ค้นหาเว็บไซต์

วิธีตรวจสอบและถ่ายโอนบทบาท FSMO

เมื่อคุณมีตัวควบคุมโดเมนหลายตัวในโดเมนของคุณ จะมีหลักเดียวสำหรับแต่ละบทบาท FSMO ทั้ง 5 ที่สามารถดำเนินการอัปเดตใน Active Directory โดยทั่วไปจะเป็นตัวควบคุมโดเมนตัวแรกที่คุณติดตั้งในเครือข่ายของคุณ แต่เราสามารถถ่ายโอนบทบาท FSMO ไปยังตัวควบคุมโดเมนอื่นได้

มีกรณีการใช้งานไม่มากนักที่คุณต้องถ่ายโอนบทบาท FSMO ด้วยตนเอง บทบาทจะถูกถ่ายโอนโดยอัตโนมัติเมื่อคุณลดระดับตัวควบคุมโดเมน และการแบ่งบทบาทเป็นสิ่งจำเป็นสำหรับสภาพแวดล้อมฟอเรสต์แบบหลายโดเมนทั่วโลกเท่านั้น

ในบทความนี้ ผมจะอธิบายวิธีที่คุณสามารถถ่ายโอนบทบาท FSMO ทั้งหมดได้อย่างรวดเร็ว ทั้งผ่าน GUI และ PowerShell และเราจะดูวิธีแบ่งบทบาทระหว่างตัวควบคุมโดเมนด้วย

เหตุใดจึงต้องโอนบทบาท FSMO

แล้วคุณจะต้องโอนบทบาท FSMO เมื่อใด มักคิดว่าคุณต้องถ่ายโอนข้อมูลเหล่านี้ก่อนที่คุณจะลดระดับตัวควบคุมโดเมน แต่นั่นไม่เป็นความจริงทั้งหมด ต่อไปนี้เป็นเหตุผลบางประการที่อาจจำเป็นต้องโอนบทบาท FSMO:

  1. การลดระดับตัวควบคุมโดเมน: บทบาท FMSO จะถูกถ่ายโอนโดยอัตโนมัติเมื่อลดระดับตัวควบคุมโดเมน อย่างไรก็ตาม คุณไม่สามารถเลือกตัวควบคุมโดเมนใดในระหว่างกระบวนการได้ ดังนั้นในบางกรณี คุณอาจต้องการถ่ายโอนบทบาท FSMO ด้วยตนเอง

  2. การปรับสมดุลโหลด: บทบาทการโอนอาจมีความจำเป็นเพื่อกระจายความรับผิดชอบของบทบาท FSMO อย่างเท่าเทียมกันทั่วทั้งตัวควบคุมโดเมน

  3. การกู้คืนความเสียหาย: ในกรณีที่ตัวควบคุมโดเมนล้มเหลว การโอนบทบาท FSMO ไปยังตัวควบคุมโดเมนอื่นจะช่วยรักษาความต่อเนื่องของการดำเนินการของ Active Directory

  4. การอัพเกรดฮาร์ดแวร์หรือซอฟต์แวร์: ในระหว่างการอัพเกรดฮาร์ดแวร์หรือการย้ายระบบปฏิบัติการ การโอนบทบาท FSMO ช่วยให้มั่นใจว่ามีความพร้อมใช้งานบนโครงสร้างพื้นฐานใหม่

เมื่อคุณเลือกที่จะถ่ายโอนบทบาท FSMO ให้ลองเลือกตัวควบคุมโดเมนที่มีความยืดหยุ่นมากที่สุด ตัวอย่างเช่น กระแสตรงในศูนย์ข้อมูลมักจะได้รับการปกป้องจากการหยุดทำงานได้ดีกว่ากระแสตรงที่ติดตั้งในองค์กร

ทำความเข้าใจเกี่ยวกับการโอนบทบาท FSMO

ก่อนที่เราจะเริ่มด้วยการโอนบทบาท FSMO สิ่งสำคัญคือต้องทราบบทบาททั้งห้าและหน้าที่ของบทบาทเหล่านั้นภายใน Active Directory:

