构。
g.单击添加。
h.单击关闭以关闭添加独立管理单元对话框。
i.单击确定以将此管理单元添加到控制台。
j.单击更改域控制器，键入额外域控制器的名称dcbak，然后单击确定。
k.右键单击Active Directory 架构，然后单击操作主机。
l.在更改架构主机对话框中，单击更改。
m.单击确定。
n.单击确定。
o.单击取消关闭对话框。
5、验证当前FSMO角色所属是否为额外域控制器
在命令行里，输入netdom query fsmo
chema owner https://www.doczj.com/doc/6d7836055.html,
Domain role owner https://www.doczj.com/doc/6d7836055.html,
PDC role https://www.doczj.com/doc/6d7836055.html,
RID pool manager https://www.doczj.com/doc/6d7836055.html,
Infrastructure owner https://www.doczj.com/doc/6d7836055.html,
至此5种FSMO角色转移成功，关闭主域控制器，exhcange运行正常。
WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环
境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
实训二配置额外域控制器 一、知识点： 额外域控制器：如果域中只有一台域控制器，一旦出现物理故障，我们时可以备份还原AD。部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory数据库。 只读域控制器：RODC只能单向的从其他可读写域控制器请求信息，而不会把任何修改传送给其他可写域控制器，这样做不仅可以降低主域服务器的工作负载及监控负载的工作量，还可以提高分支机构网络的安全性，同时便于管理。 二、动手实验： 实验目的： 利用windows server 2008搭建辅助域环境，了解辅助域控制器的作用，不仅学会安装辅助域控制器，而且还应学会如何配置辅助域，并实现辅助域在域环境中的作用。 实验内容： 1、配置域环境中额外域控制器 2、配置域环境中的只读域控制器（RODC） 3、测试辅助控制器是否搭建成功 实验要求： 1、完成实训内容，并做成实验报告。 实验步骤： 第一步配置域环境中额外域控制器 （1）部署环境 设置网络环境
（2）与主域的IP地址要互Ping的通 （3）根据拓扑图要求，将额外控制器的名称改为“BDC1”
输入域https://www.doczj.com/doc/6d7836055.html, 点击确定 （4）安装额外域控制器 开始------运行---输入dcpromo
输入dcpromo 点击确定 之后会弹出如下向导对话框，点击下一步 在弹出“部署配置”对话框勾选“现有林---向现有于添加域控制器”
下一步，输入主域名“https://www.doczj.com/doc/6d7836055.html,” 点击“设置”
输入“用户名和密码”点击“确定” 点击“下一步”选择域“https://www.doczj.com/doc/6d7836055.html,”
win2003额外域控制器升级为主域控制器 2010-03-19 23:46:46 标签：控制器 win2003额外域控制器升级为主域控制器 公司https://www.doczj.com/doc/6d7836055.html,（虚拟）有一台主域控制器https://www.doczj.com/doc/6d7836055.html,，还有一台额外域控制器https://www.doczj.com/doc/6d7836055.html,。现主域控制器（https://www.doczj.com/doc/6d7836055.html,）由于硬件故障突然损坏，事先又没有https://www.doczj.com/doc/6d7836055.html,的系统状态备份，没办法通过备份修复主域控制器（https://www.doczj.com/doc/6d7836055.html,），我们怎么让额外域控制器（https://www.doczj.com/doc/6d7836055.html,）替代主域控制器，使Activate Directory 继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。 如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC。 --------------------------------------------------------------- 一、从AD中清除主域控制器https://www.doczj.com/doc/6d7836055.html,对象 3.1在额外域控制器(https://www.doczj.com/doc/6d7836055.html,)上通过ntdsutil.exe工具把主域控制器 (https://www.doczj.com/doc/6d7836055.html,)从ＡＤ中删除； c:>ntdsutil ntdsutil: metadata cleanup metadata cleanup: select operation target select operation target: connections server connections: connect to Domain