ค้นหาเว็บไซต์

การโอนย้าย/ยึดบทบาท FSMO ไปยังตัวควบคุมโดเมนอื่น

ในบทความนี้ เราจะพิจารณาวิธีค้นหาตัวควบคุมโดเมนที่มีบทบาท FSMO ใน Active Directory วิธีถ่ายโอนบทบาท FSMO อย่างน้อยหนึ่งบทบาทไปยังตัวควบคุมโดเมนอื่น (เพิ่มเติม/รอง) และวิธีการยึดบทบาท FSMO ในกรณีที่โดเมนล้มเหลว เจ้าของบทบาทตัวควบคุม FSMO

ทำความเข้าใจกับบทบาท FSMO ในโดเมน Active Directory

บทบาท FSMO (Flexible Single Master Operation) ในโดเมน Active Directory คืออะไร คุณสามารถดำเนินการมาตรฐานส่วนใหญ่ใน Active Directory (เช่น สร้างบัญชีผู้ใช้ใหม่และกลุ่มความปลอดภัย หรือการรวมคอมพิวเตอร์เข้ากับโดเมน) บนตัวควบคุมโดเมนใดก็ได้ บริการจำลองแบบโฆษณามีหน้าที่แจกจ่ายการเปลี่ยนแปลงเหล่านี้ทั่วทั้งไดเรกทอรีโฆษณา ข้อขัดแย้งต่างๆ (เช่น การเปลี่ยนชื่อบัญชีผู้ใช้พร้อมกันบนตัวควบคุมโดเมนหลายตัว) ได้รับการแก้ไขโดยใช้หลักการง่ายๆ ข้อสุดท้ายถูกต้อง อย่างไรก็ตาม มีการดำเนินการหลายอย่างในระหว่างที่ข้อขัดแย้งไม่สามารถยอมรับได้ (เช่น เมื่อสร้างโดเมนย่อย/ฟอเรสต์ใหม่ การเปลี่ยน AD schema ฯลฯ) ในการดำเนินการที่ต้องการเอกลักษณ์ คุณต้องมีตัวควบคุมโดเมนที่มีบทบาท FSMO ภารกิจหลักของบทบาท FSMO คือการป้องกันความขัดแย้งดังกล่าว

อาจมีบทบาท FSMO ห้า รายการในโดเมน Active Directory

สองบทบาท ที่ไม่ซ้ำกันสำหรับ ฟอเรสต์ โฆษณา:

  1. ต้นแบบสคีมา มีหน้าที่ในการเปลี่ยนแปลงสคีมา Active Directory (ตัวอย่างเช่น เมื่อขยายสคีมา AD โดยใช้

    adprep /forestprep

    สั่งการ;

  2. ต้นแบบการตั้งชื่อโดเมน จัดเตรียมชื่อเฉพาะสำหรับโดเมนและส่วนแอปพลิเคชันทั้งหมดที่คุณสร้างในฟอเรสต์ AD ของคุณ (เพื่อจัดการโดเมน คุณต้องมีสิทธิ์ "ผู้ดูแลระบบระดับองค์กร")

และมี สาม บทบาทสำหรับแต่ละ โดเมน (ในการจัดการ บัญชีของคุณจะต้องเป็นสมาชิกของกลุ่ม "ผู้ดูแลโดเมน"):

  1. โปรแกรมจำลอง PDC เป็นเบราว์เซอร์หลักในเครือข่าย Windows ของคุณ (เบราว์เซอร์หลักของโดเมนใช้เพื่อแสดงคอมพิวเตอร์ในสภาพแวดล้อมเครือข่าย) โดยจะติดตามการล็อกเอาต์ของผู้ใช้เมื่อป้อนรหัสผ่านผิด เป็นเซิร์ฟเวอร์ NTP หลักในโดเมนของคุณ ใช้เพื่อจัดเตรียมความเข้ากันได้กับไคลเอนต์ที่ใช้ Windows 2000/NT เซิร์ฟเวอร์ราก DFS ใช้เพื่ออัปเดตข้อมูลเนมสเปซ;

  2. Infrastructure Master มีหน้าที่ในการอัปเดตลิงก์วัตถุข้ามโดเมน และ

    adprep /domainprep

    คำสั่งถูกเรียกใช้;