  • หลักสคีมา: จัดการการแก้ไขและการเพิ่มเติมสคีมาโฆษณา

  • Domain Naming Master: ควบคุมการเพิ่มหรือการลบโดเมนในฟอเรสต์

  • RID Master: จัดสรรตัวระบุความปลอดภัยเฉพาะ (SID) ให้กับออบเจ็กต์ภายในโดเมน

  • PDC Emulator: จำลองการทำงานของตัวควบคุมโดเมนหลักเพื่อความเข้ากันได้แบบย้อนหลัง

  • โครงสร้างพื้นฐานหลัก: รับประกันความสอดคล้องของการอ้างอิงออบเจ็กต์ระหว่างโดเมน

หากคุณต้องการแยกบทบาท FSMO (ซึ่งใน 99% ของสถานการณ์นั้นไม่จำเป็น) สิ่งสำคัญคือต้องรักษาบทบาท Schema Master และ Domain Naming Master ไว้ด้วยกัน และบทบาท RID Master และ PDC Emulator บทบาท Infrastructure Master ไม่ได้ถูกใช้อีกต่อไปแล้ว แต่ยังคงมอบหมายให้กับ dc

ตรวจสอบบทบาท FSMO

ก่อนที่เราจะถ่ายโอนบทบาท FSMO เป็นความคิดที่ดีที่จะตรวจสอบว่าบทบาท FSMO ได้รับมอบหมายในขณะนี้อย่างไร มีสองวิธีในการดูบทบาทปัจจุบัน เราสามารถใช้เครื่องมือสืบค้น netdom และ PowerShell คำสั่งแรกต้องการเพียงคำสั่งเดียวเท่านั้น สำหรับคำสั่งหลังเราจะต้องได้รับบทบาทฟอเรสต์และโดเมนแยกกัน

เครื่องมือสืบค้น Netdom

เปิดพรอมต์คำสั่งหรือหน้าต่าง PowerShell บนตัวควบคุมโดเมนแล้วพิมพ์คำสั่งต่อไปนี้:

netdom query fsmo

การใช้ PowerShell

ตามที่กล่าวไว้ สำหรับ PowerShell เราจะต้องเรียกใช้สองคำสั่งเพื่อรับบทบาททั้งหมด คำสั่งแรกจะได้รับบทบาทสำหรับโดเมน และคำสั่งที่สองจะตรวจสอบบทบาทของฟอเรสต์:

# Get Domain roles
Get-ADDomain lazyadmin.nl | Select PDCEmulator, RIDMaster,InfrastructureMaster

# Result
pdcemulator              ridmaster                infrastructuremaster
-----------              ---------                --------------------
LA-SRV-DC01.lazyadmin.nl LA-SRV-DC01.lazyadmin.nl LA-SRV-DC01.lazyadmin.nl

# Get Forest roles
Get-ADForest lazyadmin.nl | Select SchemaMaster,DomainNamingMaster

# Result
SchemaMaster             DomainNamingMaster
------------             ------------------
LA-SRV-DC01.lazyadmin.nl LA-SRV-DC01.lazyadmin.nl

วิธีที่ 1 - ใช้ PowerShell เพื่อถ่ายโอน FSMO บทบาท

วิธีที่ง่ายที่สุดในการถ่ายโอนบทบาท FSMO คือการใช้ PowerShell เราสามารถถ่ายโอนบทบาททั้งหมดด้วยคำสั่งเดียว หรือถ่ายโอนแต่ละบทบาทไปยังเซิร์ฟเวอร์อื่นทีละรายการ

ก่อนที่คุณจะสามารถโอนบทบาทได้ คุณจะต้องตรวจสอบให้แน่ใจว่าคุณเป็นสมาชิกของกลุ่ม ผู้ดูแลระบบสคีมา ใน Active Directory ตามค่าเริ่มต้น บัญชีผู้ดูแลระบบไม่ได้เป็นสมาชิกของกลุ่มนี้ คุณสามารถค้นหากลุ่มผู้ดูแลระบบ Schema ได้ใน Active Directory ใต้ ผู้ใช้

เราจะใช้ Move-ADDirectoryServerOperationMasterRole cmdlet เพื่อถ่ายโอนบทบาท คุณสามารถระบุบทบาทที่คุณต้องการย้าย หรือระบุบทบาททั้งหมดในคำสั่งเดียว:

Move-ADDirectoryServerOperationMasterRole "LA-SRV-DC02" -OperationMasterRole PDCEmulator,RIDMaster,InfrastructureMaster,SchemaMaster,DomainNamingMaster

หากคุณต้องการแบ่งบทบาทระหว่างตัวควบคุมโดเมนหลายตัว คุณเพียงแค่ต้องระบุบทบาทที่คุณต้องการย้ายเท่านั้น:

# Transfer the roles PDCEmulator,RIDMaster,InfrastructureMaster to DC02
Move-ADDirectoryServerOperationMasterRole "LA-SRV-DC02" -OperationMasterRole PDCEmulator,RIDMaster,InfrastructureMaster