https://www.doczj.com/doc/6d7836055.html, server connections: quit select operation target: list sites Found 1 site(s) 0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com select operation target: select site 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com No current domain No current server No current Naming Context select operation target: List domains in site Found 1 domain(s) 0 - DC=test,DC=com Found 1 domain(s) 0 - DC=test,DC=com select operation target: select domain 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com Domain - DC=test,DC=com No current server No current Naming Context select operation target: List servers for domain in site Found 2 server(s)
子域控制器的安装与配置 实验名称：子域控制器的安装与配置成绩： 实验日期：年月日实验报告日期：年月日 一、实验目的 1．掌握子域控制器的安装与配置。 2．掌握子域控制器、额外域控制器与域控制器之间的关系。 二、实验环境 1、一台完成了第一台服务器的典型配置的服务器 2、一台没有任何服务器角色的Windows server 2003服务器 3、用交叉线连起来，没有任何服务器角色的Windows server 2003服务器与完成了第一台服务器的典型配置的服务器IP地址在同一个网段内，且没有任何服务器角色的Windows server 2003服务器的首选DNS服务器设置为完成了第一台服务器的典型配置服务器的IP地址 三、实验内容 1、子域控制器的安装与配置 四、实验步骤、过程 1、执行“开始”→“管理工具”→“配置您的服务器向导”，弹出“配置您的服务器向导”对话框。
2、单击“下一步”按钮，打开“预备步骤”对话框，按照列表一一确认预备步骤是否已经准备好； 3、单击“下一步”按钮，打开“服务器角色”对话框，表中列出的是当前计算机的服务器角色，可以为服务器添加或删除角色。选择“域控制器 (Active Directory)”，单击“下一步”；
4、出现“选择总结”对话框，单击“下一步”； 5、打开“Active Directory 安装向导”；
6、单击“下一步”按钮，出现“操作系统兼容性”对话框，显示不能与Windows server 2003系统Active Directory域控制器进行联网的Windows操作系统。 7、单击“下一步”按钮，打开“域控制器类型”对话框。在这里选择“新域的域控制器”；
额外域控制升级为主域控制器（一） 额外域控制升级为主域控制器（一） 一、实验环境： 域名为test. 1、原主域控制器 System: windows 20003 Server FQDN: PDC.test. IP：192.168.50.1 Mask:255.255.255.0 DNS:192.168.50.1 2、辅助域控制器 System: windows 2003 Server FQDN：BDC.test. IP： 192.168.50.2 Mask: 255.255.255.0 DNS:192.168.50.1 3、Exchange 2003 Server FQDN:mail.test. IP:192.168.50.3 Mask:255.255.255.0 DNS:192.168.50.1 也许有人会问，做辅域升级要装个Exchange干什么？ 其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。如果升级成功，对Exchange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。 二、实验目的： 在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。 三、实验步骤 1、安装域控制器。第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装 DNS组件。在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。
部署Windows Server 2008 R2域控制器 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP 属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
