本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行.
目录
Active Directory操作主机角色概述
环境分析
从AD中清除主域控制器https://www.doczj.com/doc/7718015422.html, 对象
在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作
设置额外域控制器为ＧＣ（全局编录）
一、环境分析
公司https://www.doczj.com/doc/7718015422.html,（虚拟）有一台主域控制器https://www.doczj.com/doc/7718015422.html,，还有一台额外域控制器
https://www.doczj.com/doc/7718015422.html,。现主域控制器（https://www.doczj.com/doc/7718015422.html,）由于硬件故障突然损坏，事先又没有
https://www.doczj.com/doc/7718015422.html,的系统状态备份，没办法通过备份修复主域控制器（https://www.doczj.com/doc/7718015422.html,），我们怎么让额外域控制器（https://www.doczj.com/doc/7718015422.html,）替代主域控制器，使Acitvie Directory继续正常运行.
如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC
操作步骤:
1. 从AD中清除主域控制器https://www.doczj.com/doc/7718015422.html,对象
在额外域控制器(https://www.doczj.com/doc/7718015422.html,)上通过ntdsutil.exe工具把主域控制器(https://www.doczj.com/doc/7718015422.html,)从ＡＤ中删除；
出现对话框以及FSMO角色转换，点确定
2. 使用ADSI EDIT 工具删除Active Directory users and computers 中的Domain
controllers 中T1服务器对象，
ADSI EDIT 是Windows 2003 support tools 中的工具，你需要安装Windows 2003 support tool ，安装程序在windows 2003光盘中的support\tools 目录下。打开ADSI EDIT 工具，展开Domain NC[https://www.doczj.com/doc/7718015422.html,]，展开OU=Domain controllers ，右击CN=DC-01，然后选择Delete ，把T1服务器对象删除，如图： 3.3 在Active Directory Sites and Service 中删除T1服务器对象,打开Administrative tools 中的Active Directory Sites and Service ，展开Sites ，展开
Default-First-Site-Name ，展开Servers ，右击T1，选择Delete ，单击Yes 按钮，如图：
挨踢人物传：职员到CEO的蜕变 | 5?12公开课:软考冲刺攻略+答疑| 工信部弱电项目经理资格认证
[只看他]地板3. 设置额外控制(https://www.doczj.com/doc/7718015422.html,)为ＧＣ（全局编录）
打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开https://www.doczj.com/doc/7718015422.html,(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。
后续部分换成功转换之后抓图,有不好的地方，请大家指教
记得一定要先安装光盘中TOOLS里面的SUPTOOLS.MSI,在运行SUPPORT.CAB解压里面的Adsiedit.msc
否则会出现以下错误，提示MMC无法创建管理单元
1、方便管理,权限管理比较集中，管理人员可以较好的管理计算机资源。 2、安全性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一个人看,或者指定人员可以看,但不可以删/改/移等。 3、方便对用户操作进行权限设置，可以分发，指派软件等,实现网络内的软件一起安装。 4、很多服务必须建立在域环境中，对管理员来说有好处:统一管理,方便在MS 软件方面集成,如ISA EXCHANGE(邮件服务器)、ISA SERVER(上网的各种设置与管理)等。 5、使用漫游账户和文件夹重定向技术，个人账户的工作文件及数据等可以存储在服务器上，统一进行备份、管理，用户的数据更加安全、有保障。 6、方便用户使用各种资源。 7、SMS（System Management Server）能够分发应用程序、系统补丁等，用户可以选择安装，也可以由系统管理员指派自动安装。并能集中管理系统补丁（如Windows Updates），不需每台客户端服务器都下载同样的补丁，从而节省大量网络带宽。 8、资源共享 用户和管理员可以不知道他们所需要的对象的确切名称，但是他们可能知道这个对象的一个或多个属性，他们可以通过查找对象的部分属性在域中得到一个所有已知属性相匹配的对象列表，通过域使得基于一个或者多个对象属性来查找一个对象变得可能。 9、管理 A、域控制器集中管理用户对网络的访问，如登录、验证、访问目录和共享资源。为了简化管理，所有域中的域控制器都是平等的，你可以在任何域控制器上进行修改，这种更新可以复制到域中所有的其他域控制器上。