# Transfer the roles PSchemaMaster,DomainNamingMaster to DC03
Move-ADDirectoryServerOperationMasterRole "LA-SRV-DC03" -OperationMasterRole SchemaMaster,DomainNamingMaster

วิธีที่ 2 - การใช้ GUI เพื่อถ่ายโอนบทบาท FSMO

หากคุณไม่ชอบหรือต้องการใช้ PowerShell ก็สามารถถ่ายโอนบทบาท FSMO โดยใช้ GUI ได้เช่นกัน มีคอนโซลที่แตกต่างกันสามแบบที่เราจะต้องถ่ายโอนบทบาททั้งหมด:

  • บทบาทหลัก RID master, PDC Emulator และ โครงสร้างพื้นฐาน เสร็จสิ้นแล้วในผู้ใช้ Active Directory และคอนโซลคอมพิวเตอร์

  • บทบาทการตั้งชื่อโดเมนสามารถโอนได้ในโดเมน Active Directory และ Trusts

  • บทบาท ผู้ดูแลระบบ Schema จำเป็นต้องโหลดสแนปอิน MMC ของ Active Directory Schema

คำแนะนำ

ทำตามขั้นตอนด้านล่างบนตัวควบคุมโดเมนที่คุณต้องการโอนบทบาทด้วย

บทบาทหลักของ RID, PDC Emulator และบทบาทหลักของโครงสร้างพื้นฐาน

  1. เปิดคอนโซล ผู้ใช้ Active Directory และคอมพิวเตอร์

  2. คลิกขวา บนโดเมนของคุณและเลือก Operations Masters

  3. โอนแต่ละบทบาทไปยังตัวควบคุมโดเมนใหม่ (ทำเครื่องหมายที่ แท็บ แต่ละอัน)

บทบาทผู้ดูแลระบบ Schema

เราจะต้องโหลด Add-in Active Directory Schema ด้วยตนเองในคอนโซล MMC เพื่อโอนบทบาท Schema Master แต่ก่อนที่เราจะทำเช่นนั้นได้ เราจะต้องลงทะเบียนไฟล์ DLL บนตัวควบคุมโดเมนเสียก่อน

  1. เปิดเทอร์มินัล (พรอมต์คำสั่งหรือ PowerShell) ในฐานะผู้ดูแลระบบ

  2. พิมพ์ regsvr32 schmmgmt.dll แล้วกด Enter

  3. รอข้อความแสดงความสำเร็จแล้วคลิกตกลง

  1. พิมพ์ MMC ในคอนโซล (หรือเปิดกล่องโต้ตอบเรียกใช้ (ปุ่ม Windows + R) แล้วพิมพ์ MMC)

  2. คลิกที่ ไฟล์ และเลือก เพิ่มหรือลบ Snap-Ins

  3. เลือก สคีมา Active Directory

  4. คลิกที่ เพิ่ม และคลิก ตกลง

  1. คลิกขวาที่ Active Directory Schema

  2. เลือกหลักการปฏิบัติงาน

  3. คลิกที่ เปลี่ยน เพื่อโอนบทบาท

บทบาทหลักของการดำเนินงาน

บทบาทสุดท้ายที่เราต้องถ่ายโอนคือบทบาท Operations Master เราสามารถทำได้ในคอนโซล Active Directory Domains และ Trusts อีกครั้ง ให้ทำตามขั้นตอนด้านล่างบนตัวควบคุมโดเมนที่คุณต้องการถ่ายโอนบทบาทด้วย

  1. เปิด โดเมน Active Directory และ Trusts

  2. คลิกขวา บน โดเมน Active Directory และ Trusts

  3. เลือกหลักการปฏิบัติงาน

  4. คลิก เปลี่ยน เพื่อโอนบทบาท

สรุป

การโอนบทบาท FSMO นั้นไม่ค่อยจำเป็น บทบาทจะถูกโอนโดยอัตโนมัติเมื่อคุณลดระดับตัวควบคุมโดเมน และการแบ่งบทบาทระหว่างตัวควบคุมโดเมนหลายตัวอาจจำเป็นเฉพาะในสภาพแวดล้อมที่มีขนาดใหญ่มากเท่านั้น

วิธีที่ง่ายที่สุดในการถ่ายโอนบทบาท FSMO คือการใช้ PowerShell การใช้ GUI ก็เป็นไปได้เช่นกัน แต่ต้องขอการทำงานเพิ่มอีกเล็กน้อย

ฉันหวังว่าคุณจะพบว่าบทความนี้มีประโยชน์ หากคุณมีคำถามใด ๆ เพียงแค่แสดงความคิดเห็นด้านล่าง

บทความที่เกี่ยวข้อง