AD 域DNS 分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS 集成安装，而且集成安装的方法好处有：使DNS 也得到AD 的安全保护，DNS 的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS 服务器，并且即将安装的DC 控制器负载预计会很重，如果觉得DC 本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS 服务器（DNS-srv ）+主域控制器（AD-zhu ）+额外域控制器（AD-fu 点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu 、AD-fu 、DNS-srv 为静态地址） huanjing.png 对于DC 和DNS 分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS 。先安装DC 在安装DNS 的话，需要注意的就是DC 安装完后在安装DNS 需要重启DC 以使DNS 得到DC 向DNS 注册的SRV 记录，Cname 记录，NS 记录。那么我们就以先安装DNS 为例,对于实现这个环境需要三个大步骤： 1.DNS 服务器的安装； 2.DC 主控制器的安装； 3.DC 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC 和DNS 的关系，安装前请先参阅：(v=ws.10) 安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active https://www.doczj.com/doc/6d7836055.html, AD-zhu DC 192.168.23.20 Client-0 客户端 192.168.23.40 DNS-srv DNS 192.168.23.10 AD-fu 额外DC 192.168.23.30
安装部署域控制器 本软件系统的主要技术实现手段是通过网络把远端服务器上的映像文件完全仿真成本地磁盘。在这个仿真的“本地磁盘”上同样可以引导和启动操作系统以及运行其他软件，并保持原貌不做任何的更改。虚拟硬盘的加载与真实硬盘处于同一层面，因而不存在任何兼容性问题。若客户端系统使用的是微软支持域功能的桌面操作系统，则同样可以完成加域操作，并和有盘系统一样接受活动目录（ActiveDirectory）的管理以及进行其他相关应用。 1.ActiveDirectory相关 a)什么是活动目录（ActiveDirectory）？ 活动目录是一种目录服务，目录服务包括三方面的功能：组织网络中的资源，提供对资源的管理，对资源的访问控制。活动目录服务通过将网络中各种资源的信息保存到一个数据库中来为网络中的用户和管理员提供对这些资源的访问，管理和控制，这个数据库叫做活动目录数据库。 b)关于目录与目录服务 要想理解什么是活动目录（ActiveDirectory），必须先理解什么是目录（Directory）和目录服务（DirectoryService）。在计算机中使用的“目录”和现实生活中使用的“目录”很相似，都是存储以某种方式相关联的信息集。如通讯录存储用户名称和相应的电话号码，还可能包括关于该用户的的地址或其他信息。 目录服务就是用户通过其提供的服务来使用目录中的信息。用于识别网络中的各种资源，使用户和应用程序能够访问这些资源，并将这些资源集中存储，使用和管理这些资源的全部信息，因而简化了查找和管理这些资源的过程。 c)如何实现活动目录服务？ 域是活动目录的一种实现形式，也是活动目录最核心的管理单位和复制单位。一个域由域控制器和成员计算机及用户组成。域控制器（DomainControler）就是安装了活动目录服务的一台计算机，简称DC。在域控制器上，每一个成员计算机都有一个计算机账号，每一个域用户都有一个域用户账号。域管理员可以在域控制器上实现对域用户账号和计算机账号及其他资源的管理。 域还是一种复制单位，我们在域中可以安装多台域控制器，域管理员可以在任何一台域控制器上创建和修改活动目录对象。域控制器之间可以自动的同步，或者复制这样一种更新。 2.创建活动目录服务——部署域控制器 域控制器，DomainController，是实现ActiveDirectory的载体和控制单位。要良好的进行活动目录服务，域控的安装部署以及管理至关重要。 部署网络中的第一台域控制器 实验环境
将额外控制器升级为主域控制器 前两天打雷，一台额外域控制器（windows 2003 DC服务器）主板击坏，无法维修，还好，主域控服务器(Windows 2003 )没有什么事，现购买一台新机作为服务器，打算把新机升级为主域控制器，原来的主域降级为额外域控制器； 一、新服务器安装好Windows 2003企业版操作系统及更新补丁，具体大家都会做，不用多说了； 二、在控制面板--添加删除程序--点击添加删除组件，出现新窗口，点击网络服务，选择如下服务（WINS,DHCP,DNS,简单TCP/IP服 务）； 点击确定，放入windows2003光盘到光驱；
三、将Windows 2003升级为额外域控制器，使用Dcpromo命令，出现升级向导，如下图： 点击下一步，选择现在域的额外域控制器；接下来输入域控制器的管理员帐号和密码及域名（例：https://www.doczj.com/doc/6d7836055.html,）； 输入完成后点击下一步，直到完成（中间步骤省略），重启服务器；这样就安装成功额外域控制器； 四、接下来，在管理工具中，点击Active Directory 站点和服务，自动创建了连接，出现如下窗口，如图：
在主域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接； 在额外域控打开Active Directory 站点和服务，立即复制副本，（如上图）正常会提示Active Directory 已复制了连接； 最好查看一下日志看有没有错误；同时检查一下DNS看有没有同步； 五、将额外域升级为主域控制器； 1、将DC-SRV主域的FSMO，五种角色转移到BDC-SRV上，别忘了在Active Directory 站点和服务将BDC-SRV也标识成GC。