B、域的实施通过提供对网络上所有对象的单点管理进一步简化了管理。因为域控制器提供了对网络上所有资源的单点登录，管理远可以登录到一台计算机来管理网络中任何计算机上的管理对象。在NT网络中，当用户一次登陆一个域服务器后，就可以访问该域中已经开放的全部资源，而无需对同一域进行多次登陆。但在需要共享不同域中的服务时，对每个域都必须要登陆一次，否则无法访问未登陆域服务器中的资源或无法获得未登陆域的服务。 10、可扩展性 在活动目录中，目录通过将目录组织成几个部分存储信息从而允许存储大量的对象。因此，目录可以随着组织的增长而一同扩展，允许用户从一个具有几百个对象的小的安装环境发展成拥有几百万对象的大型安装环境。 9、安全性 域为用户提供了单一的登录过程来访问网络资源，如所有他们具有权限的文件、打印机和应用程序资源。也就是说，用户可以登录到一台计算机来使用网络上另外一台计算机上的资源，只要用户具有对资源的合适权限。域通过对用户权限合适的划分，确定了只有对特定资源有合法权限的用户才能使用该资源，从而保障了资源使用的合法性和安全性。 10、可冗余性 每个域控制器保存和维护目录的一个副本。在域中，你创建的每一个用户帐号都会对应目录的一个记录。当用户登录到域中的计算机时，域控制器将按照目录检查用户名、口令、登录限制以验证用户。当存在多个域控制器时，他们会定期的相互复制目录信息，域控制器间的数据复制，促使用户信息发生改变时（比如用户修改了口令），可以迅速的复制到其他的域控制器上，这样当一台域控制器出现故障时，用户仍然可以通过其他的域控制进行登录，保障了网络的顺利运行。 三、公司域的详细规划
计算机无法加入域|不能联系域控制器 计算机无法加入域|不能联系域控制器 1．您无法用NetBois域名加入域。 2．组策略无法正常应用。 3．无法打开网上领居和访问共享文件。 这个问题有可能是Wins服务器没有正确配置或TCP/IP NetBIOS没有启动造成的。我建议您做如下的检查： 建议一：如果您的域中有Wins服务器，请检查客户机的Wins配置看是不是指向Wins服务器。另外，请打开Wins服务器，看https://www.doczj.com/doc/7718015422.html,记录正确注册。 建议二：如果TCP/IP NetBIOS Helper Service（TCP/IP NetBIOS 支持服务）没有在客户端计算机上运行，可能会出现此问题。要解决此问题，请启动TCP/IP NetBIOS 支持服务。要启动NetBIOS 支持服务，请按照下列步骤操作： 1. 使用具有管理员权限的帐户登录到客户机。 2. 单击“开始”，单击“运行”，在“打开”框中键入services.msc，然后单击“确定”。 3. 在服务列表中，双击“TCP/IP NetBIOS Helper Service”。您看到的文章来自活动目录seo 4. 在“启动类型”列表中，单击“自动”，然后单击“应用”。 5. 在“服务状态”下，单击“启动”以启动TCP/IP NetBIOS 支持服务。 6. 当该服务启动后，请单击“确定”，然后退出“服务”管理单元。 建议三：请检查是否安装了客户机上安装了“Microsoft网络的文件和打印机共享” 1．点击“开始菜单→控制面板→网络连接”。 2．在所出现窗口中的局域网连接（如“本地连接”）上单击右键，选择“属性”。 3．勾选常规标签下的“Microsoft网络的文件和打印机共享”项。 ************************************************************************************************** 客户机不能加入域的终极解决方法 客户机加入域时的错误各种各样，但总的来说，客户机不能加入域的解决方法部外乎以下几种： 1、将客户机的第一DNS设为AD的IP，一般DNS都时和AD集成安装的，清空缓存并重新注册( OK 啦) ipconfig /flushdns 清空DNS ipconfig /registerdns 重新申请DNS 2、关闭客户端防火墙
WINDOWS SERVER 2008 R2 域控制器安装过程 有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环
境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。 图1 由于WIN08R2默认防火墙配置是根据连接网络类型来实施过滤的，所以，最好通过“网络和共享中心”将其网络类型有默认识别为的“公用网络”更改为“专用网络”（如图2）。
实训二配置额外域控制器 一、知识点： 额外域控制器：如果域中只有一台域控制器，一旦出现物理故障，我们时可以备份还原AD。部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory数据库。 只读域控制器：RODC只能单向的从其他可读写域控制器请求信息，而不会把任何修改传送给其他可写域控制器，这样做不仅可以降低主域服务器的工作负载及监控负载的工作量，还可以提高分支机构网络的安全性，同时便于管理。 二、动手实验： 实验目的： 利用windows server 2008搭建辅助域环境，了解辅助域控制器的作用，不仅学会安装辅助域控制器，而且还应学会如何配置辅助域，并实现辅助域在域环境中的作用。 实验内容： 1、配置域环境中额外域控制器 2、配置域环境中的只读域控制器（RODC） 3、测试辅助控制器是否搭建成功 实验要求： 1、完成实训内容，并做成实验报告。 实验步骤： 第一步配置域环境中额外域控制器 （1）部署环境 设置网络环境