  3. RID Master — เซิร์ฟเวอร์แจกจ่าย RID (ในชุดละ 500 ชิ้น) ไปยังตัวควบคุมโดเมนอื่นเพื่อสร้างตัวระบุวัตถุ (SID) ที่ไม่ซ้ำใคร

จะแสดงรายการเจ้าของบทบาท FSMO ในโดเมนได้อย่างไร

คุณจะทราบได้อย่างไรว่าตัวควบคุมโดเมนใดเป็นผู้มีบทบาท FSMO ในโดเมน Active Directory ของคุณ

หากต้องการค้นหาเจ้าของบทบาท FSMO ทั้งหมดในโดเมน ให้รันคำสั่ง:

netdom query fsmo

Schema master dc01.test.com
Domain naming master dc01.test.com
PDC dc01.test.com
RID pool manager dc01.test.com
Infrastructure master dc01.test.com

คุณสามารถดูบทบาท FSMO สำหรับโดเมนอื่นได้:

netdom query fsmo /domain:a-d.site

ในตัวอย่างนี้ คุณจะเห็นว่าบทบาท FSMO ทั้งหมดอยู่บน DC01 เมื่อปรับใช้ฟอเรสต์ AD ใหม่ (โดเมน) บทบาท FSMO ทั้งหมดจะถูกวางไว้ที่ DC ตัวแรก ตัวควบคุมโดเมนใดๆ ยกเว้น RODC อาจเป็นผู้มีบทบาท FSMO ใดๆ ดังนั้น ผู้ดูแลระบบโดเมนสามารถถ่ายโอนบทบาท FSMO ไปยังตัวควบคุมโดเมนอื่นๆ ได้

คุณสามารถรับข้อมูลเกี่ยวกับบทบาท FSMO ในโดเมนของคุณผ่าน PowerShell โดยใช้ Get-ADDomainController cmdlet (ต้องติดตั้งโมดูล RSAT Active Directory สำหรับ PowerShell):

Get-ADDomainController -Filter * | Select-Object Name, Domain, Forest, OperationMasterRoles |Where-Object {$_.OperationMasterRoles}

หรือคุณสามารถดูบทบาท FSMO ระดับฟอเรสต์หรือโดเมนได้ดังต่อไปนี้:

Get-ADDomain | Select-Object InfrastructureMaster, RIDMaster, PDCEmulator
Get-ADForest | Select-Object DomainNamingMaster, SchemaMaster

นี่คือคำแนะนำทั่วไปของ Microsoft สำหรับการวางบทบาท FSMO ในโดเมน:

  • วางบทบาทระดับฟอเรสต์ (ต้นแบบสคีมาและต้นแบบการตั้งชื่อโดเมน) บนโดเมนหลักที่เป็นเซิร์ฟเวอร์แค็ตตาล็อกส่วนกลางพร้อมกัน

  • วางบทบาท FSMO ของโดเมนทั้งสามไว้บนตัวควบคุมโดเมนเดียวที่มีประสิทธิภาพที่เหมาะสม

  • DC ของฟอเรสต์ทั้งหมดต้องเป็นเซิร์ฟเวอร์ Global Catalog เนื่องจากจะปรับปรุงความน่าเชื่อถือและประสิทธิภาพของ AD ดังนั้นบทบาทหลักของโครงสร้างพื้นฐานจึงไม่จำเป็น หากคุณมี DC ที่ไม่มีบทบาท Global Catalog ให้วางบทบาท Infrastructure Master ไว้

  • อย่าวางงานอื่นใดใน DC เจ้าของบทบาท FSMO

คุณสามารถถ่ายโอนบทบาท FSMO ใน Active Directory ได้หลายวิธี: การใช้สแน็ปอินกราฟิก AD MMC

ntdsutil.exe

หรือ

PowerShell

. การโอนย้ายบทบาท FSMO นั้นมีความเกี่ยวข้องเมื่อปรับโครงสร้างพื้นฐาน AD ของคุณให้เหมาะสม หรือ DC ที่มีบทบาท FSMO ประสบปัญหาความล้มเหลวของฮาร์ดแวร์/ซอฟต์แวร์อย่างรุนแรง มีสองวิธีในการย้ายบทบาท FSMO: การโอนย้าย (เมื่อ DC ทั้งสองพร้อมใช้งาน) หรือ การยึด (เมื่อ DC ที่มีบทบาท FSMO ไม่พร้อมใช้งานหรือใช้งานไม่ได้)