主域控制器系统安装及配置 一、W2K Server安装（请参考《Windwos 2000 Advanced Server安装手册》） 注意事项： 1、将W2K Ad Server安装盘放入光驱，安装光盘自动检测运行。 2、创建C盘，空间建议在10G左右，用NTFS格式（如果已装过系统，建议重新分区） 3、每服务器同时连接数字，建议输入999，（或者根据网络站点情况输入相应站点） 4、输入规划的计算机名：DBSERVER 5、在选择安装程序组件中，去掉IIS 6、正常安装系统 7、系统安装完毕后，启动进入系统，放入服务器导航盘安装驱动，把有问号的设备全部重 新安装驱动程序，详见下图
8、进入W2K Server 界面，装SP4，装完重启 9、配置IP地址，第一个域控不用设DNS，默认为127.0.0.1，以后配置的域控DNS指向第 一个域控 二、服务器配置 在服务器配置选项中，选择“网络中已有一个或多个服务器在运行”，见下图
三、Active Directory和 DNS安装 确定操作系统安装完全、网卡驱动安装正确、IP设置正确、网络已有连接后，才可以开始Active Directory和 DNS安装 在服务器配置中，点击Active Directory，选择启动，见下图 DBSERVER作为全网第一个域控，因此采用如下方法进行配置：
1、选择新的域控制器 2、创建一个新的域目录树 3、创建一个新的域目录林
4、输入新域的DNS全名，如 https://www.doczj.com/doc/6d7836055.html, 5、输入新域的NetBIOS名，如 sztv 6、数据库与日志位置，选择默认 7、sysvol文件夹位置，选择默认
图解WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC 时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络
环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
域控制服务器教程 把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统， 我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server IP:192.168.5.1 子网掩码:255.255.255.0 DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器) 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面: 向下搬运右边的滚动条，找到“网络服务”，选中:
默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装: 然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
【WIN08R2 Active Directory】之一部署企业中第一台Windows Server 2008 R2域控制器 【WIN08R2 Active Directory】之一部署企业中第一台Windows Server 2008 R2域控制器 作者：刘力科日期：2010-05-27 前言 对于活动目录（AD）来讲，从Windows 2000到现在有非常多的文章在对其进行探讨，微软公司每推出一代新的Windows系统，这一重要服务技术不管是从功能上还是从性能上都在不断进步。在此，以最新Windows Server 2008 R2（以后简称WIN08R2）系统为例，从零开始讲述关于WIN08R2活动目录相关技术。希望能一直坚持写完！ ——胖哥 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP 地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
AD域DNS分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS集成安装，而且集成安装的方法好处有：使DNS也得到AD的安全保护，DNS的区域复制也更安全，并且集成DNS只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS服务器，并且即将安装的DC控制器负载预计会很重，如果觉得DC本身的负担太重，可把DNS另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS服务器（DNS-srv）+主域控制器（AD-zhu）+额外域控制器（AD-fu点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu、AD-fu、DNS-srv为静态地址） 对于DC和DNS分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS。先安装DC在安装DNS的话，需要注意的就是DC安装完后在安装DNS需要重启DC以使DNS 得到DC向DNS注册的SRV记录，Cname记录，NS记录。那么我们就以先安装DNS为例,对于