（2）与主域的IP地址要互Ping的通 （3）根据拓扑图要求，将额外控制器的名称改为“BDC1”
输入域https://www.doczj.com/doc/7718015422.html, 点击确定 （4）安装额外域控制器 开始------运行---输入dcpromo
输入dcpromo 点击确定 之后会弹出如下向导对话框，点击下一步 在弹出“部署配置”对话框勾选“现有林---向现有于添加域控制器”
下一步，输入主域名“https://www.doczj.com/doc/7718015422.html,” 点击“设置”
输入“用户名和密码”点击“确定” 点击“下一步”选择域“https://www.doczj.com/doc/7718015422.html,”
?域和工作组 域和工作组是针对网络环境中的两种不同的网络资源管理模式。 在一个网络内，可能有成百上千台电脑，如果这些电脑不进行分组，都列在“网上邻居”内，可想而知会有多么乱。为了解决这一问题，Windows 9x/NT/2000就引用了“工作组”这个概念，将不同的电脑一般按功能分别列入不同的组中，如财务部的电脑都列入“财务部”工作组中，人事部的电脑都列入“人事部”工作组中。你要访问某个部门的资源，就在“网上邻居”里找到那个部门的工作组名，双击就可以看到那个部门的电脑了。 在对等网模式（PEER-TO-PEER）下，任何一台电脑只要接入网络，就可以访问共享资源，如共享打印机、文件、ISDN上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据是非常不安全的。一般来说，同一个工作组内部成员相互交换信息的频率最高，所以你一进入“网上邻居”，首先看到的是你所在工作组的成员。如果要访问其他工作组的成员，需要双击“整个网络”，就会看到网络上所有的工作组，双击工作组名称，就会看到里面的成员。 你也可以退出某个工作组，只要将工作组名称改动即可。不过这样在网上别人照样可以访问你的共享资源，只不过换了一个工作组而已。你可以随便加入同一网络上的任何工作组，也可以离开一个工作组。“工作组”就像一个自由加入和退出的俱乐部一样，它本身的作用仅仅是提供一个“房间”，以方便网络上计算机共享资源的浏览。 与工作组的“松散会员制”有所不同，“域”是一个相对严格的组织。“域”指的是服务器控制网络上的计算机能否加入的计算机组合。实行严格的管理对网络安全是非常必要的。 在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器(Domain Controller，简写为DC)”。“域控制器”中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息不正确，域控制器就拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，只能以对等网用户的方式访问Windows共享出来
需要注意的域控制器五种错误操作 一、不安装DNS 犯这种错误的大多数新手。因为一般在安装活动目录时，如果没有安装DNS，系统会给出相应的警告。只有新手才会直接忽略。也有朋友做过尝试，不装DNS，而用WINS是可以的，但是用户会发现登陆的时候速度相当慢。虽然还是可以用Netbios名访问网上邻居中的计算机，但其实是无法使用域资源的。这是因为在域环境网络中，DNS起到的不仅仅是一个域名解析的作用，更主要的是DNS服务器起到一个资源定位的作用，大家对于DNS的A记录应该有很深的了解，实际上，在A记录之外，还有很多其它的如SRV之类的记录。而这些资源没办法用IP直接访问，也不是WINS服务器能够做到的。所以部署活动目录请一定要安装DNS。 二、随意安装软件 由于域控制器在域构架网络中的作用是举足轻重的，所以一台域控制器的高可能性是必须的，但是太多的管理员朋友忽视了这一点。笔者曾见一个酒店网络的域控制器上装了不下三十个软件，甚至包括一些网络游戏之类的软件，如边锋、传奇等，还有一些MP3播放器，VCD播放器等。这样直接导致的结果就是软件冲突加重，而且即使是软件卸载，也会在注册表中存有大量无用信息，这些信息完全无法用手工方法卸载。于是，借助第三方软件，比如超级兔子、优化大师的，虽然这些软件都有清理注册表和提速的功能，但是域控制器毕竟不是个人PC，重装一次之后，很多网络的计算机名和域名都有可能更改，影响相当大。对于服务器而言，稳定大于一切。 三、操作方法不正确 网络管理员往往都是技术爱好者，所以对于自己机器的设置往往更加“个性化”。比如，有的网管一时兴起，增加一台额外域控制器，然后再增加一个子域，而哪天因为系统问题或者心情不爽，往往也不降级，直接把那些子域域控制器，额外域控制器等统统格式化，然后重装。这样反复操作，往往会导致活动目录出错，直到无法添加为止。笔者曾帮助一个网管修复域控制器，在检查中发现里面莫明其妙的有很多的域控制器，但是网络上却又没有这些域控制器，而且活动目录经常出错。查过日志却发现全是报错信息，都是一些无法复制，找不到相应的域控制器等。最终，笔者用Ntdsutil把这些垃圾信息全部清除才解决问题。不过这种情况是比较轻微的，如果用Ntdsutil清除活动目录还是不正常时，那基本没有什么解决方法，无论多么费时，都只能“重建”。 四、FSMO角色的任意分配 一般来说，FSMO一般是不需要去管理的。正常情况下如果需要对FSMO的角色进行转移的话，那么无非就是两种情况：一是服务器的正常维护；二是原来的FSMO角色所在的域控制器由于硬件或其它的原因导致无法联机。 但是目前很多网管碰到上述两种情况，会采取很极端的作法，就是只要原来的FSMO角色所在的域控制器一旦离线，就一定要把FSMO角色转移到其它的域控制器上，能传送就传送，不能传送就夺取。但是笔者在这儿要建议大家一个字：等！除了PDC仿真器这个角色以外，其它角