จะถ่ายโอนบทบาท FSMO ด้วย PowerShell ได้อย่างไร

วิธีที่ง่ายและรวดเร็วที่สุดในการถ่ายโอนบทบาท FSMO ในโดเมนคือการใช้ PowerShell cmdlet Move-ADDirectoryServerOperationMasterRole

คุณสามารถถ่ายโอนบทบาท FSMO ครั้งละหนึ่งบทบาทขึ้นไปไปยัง DC ที่ระบุ คำสั่งต่อไปนี้จะย้ายสองบทบาทไปที่ DC02:

Move-ADDirectoryServerOperationMasterRole -Identity dc03 -OperationMasterRole PDCEmulator, RIDMaster

ในอาร์กิวเมนต์ OperationMasterRole คุณสามารถระบุชื่อของบทบาท FSMO หรือดัชนีตามตารางต่อไปนี้:

PDCEmulator0
RIDMaster1
InfrastructureMaster2
SchemaMaster3
DomainNamingMaster4

คำสั่งก่อนหน้าในรูปแบบสั้นมีลักษณะดังนี้:

Move-ADDirectoryServerOperationMasterRole -Identity dc02 -OperationMasterRole 0,1

หากต้องการถ่ายโอนบทบาท FSMO ทั้งหมดในครั้งเดียวไปยังตัวควบคุมโดเมนเพิ่มเติม ให้รันคำสั่งนี้:

Move-ADDirectoryServerOperationMasterRole -Identity dc03 -OperationMasterRole 0,1,2,3,4

การถ่ายโอนบทบาท FSMO โดยใช้ Active Directory Graphic Snap-ins

หากต้องการย้ายบทบาท FSMO คุณสามารถใช้สแน็ปอินกราฟิก Active Directory มาตรฐานได้ การดำเนินการถ่ายโอนควรดำเนินการบน DC ที่มีบทบาท FSMO หากไม่มีคอนโซลภายในของเซิร์ฟเวอร์ ให้ใช้ตัวเลือก เปลี่ยนตัวควบคุมโดเมน และเลือกตัวควบคุมโดเมนในสแน็ปอิน MMC

จะถ่ายโอน RID Master, PDC Emulator & Infrastructure Master ได้อย่างไร

ในการถ่ายโอนบทบาทระดับโดเมน (RID, PDC, Infrastructure Master) จะใช้คอนโซล Active Directory Users and Computers (DSA.msc)

  1. เปิดสแน็ปอิน Active Directory Users and Computers (ADUC)

  2. คลิกขวาที่ชื่อโดเมนของคุณแล้วเลือก Operations Master;

  3. หน้าต่างที่มีสามแท็บ (RID, PDC, Infrastructure) จะปรากฏขึ้น ใช้แท็บเหล่านี้เพื่อถ่ายโอนบทบาทที่เกี่ยวข้องโดยระบุเจ้าของ FSMO ใหม่และคลิกปุ่ม เปลี่ยน

จะโอนบทบาท Schema Master ได้อย่างไร

ในการถ่ายโอน Schema Master FSMO ระดับฟอเรสต์ จะใช้สแน็ปอิน Active Directory Schema

  1. ก่อนที่จะเริ่มสแน็ปอิน คุณต้องลงทะเบียนไลบรารี schmmgmt.dll โดยการเรียกใช้

    regsvr32 schmmgmt.dll

    ในพรอมต์คำสั่ง

  2. เปิดคอนโซล MMC โดยพิมพ์ MMC ในพรอมต์คำสั่ง

  3. เลือก ไฟล์ -> เพิ่ม/ลบสแนปอินจากเมนู และเพิ่มคอนโซล Active Directory Schema;

  4. คลิกขวาที่รูทคอนโซล (Active Directory Schema) แล้วเลือก Operations Master

  5. ป้อนชื่อตัวควบคุมโดเมนที่คุณต้องการโอนบทบาท Schema Master ให้ จากนั้นคลิก เปลี่ยน และตกลง หากไม่มีปุ่มนี้ ให้ตรวจสอบว่าบัญชีของคุณเป็นสมาชิกของกลุ่มผู้ดูแลระบบ Schema

จะถ่ายโอน FSMO ต้นแบบการตั้งชื่อโดเมนได้อย่างไร

  1. หากต้องการถ่ายโอนบทบาท FSMO ของต้นแบบการตั้งชื่อโดเมน ให้เปิดคอนโซล โดเมนและความน่าเชื่อถือของ Active Directory