实现这个环境需要三个大步骤： 服务器的安装； 主控制器的安装； 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC和DNS的关系，安装前请先参阅：安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active Directory 将 DNS 作为域控制器的位置机制，使网络上的计算机可以获取域控制器的 IP 地址。 在 Active Directory 安装期间，在 DNS 中动态注册服务 (SRV) 和地址 (A) 资源记录，这些记录是域控制器定位程序 (Locator) 机制功能成功实现所必需的。 要在域或林中查找域控制器，客户端将在 DNS 中查询域控制器的 SRV 和 A DNS 资源记录，这些资源记录为客户端提供域控制器的名称和 IP 地址。在这种环境中，SRV 和 A 资源记录被称为定位程序 DNS 资源记录。(这里说明需要DNS支持) 向林中添加域控制器时，将使用定位程序 DNS 资源记录更新 DNS 服务器上主持的 DNS 区域，同时标识域控制器。为此，DNS 区域必须允许动态更新 (RFC 2136)，同时，主持该区域的 DNS 服务器必须支持 SRV 资源记录 (RFC 2782) 才能公布 Active Directory 目录服务。（这在安装DNS过程中是需要注意的一点） 如果主持权威 DNS 区域的 DNS 服务器不是运行 Windows 2000 或 Windows Server 2003 的服务器，请与您的 DNS 管理员联系，确定该 DNS 服务器是否支持所需的标准。如果服务器不支持所需标准，或者权威 DNS 区域不能被配置为允许动态更新，则需要对现有DNS 结构进行修改。（这个也是很重要的一点这里需要更改“起始授权机构SOA”和“名称服务器”用以支持DNS区域被配置成“允许动态更新”，这在接下来会提到） 要点 用来支持 Active Directory 的 DNS 服务器必须支持 SRV 资源记录，定位器机制才能
两台win2k server,配置如下 1：计算机名：server1 IP: 192.168.0.1 2: 计算机名：server2 IP: 192.168.0.2 －－－－－－－－ －－－－－－－－－－－－－－－－情况一：单域，单域控制器－－－－－－－－－－－－－－ 目标： 将server1做成域控制器，域名为https://www.doczj.com/doc/6d7836055.html,，server2作为member server AD需要DNS的支持，DNS可以在安装AD的前中后装，建议在AD安装之前装，并手动配置 (1A) 安装DNS(server1上) 1:安装DNS服务。（如果是给forestroot做DNS，建议先将机器上原来的DNS卸干净，包括system32下DNS目录也删掉。再安装服务） 2：创建forward lookup zone,为https://www.doczj.com/doc/6d7836055.html,。reverse lookup zone填网络号192.168.0 3：设置两个zone允许dynamic update 4：在本地连接中将DNS地址指向192.168.0.1 5:设置primary dns suffix为https://www.doczj.com/doc/6d7836055.html, 6：按照提示，restart，建议一定重起。 7: 重起后发现https://www.doczj.com/doc/6d7836055.html,中有server1的A记录，说明一切正常。反向zone中有ptr记录 (需要注意的是，域名第一片和计算机名不要一样，如果在计算机abc上不要做https://www.doczj.com/doc/6d7836055.html,，否则默认情况下domain的netbios名和计算机的netbios名会一样) (1B) 按照正常情况Dcpromo，选择安装成新域的域控制器，新树，新森林。
安装过程中应不会提示任何诸如“DNS找不到”的信息，这就正常了。 装完AD后看看DNS的的https://www.doczj.com/doc/6d7836055.html,内是否有放置SRV记录的四个目录，目录名为TCP,UDP,MSDCS,Sites。如果一个也没有，重新启动Net logon服务，如果还是没有，那装得有问题。一般应该都是正常的。 同时查看事件查看器中是否有任何关于directory service的错误日志。 (1C) 将server2设置成member server 在server2上将dns指向server1，修改primary dns suffix为https://www.doczj.com/doc/6d7836055.html,，重起，然后将server2加入domian，在server1上打开ad user andcomputer，其中computer容器内可以看到server2的计算机帐号。DNS中也会有server2的A记录。查看事件查看器，确保无任何不良记录。 －－－－－－－－－－－－－－－－情况2，单域，两个域控制器－－－－－－－－－ 目标：server1作为第一台域控制器，server2作为第二台域控制器，域名https://www.doczj.com/doc/6d7836055.html, server1的安装同1a，1b。 对于server2。 （2a） 1：安装前，此机器属于domain或者工作组没有关系。 2：将dns指向server1（192.168.0.1） 3:修改primary suffix为https://www.doczj.com/doc/6d7836055.html, （suffix是可以自动改，但是手动改总是放心些） 4：重起机器，建议一定重起。 5：检查server1上的dns，在https://www.doczj.com/doc/6d7836055.html,这个zone内会发现server2的a记录。如果没有，那配置有问题，可以用ipconfig/registerdns手动注册，再看有没有，如果还是没有，那就有问题了（dns没有按照1a设置好）。 （2b） 1：dcpromo，启动向导 2：选择，安装成一个已经存在的域的另外一台域控制器 3：按照提示，输入身份，这个身份是enterprise admins的身份，也就是现在https://www.doczj.com/doc/6d7836055.html,的administrator以及其密码 4：选择要加入的domain，这里是https://www.doczj.com/doc/6d7836055.html, 5：完成其他选项