域服务器概念及作用 域（Domain）是相对工作组（Workgroup）的概念，形象的说，域就像中央集权，由一台或数台域控制器（Domain Controller）管理域内的其他计算机；工作组就像各自为政，组内每一台计算机自己管理自己，他人无法干涉。 域是一个计算机群体的组合，是一个相对严格的组织，而域控制器则是这个域内的管理核心。 域控制器的作用相当一个门卫，它包含了由这个域的账户密码、管理策略等信息构成的数据库。当一台计算机登录域时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号和密码是否正确。如果正确则允许计算机登入这个域，使用该域内其有权限访问的任何资源，像文件服务器，打印服务器（也就是说域控制器仅起到一个验证作用，访问其他资源并不需要再跟域控制器扯上关系）；如果不正确则不允许计算机登入，这时计算机将无法访问域内任何资源，这在一定程度上保护了企业网络资源。 另外，域控制器可以对域内计算机进行集中管理，比如在域控制器上可以定义所有用户不能更改桌面，或者所有用户的密码长度必须8位以上，而工作组环境的计算机则无法做到这些。 一般情况下，域控制器集成了DNS服务，可以解析域内的计算机名称（基于TCP/IP），解决了工作组环境不同网段计算机不能使用计算机名互访的问题。 域控制器自身所需配置非常低，对网络带宽的占用也几乎微不足道，另外正常情况下域控制器是不可能发布到外网使用的，因为它的安全关系到整个域组织的安全，如果用户希望他在外网也能够登入企业域使用内部资源，最常用的解决方式是在网关处开通VPN功能，这样既能保证账号密码传输的安全性，又能像在局域网一样便捷地访问网络资源。
win2003额外域控制器升级为主域控制器 2010-03-19 23:46:46 标签：控制器 win2003额外域控制器升级为主域控制器 公司https://www.doczj.com/doc/7718015422.html,（虚拟）有一台主域控制器https://www.doczj.com/doc/7718015422.html,，还有一台额外域控制器https://www.doczj.com/doc/7718015422.html,。现主域控制器（https://www.doczj.com/doc/7718015422.html,）由于硬件故障突然损坏，事先又没有https://www.doczj.com/doc/7718015422.html,的系统状态备份，没办法通过备份修复主域控制器（https://www.doczj.com/doc/7718015422.html,），我们怎么让额外域控制器（https://www.doczj.com/doc/7718015422.html,）替代主域控制器，使Activate Directory 继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。 如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC。 --------------------------------------------------------------- 一、从AD中清除主域控制器https://www.doczj.com/doc/7718015422.html,对象 3.1在额外域控制器(https://www.doczj.com/doc/7718015422.html,)上通过ntdsutil.exe工具把主域控制器 (https://www.doczj.com/doc/7718015422.html,)从ＡＤ中删除； c:>ntdsutil ntdsutil: metadata cleanup metadata cleanup: select operation target select operation target: connections server connections: connect to Domain https://www.doczj.com/doc/7718015422.html, server connections: quit select operation target: list sites Found 1 site(s) 0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com select operation target: select site 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com No current domain No current server No current Naming Context select operation target: List domains in site Found 1 domain(s) 0 - DC=test,DC=com Found 1 domain(s) 0 - DC=test,DC=com select operation target: select domain 0 Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com Domain - DC=test,DC=com No current server No current Naming Context select operation target: List servers for domain in site Found 2 server(s)