  2. คลิกขวาที่ชื่อโดเมนของคุณแล้วเลือก Operations Master

  3. คลิก เปลี่ยน ป้อนชื่อตัวควบคุมโดเมน แล้วคลิก ตกลง

การใช้ Ntdsutil.exe เพื่อถ่ายโอนบทบาท FSMO จากพรอมต์คำสั่ง

สำคัญ ใช้เครื่องมือ ntdsutil.exe อย่างระมัดระวัง และตรวจสอบให้แน่ใจว่าคุณรู้ว่ากำลังทำอะไรอยู่ มิฉะนั้น คุณสามารถทำลายโดเมน Active Directory ของคุณได้!

  1. เรียกใช้พรอมต์คำสั่งบนตัวควบคุมโดเมนของคุณและเรียกใช้:

    ntdsutil

  2. ป้อนคำสั่งนี้:

    roles

  3. แล้ว:

    connections

  4. จากนั้น คุณต้องเชื่อมต่อกับ DC ที่คุณต้องการถ่ายโอนบทบาท FSMO ไป ในการดำเนินการ ให้ป้อน:

    connect to server <servername>

  5. พิมพ์

    q

    แล้วกด Enter;

  6. ในการถ่ายโอนบทบาท FSMO ให้ใช้คำสั่งนี้:

    transfer <role>

    โดยที่ คือบทบาทที่คุณต้องการถ่ายโอน ตัวอย่างเช่น:

    transfer schema master

    ,

    transfer RID

    ฯลฯ;

  7. ยืนยันการโอนบทบาท FSMO

  8. เมื่อเสร็จแล้วให้กด

    q

    แล้ว Enter เพื่อออกจาก ntdsutil.exe;

  9. รีสตาร์ทตัวควบคุมโดเมน

การยึดบทบาท AD FSMO

หาก DC ที่มีบทบาท FSMO อย่างใดอย่างหนึ่งเสียหาย (และไม่สามารถกู้คืนได้) หรือไม่พร้อมใช้งานเป็นเวลานาน คุณสามารถบังคับยึดบทบาทใดก็ได้ อย่างไรก็ตาม สิ่งสำคัญอย่างยิ่งคือต้องแน่ใจว่าเซิร์ฟเวอร์ที่คุณยึดบทบาทนั้นต้องไม่ปรากฏในเครือข่าย หากคุณไม่ต้องการให้เกิดปัญหาใหม่กับ AD (แม้ว่าคุณจะกู้คืน DC จากข้อมูลสำรองในภายหลังก็ตาม) หากคุณต้องการคืน DC ที่เสียไปยังโดเมน วิธีเดียวที่ถูกต้องคือลบบัญชี coputer ออกจาก AD ทำการติดตั้ง Windows ใหม่ทั้งหมดด้วยชื่อโฮสต์ใหม่ ติดตั้งบทบาท ADDS และเลื่อนเซิร์ฟเวอร์ไปยังตัวควบคุมโดเมน

คุณสามารถยึดบทบาท FSMO ได้โดยใช้ PowerShell หรือ NTDSUtil

วิธีที่ง่ายที่สุดในการรับบทบาท FSMO คือผ่าน PowerShell ในการดำเนินการนี้ จะใช้ cmdlet Move-ADDirectoryServerOperationMasterRole เดียวกัน แต่เพิ่มพารามิเตอร์ -Force เข้าไป

ตัวอย่างเช่น หากต้องการยึดบทบาท PDCEmulator และบังคับให้ถ่ายโอนไปยัง DC02 ให้รันคำสั่ง:

Move-ADDirectoryServerOperationMasterRole -Identity DC2 -OperationMasterRole PDCEmulator -Force

คุณยังสามารถยึดบทบาท FSMO กับเซิร์ฟเวอร์ DC02 ของคุณโดยใช้ ntdsutil.exe การยึดบทบาทคล้ายกับการถ่ายโอนทั่วไป ใช้คำสั่งต่อไปนี้:

ntdsutil
roles
connections
connect to server DC02 (the server you transfer a role to)
quit

หากต้องการยึดบทบาท FSMO ต่างๆ ให้ใช้คำสั่งเหล่านี้:

seize schema master
seize naming master
seize rid master
seize pdc
seize infrastructure master
quit

บทความที่เกี่ยวข้อง