安装步骤： 1 安装前，额外域控制器的DNS指向主域控 2 安装DNS服务但不设置 3 安装额外域控,如果主域控中dns和AD集成，额外域控制器会在安装ad后自动同步dns 记录. 4 安装后修改额外域控制器的DNS指向本机(可选)。 一、额外域控制器安装及相关设置 在做额外域控的机器上运行DCPROMO，安装额外域控制器。 安装完毕后，重启。 1、在dcserver主域控器DNS管理界面里 1）选中正向区域的“_https://www.doczj.com/doc/6d7836055.html,“，点右键属性，确认区域类型: “Active Director 集成区域”；更改区域复制范围为“至Active Directory域中的所有域控制器”确认动态更新为“安全” 2）再“名称服务器”标签中，将额外域控制器全域名及IP添加进来 3）在“区域复制”标签中，将“允许区域复制”打勾，并点选“只有在“名称服务器”选项卡中列出的服务器”这项。 4）依次在“https://www.doczj.com/doc/6d7836055.html,”和反向查找区域“192.168.1.x. subnet”做以上各步履，在主域DNS服务器设置完成。 2、在额外域控制器上安装DNS服务（升级额外域控时未配置DNS服务）安装完毕，打开DNS管理器界面（相关设定应该自动复制完毕），再将各区域设置为“允许区域复制”。 3、将主域控及额外域控主DNS设为本机IP，备用DNS地址互指。 4、将额外域控制器dcbak本身设为“全局编录” 打开“Active Directory站点和服务”，点选DCBAK ->NTDS右击属性，将“全局编录”打勾，点确定退出。 5、客户端还需要将主备dns地址填上主域控及额外域控的地址（可通过组策略中登陆脚本实现客户端DNS地址添加） 至此，主域控与额外域控可负载均衡（应该是这么叫吧），若一个域控损坏，客户端登陆不受影响。 二、主域控制器FSMO角色的迁移 目的：若当前主域控制器在线，且因性能不佳或需更换硬件，为了不影响exchange server 正常使用，需要将主域控制器FSMO迁移至额外域控制器. 1、Active Directory 定义了5 种FSMO 角色：架构主机、域主机、RID 主机、PDC 模拟器和结构主机。架构主机和域命名主机是每个目录林都具有的角色。其余三种角色（RID 主机、PDC 模拟器和结构主机）是每个域都具有的角色。 查询FSMO角色所属域控制器方法： a. 安装netdom工具，在windows 2003安装盘-〉support目录->tools目录下，安装完毕重启机器。 b.在命令行中输入netdom query fsmo，查询当前5种fsmo所属域控制器： chema owner https://www.doczj.com/doc/6d7836055.html, Domain role owner https://www.doczj.com/doc/6d7836055.html, PDC role https://www.doczj.com/doc/6d7836055.html, RID pool manager https://www.doczj.com/doc/6d7836055.html, Infrastructure owner https://www.doczj.com/doc/6d7836055.html,
域控制服务器2003服务器架设和加入域图解教程 一、（域控制服务器）2003服务器架设 1.首先安装2003企业版原版，真正的微软2003企业版（（（原版））！我给出2003企业版原版的下载地址： cd1迅雷下载地址： thunder://QUFodHRwOi8vZG93bi54bHlsdy5jb20vRG93bmxvYWQuYXNwP0lEPTIyNiZ zSUQ9MFpa (我不喜欢回复才可以下载愿意冒个泡的就回复下） Disc 1光盘镜像文件名： cn_win_srv_2003_r2_enterprise_with_sp2_vl_cd1_x13-46432.iso 文件大小：608 MB (637,917,184 字节) 发布日期 (UTC)：4/27/2007 11:06:15 PM 上次更新日期 (UTC)：3/28/2008 2:37:04 AM SHA1：D0DD2782E9387328EBFA45D8804B6850ACABF520 MD5：1017479075166BA7DD762392F8274FE3 至于安装过程我就不详细解释了自己百度百度是我们最好的老师、。。。 这里服务器域管理 IP 192.168.0.254 子网掩码255.255.0.0 DNS首选服务器192.168.0.254因为是域控制是首选DNS指向服务器客服端也是一样！ 还有一点我们在域控制上新建一个用户（admin) 然后加入域管理员组里把所有电脑远程控制设置成被连接不准主动连接这样一个公司就你一个人可以用3389端口用你的域管理员账号很爽的你试试就知道了 2.架设2003域控制器 （1）开始-管理工具-管理我的服务器-添加或删除角色-先安装DNS服务器-再先安装DNS服务器