对很多刚开始钻研微软技术的朋友来说，域是一个让他们感到很头疼的对象。域的重要性毋庸置疑，微软的重量级服务产品基本上都需要域的支持，很多公司招聘工程师的要求中也都明确要求应聘者熟悉或精通Active Directory。但域对初学者来说显得复杂了一些，众多的技术术语，例如Active Directory，站点，组策略，复制拓扑，操作主机角色，全局编录….很多初学者容易陷入这些技术细节而缺少了对全局的把握。从今天开始，我们将推出Active Directory系列博文，希望对广大学习AD的朋友有所帮助。 今天我们谈论的第一个问题就是为什么需要域这个管理模型？众所周知，微软管理计算机可以使用域和工作组两个模型，默认情况下计算机安装完操作系统后是隶属于工作组的。我们从很多书里可以看到对工作组特点的描述，例如工作组属于分散管理，适合小型网络等等。我们这时要考虑一个问题，为什么工作组就不适合中大型网络呢，难道每台计算机分散管理不好吗？下面我们通过一个例子来讨论这个问题。 假设现在工作组内有两台计算机，一台是服务器Florence，一台是客户机Perth。服务器的职能大家都知道，无非是提供资源和分配资源。服务器提供的资源有多种形式，可以是共享文件夹，可以是共享打印机，可以是电子邮箱，也可以是数据库等等。现在服务器Florence提供一个简单的共享文件夹作为服务资源，我们的任务是要把这个共享文件夹的访问权限授予公司内的员工张建国，注意，这个文件夹只有张建国一个人可以访问！那我们就要考虑一下如何才能实现这个任务，一般情况下管理员的思路都是在服务器上为张建国这个用户创建一个用户账号，如果访问者能回答出张建国账号的用户名和密码，我们就认可这个访问者就是张建国。基于这个朴素的管理思路，我们来在服务器上进行具体的实施操作。 首先，如下图所示，我们在服务器上为张建国创建了用户账号。
管好域控制器对于一个网络管理员来说，是专业性的技术体现。笔者通过多年经验，以及论坛上朋友们的种种方案，总结了域控制器的常见五种错误操作，希望能够与广大技术爱好者共享。 一、不安装DNS 犯这种错误的大多数新手。因为一般在安装活动目录时，如果没有安装DNS，系统会给出相应的警告。只有新手才会直接忽略。也有朋友做过尝试，不装DNS，而用WINS是可以的，但是用户会发现登陆的时候速度相当慢。虽然还是可以用Netbios名访问网上邻居中的计算机，但其实是无法使用域资源的。这是因为在域环境网络中，DNS起到的不仅仅是一个域名解析的作用，更主要的是DNS服务器起到一个资源定位的作用，大家对于DNS的A记录应该有很深的了解，实际上，在A记录之外，还有很多其它的如SRV之类的记录。而这些资源没办法用IP直接访问，也不是WINS服务器能够做到的。所以部署活动目录请一定要安装DNS。 二、随意安装软件 由于域控制器在域构架网络中的作用是举足轻重的，所以一台域控制器的高可能性是必须的，但是太多的管理员朋友忽视了这一点。笔者曾见一个酒店网络的域控制器上装了不下三十个软件，甚至包括一些网络游戏之类的软件，如边锋、传奇等，还有一些MP3播放器，VCD播放器等。这样直接导致的结果就是软件冲突加重，而且即使是软件卸载，也会在注册表中存有大量无用信息，这些信息完全无法用手工方法卸载。于是，借助第三方软件，比如超级兔子、优化大师的，虽然这些软件都有清理注册表和提速的功能，但是域控制器毕竟不是个人PC，重装一次之后，很多网络的计算机名和域名都有可能更改，影响相当大。所以，笔者认为“预防永远大于急救”。笔者的域控制器上除了活动目录和DNS，只安装了一个SUS服务器，运行已经有一年半了，没有发生过任何软件问题。毕竟，对于服务器而言，稳定大于一切。 三、操作方法不正确 网络管理员往往都是技术爱好者，所以对于自己机器的设置往往更加“个性化”。比如，有的网管一时兴起，增加一台额外域控制器，然后再增加一个子域，而哪天因为系统问题或者心情不爽，往往也不降级，直接把那些子域域控制器，额外域控制器等统统格式化，然后重装。这样反复操作，往往会导致活动目录出错，直到无法添加为止。笔者曾帮助一个网管修复域控制器，在检查中发现里面莫明其妙的有很多的域控制器，但是网络上却又没有这些域控制器，而且活动目录经常出错。查过日志却发现全是报错信息，都是一些无法复制，找不到相应的域控制器等。最终，笔者用Ntdsutil把这些垃圾信息全部清除才解决问题。不过这种情况是比较轻微的，如果用Ntdsutil清除活动目录还是不正常时，那基本没有什么解决方法，无论多么费时，都只能“重建”。 四、FSMO角色的任意分配 一般来说，FSMO一般是不需要去管理的。正常情况下如果需要对FSMO的角色进行转移的话，那么无非就是两种情况：一是服务器的正常维护；二是原来的FSMO角色所在的域控制器由于硬件或其它的原因导致无法联机。
子域控制器的安装与配置 实验名称：子域控制器的安装与配置成绩： 实验日期：年月日实验报告日期：年月日 一、实验目的 1．掌握子域控制器的安装与配置。 2．掌握子域控制器、额外域控制器与域控制器之间的关系。 二、实验环境 1、一台完成了第一台服务器的典型配置的服务器 2、一台没有任何服务器角色的Windows server 2003服务器 3、用交叉线连起来，没有任何服务器角色的Windows server 2003服务器与完成了第一台服务器的典型配置的服务器IP地址在同一个网段内，且没有任何服务器角色的Windows server 2003服务器的首选DNS服务器设置为完成了第一台服务器的典型配置服务器的IP地址 三、实验内容 1、子域控制器的安装与配置 四、实验步骤、过程 1、执行“开始”→“管理工具”→“配置您的服务器向导”，弹出“配置您的服务器向导”对话框。
2、单击“下一步”按钮，打开“预备步骤”对话框，按照列表一一确认预备步骤是否已经准备好； 3、单击“下一步”按钮，打开“服务器角色”对话框，表中列出的是当前计算机的服务器角色，可以为服务器添加或删除角色。选择“域控制器 (Active Directory)”，单击“下一步”；
4、出现“选择总结”对话框，单击“下一步”； 5、打开“Active Directory 安装向导”；
6、单击“下一步”按钮，出现“操作系统兼容性”对话框，显示不能与Windows server 2003系统Active Directory域控制器进行联网的Windows操作系统。 7、单击“下一步”按钮，打开“域控制器类型”对话框。在这里选择“新域的域控制器”；
额外域控制升级为主域控制器（一） 额外域控制升级为主域控制器（一） 一、实验环境： 域名为test. 1、原主域控制器 System: windows 20003 Server FQDN: PDC.test. IP：192.168.50.1 Mask:255.255.255.0 DNS:192.168.50.1 2、辅助域控制器 System: windows 2003 Server FQDN：BDC.test. IP： 192.168.50.2 Mask: 255.255.255.0 DNS:192.168.50.1 3、Exchange 2003 Server FQDN:mail.test. IP:192.168.50.3 Mask:255.255.255.0 DNS:192.168.50.1 也许有人会问，做辅域升级要装个Exchange干什么？ 其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。如果升级成功，对Exchange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。 二、实验目的： 在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。 三、实验步骤 1、安装域控制器。第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装 DNS组件。在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。
一工作组与域的区别 现公司所有电脑采用工作组的管理模式，域管理与工作组管理的主要区别在于： 1、工作组网实现的是分散的管理模式，每一台计算机都是独自自主的，用户账户和权限信息保存在本机中，同时借助工作组来共享信息，共享信息的权限设置由每台计算机控制。在网上邻居中能够看到的工作组机的列表叫浏览列表是通过广播查询浏览主控服务器，由浏览主控服务器提供的。 而域网实现的是主/从管理模式，通过一台域控制器来集中管理域内用户帐号和权限，帐号信息保存在域控制器内，共享信息分散在每台计算机中，但是访问权限由控制器统一管理。这就是两者最大的不同。 2、在“域”模式下，资源的访问有较严格的管理,至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。 3、域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。而工作组只是进行本地电脑的信息与安全的认证。 二公司采用域管理的好处 1、方便管理,权限管理比较集中，管理人员可以较好的管理计算机资源。 2、安全性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一个人看,或者指定人员可以看,但不可以删/改/移等。 3、方便对用户操作进行权限设置，可以分发，指派软件等,实现网络内的软件一起安装。 4、很多服务必须建立在域环境中，对管理员来说有好处:统一管理,方便在MS 软件方面集成,如ISA EXCHANGE(邮件服务器)、ISA SERVER(上网的各种设置与管理)等。 5、使用漫游账户和文件夹重定向技术，个人账户的工作文件及数据等可以存储在服务器上，统一进行备份、管理，用户的数据更加安全、有保障。 6、方便用户使用各种资源。 7、SMS（System Management Server）能够分发应用程序、系统补丁等，用户可以选择安装，也可以由系统管理员指派自动安装。并能集中管理系统补丁（如Windows Updates），不需每台客户端服务器都下载同样的补丁，从而节省大量网络带宽。 8、资源共享
(AD 域用户无法登录域故障处理 问题）
系统故障记录 1. 故障记录日期：2010-01-14 2. 主机名及IP ：FS03(192.168.2.246) 3. 主机系统及应用：DC、FileServer 4. 系统状态及错误信息：Win2003 系统启动到登陆界面时出现以下错误提示：“由于下列错误，安全帐户管理器初始化失败，目录服务无法启动。错误状态：0xc00002e1." 5. 检查过程及解决步骤： 原因：经微软KB及网上资料信息显示该提示为病毒（用户上传的文件）可能破坏了系统文件，导致 2.246 无法正常启动目录服务，所以客户端的域用户无法正常登陆。 解决方案1：准备进入目录还原模式，修复Active Directory 数据库。 备注：由于系统安装时间比较已久，还原密码未知， 解决方案2：升级其他BDC为PDC，解决用户登陆问题。 备注：现已将FSBDC升级为PDC，用户已可正常登陆。 步骤1： 用Domain Admin 用户登陆FSBDC，打开运行，输入“ CMD”进入命令行状态使用Ntdsutil 工具，将FSMO中PDC角色抢夺过来。