额外域控制升级为主域控制器（三） 前面写的是在PDC还生效的情况下进行BDC升PDC步骤,我们也许会问,PDC还是正常的情况我们为什么提升BDC为PDC 呢.说对了,在PDC还正常的情况下我们是没有必要提升BDC为PDC,而如果PDC出现了问题时呢,比如说PDC的硬件出问题了或都说系统坏了的情况下我们就要提升BDC为PDC了,下面我在为大家说说在PDC出现硬件故障机器开不起来了的情况BDC提升为PDC的步骤: 一、这时我们的PDC已经出现了问题并开不起来了。这时我们来到BDC上，打开AD用户和计算机，在你的域名处点右键――>操作主机打开如图：此时在操作主机项显示的是错误而不是我们的真正的操作主机PDC，所以我们要把BDC更改为操作主机。各位可能就会看到下面不是有个更改按钮吗，直接点更改按钮不就转移过去了吗？其实这我也想到了，但是你在这里点更改会报错的，点了以后过了半天弹出个框框说“请求的 FSMO 操作失败。不能连接当前的 FSMO 盒”，所以我们又要回到命令行模式下进行强制夺取了。 二、在上面的操作中我们已经安装了windows 2003 的support tools了，所以我现在在找开support tools，在命令提示符下输入netdom query fsmo查看一
下当前的五个前色的owner是谁，如图： 我们看到当前五个角色的owner还是PDC。下面我们就开始强制夺取吧。 三、再次打开support tools 在命令提示符下输入ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server https://www.doczj.com/doc/6d7836055.html,(其实上面这里我写的是BDC的计算机名，而现在输入的又是域名了) ，提示绑定成功后，输入 q退出，如图： 四、输入问号可以看到一些帮助信息，上面由于我们是在正常情况下的角色转移我们用的transfer,而现在我们要用seize来进行强制夺取了，分别输入： Seize domain naming master
本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行. 目录 Active Directory操作主机角色概述 环境分析 从AD中清除主域控制器https://www.doczj.com/doc/6d7836055.html, 对象 在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作 设置额外域控制器为ＧＣ（全局编录） 一、环境分析 公司https://www.doczj.com/doc/6d7836055.html,（虚拟）有一台主域控制器https://www.doczj.com/doc/6d7836055.html,，还有一台额外域控制器 https://www.doczj.com/doc/6d7836055.html,。现主域控制器（https://www.doczj.com/doc/6d7836055.html,）由于硬件故障突然损坏，事先又没有 https://www.doczj.com/doc/6d7836055.html,的系统状态备份，没办法通过备份修复主域控制器（https://www.doczj.com/doc/6d7836055.html,），我们怎么让额外域控制器（https://www.doczj.com/doc/6d7836055.html,）替代主域控制器，使Acitvie Directory继续正常运行. 如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC
操作步骤: 1. 从AD中清除主域控制器https://www.doczj.com/doc/6d7836055.html,对象 在额外域控制器(https://www.doczj.com/doc/6d7836055.html,)上通过ntdsutil.exe工具把主域控制器(https://www.doczj.com/doc/6d7836055.html,)从ＡＤ中删除； 出现对话框以及FSMO角色转换，点确定
2. 使用ADSI EDIT 工具删除Active Directory users and computers 中的Domain controllers 中T1服务器对象， ADSI EDIT 是Windows 2003 support tools 中的工具，你需要安装Windows 2003 support tool ，安装程序在windows 2003光盘中的support\tools 目录下。打开ADSI EDIT 工具，展开Domain NC[https://www.doczj.com/doc/6d7836055.html,]，展开OU=Domain controllers ，右击CN=DC-01，然后选择Delete ，把T1服务器对象删除，如图： 3.3 在Active Directory Sites and Service 中删除T1服务器对象,打开Administrative tools 中的Active Directory Sites and Service ，展开Sites ，展开 Default-First-Site-Name ，展开Servers ，右击T1，选择Delete ，单击Yes 按钮，如图：