ntdsutil ROIeS COnneCtions COnneCt to SerVer FSBDC q SeiZe domain naming master SeiZe infrastructwre master SeiZe PDC SeiZe RlD master SeiZe SChema master q 步骤2： 升级FSBDC为GC 在管理工具中，打开“Active DireCtOry站点和服务” 点击"Sites-FOShan-SerVerS-FSBDC-NTDS Settings*右键点击选择属性, 选中“全局编目” ［此帖子已被ekin. Iiu在2010-01-14 20:13:56编辑过］当前状态为［已登记］ekin?IiU 2010-01-14 20:18:51其他问题： 在升级GC的时候，碰到一个问题，因原有Xin. Xingfa. Cn的域信息没有完全清除，需要要清除后GC才能升级成功。 错误提示信息为： 1、
部署Windows Server 2008 R2域控制器 通过多年来AD在企业中的部署，技术人员几乎都知道与活动目录相关的一系列概念了，如：域、域树、域林、OU和站点，还有域控制器（DC）等。那么，对于一个AD来讲是从哪里开始实现的呢？ 也许有人将是从第一台DC开始的。的确，AD的起点是从安装第一台DC开始的。但是，可能很少有人会意识到在安装第一台DC时，实际上是在部署AD的第一个域——根域，第一棵域树，乃至实现一个单域的域林。只不过这个林中只有一棵域树，这棵域树中只有一个域，而且域中就只有这一台计算机——第一个DC。 由此可见，在企业中即使是在部署安装第一台DC之前，所考虑的并不仅仅是怎样去安装一台域控制器那么简单，而是要考虑好整个域林、域树的规划，以及相关服务，如：DNS服务等的规划的部署。并且要考虑清楚，每一个服务实现的位置，每一个步骤实现的做法。只有这样走下来，所部属的AD才能更大的满足现在和以后的需要。在此，由安装域林中第一台DC的过程，可以了解到在部署前需要考虑的一系列基本问题。 一、DC网络属性的基本配置 对于将要安装成为DC的服务器来讲，其系统配置以及基本的磁盘规划在此就不在累述了，但是关键的网络连接属性是必须要注意的。可以通过打开本地连接的属性来进行配置其IP 属性。作为服务器DC的IP地址一定要是静态的IP地址，虽然不一定需要配置默认网关，但是DNS服务器指向一定要配置正确，因为AD的工作是紧密依赖于DNS服务的。本实例中整个微软网络环境都是白手起家的，考虑让这第一台DC同时充当企业网络中的DNS服务器，故需要将其首选DNS服务器地址配置为本台计算机的IP地址（如图1）。
AD 域DNS 分离+额外域控制器安装 及主域控制器损坏解决方法 对于域控制器的安装，我们已经知道如何同DNS 集成安装，而且集成安装的方法好处有：使DNS 也得到AD 的安全保护，DNS 的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS 服务器，并且即将安装的DC 控制器负载预计会很重，如果觉得DC 本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。 这里我们设计的环境是一台DNS 服务器（DNS-srv ）+主域控制器（AD-zhu ）+额外域控制器（AD-fu 点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。（其中由于服务器特性需要指定AD-zhu 、AD-fu 、DNS-srv 为静态地址） huanjing.png 对于DC 和DNS 分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS 。先安装DC 在安装DNS 的话，需要注意的就是DC 安装完后在安装DNS 需要重启DC 以使DNS 得到DC 向DNS 注册的SRV 记录，Cname 记录，NS 记录。那么我们就以先安装DNS 为例,对于实现这个环境需要三个大步骤： 1.DNS 服务器的安装； 2.DC 主控制器的安装； 3.DC 额外控制器的安装。 接下来我们分步实现······ 为了更加了解DC 和DNS 的关系，安装前请先参阅：(v=ws.10) 安装 Active Directory 的 DNS 要求 在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。Active https://www.doczj.com/doc/7718015422.html, AD-zhu DC 192.168.23.20 Client-0 客户端 192.168.23.40 DNS-srv DNS 192.168.23.10 AD-fu 额外DC 192.168.23.30
公司局域网中的电脑有工作组管理与域管理,其主要区别在于： 工作组网实现的是分散的管理模式，每一台计算机都是独自自主的，用户账户和权限信息保存在本机中，共享信息的权限设置由每台计算机控制。在网上邻居中能够看到的工作组机的列表叫浏览列表是通过广播查询浏览主控服务器，由浏览主控服务器提供的。 域网实现的是主/从管理模式，通过一台域控制器来集中管理域内用户帐号和权限，帐号信息保存在域控制器内，共享信息分散在每台计算机中，但是访问权限由控制器统一管理。 我们公司实行域管理,电脑需要加入域TRZZ,并申请个人域账号,登陆电脑时用域账号登陆, 公司采用域管理的直接好处： 1、方便管理，权限管理比较集中，管理人员可以较好的管理计算机资源。 2、安全性高，有利于企业保密资料的管理，比如一个文件只能让某一个人看,或者指定人的一员可以看,但不可以删/改/移等。 3、使用漫游账户和文件夹重定向技术，个人账户的工作文件及数据等可以存储在服务器上，统一进行备份、管理，用户的数据更加安全、有保障。 4、方便用户使用各种共享资源，访问同一个域中的共享就无需再进行账号密码验证。 5、安全性 域为用户提供了单一的登录过程来访问网络资源，如所有他们具有权限的文件、打印机和应用程序资源。也就是说，用户可以登录到一台计算机来使用网络上另外一台计算机上的资源，只要用户具有对资源的合适权限。域通过对用户权限合适的划分，确定了只有对特定资源有合法权限的用户才能使用该资源，从而保障了资源使用的合法性和安全性。 如何区分电脑是否加域？ 1.右击“我的电脑”，点“属性”，如下图1.1 图1.1 2.在“系统属性”对话框中，选“计算机名”标签页，如果显示“域：TRZZ”，说明已经加域，如下图1.2；如果显示“工作组：workgroup”，说明未加域，还在工作组模式，如图1.3。如何加域，请参照“二、如何修改计算机名及加域”文件。
因为没有硬件环境，因此我使用的是VMware Workstation 5.5.3创造了一个组，电脑配置不高，暂时只建立两台电脑，一个运行WIN2003中文版，双网卡，一个用NAT和物理网络相互连接，一个连接LAN1虚拟网络部分。一个运行XP SP3英文版，单网卡，连接LAN1。这样可以尽量和物理网络区分开来，并且可以适用于大部分实验。 VMware建立组的方法很简单FILE-->NEW-->Team，后边的一看就会，不说了。 1、DNS设置不正确的问题 安装活动目录，就在选择DNS的时候，忘了选择了什么选项，像是本机什么什么的。反正就是没有设置DNS就过去了。后来也证明，DNS服务器没有正常启动。 打开DNS服务器，开启DNS服务，看了看正向搜索区域，里边有https://www.doczj.com/doc/7718015422.html, -->192.168.0.1的项，应该正常吧。网上顺便看了看MX记录的问题，发觉DNS服务器有很多类型，但是WIN2003的DNS没有这样的记录类型（比如主机类型，TXT类型，邮箱或通信信息），微软真菜，盖子的决心不够啊！^_^
打开XP虚拟机，将他加入域的时候，发觉只能用NETBIOS名称加入域，而不能用完整域名加入。提示： Note: This information is intended for a network administrator. If you are not your network's administrator, notify the administrator that you received this information, which has been recorded in the file C:\WINDOWS\debug\dcdiag.txt. The following error occurred when DNS was queried for the service location (SRV) resource record used to locate a domain controller for domain https://www.doczj.com/doc/7718015422.html,: The error was: "DNS name does not exist." (error code 0x0000232B RCODE_NAME_ERROR) The query was for the SRV record for _ldap._tcp.dc._https://www.doczj.com/doc/7718015422.html, Common causes of this error include the following: - The DNS SRV record is not registered in DNS. - One or more of the following zones do not include delegation to its
把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC数目低于10台，则建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?我们现在就动手实践一下: 本篇文章中所有的成员服务器均采用微软的Windows Server 2003，客户端则采用Windows XP。 首先，当然是在成员服务器上安装上Windows Server 2003，安装成功后进入系统， 我们要做的第一件事就是给这台成员服务器指定一个固定的IP，在这里指定情况如下: 机器名:Server IP:192.168.5.1 子网掩码:255.255.255.0 DNS:192.168.5.1(因为我要把这台机器配置成DNS服务器) 由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添加/删除Windows组件”，则可以看到如下画面: 向下搬运右边的滚动条，找到“网络服务”，选中:
默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装: 然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。