Active Directory Single-Master ที่ยืดหยุ่น (FSMO) ใช้งานได้จริง

จะเกิดอะไรขึ้นถ้าตัวควบคุมโดเมนล้มเหลว Operations Masters มีงานพิเศษที่ต้องดำเนินการโดย Domain Controller ในโดเมน Active Directory หากตัวควบคุมโดเมนล้มเหลว บทบาทพิเศษนี้จะต้องถูกควบคุมโดยตัวควบคุมโดเมนอื่น หากไม่ยึดอำนาจ ปัญหาจะเกิดขึ้นไม่ช้าก็เร็ว

บทบาทป่ากว้าง

ต้นแบบการตั้งชื่อโดเมน

โครงสร้างโดยรวมสามารถมีได้เพียงตัวควบคุมโดเมนเดียวเท่านั้นและมีความเป็นไปได้ที่จะกำหนดชื่อโดเมนได้

ต้นแบบสคีมา

ต้นแบบสคีมาจะได้รับการติดต่อหากคุณต้องการเปลี่ยนสคีมาฐานข้อมูล เหตุการณ์นี้เกิดขึ้น ตัวอย่างเช่น เมื่อคุณติดตั้ง Exchange Server หรือหากคุณเปลี่ยนสคีมาด้วยตนเอง

บทบาททั้งโดเมน

RID มาสเตอร์

เซิร์ฟเวอร์ที่มีบทบาทนี้จะกำหนด RID (ตัวระบุความปลอดภัย) ให้กับตัวควบคุมโดเมนอื่นๆ (500 ต่อ DC) RID เหล่านี้สามารถใช้โดย DC อื่น ๆ เพื่อสร้างวัตถุ Active Directory เพื่อให้แน่ใจว่า RID ในโดเมนจะไม่ซ้ำกัน มีเพียงหนึ่งเดียวเท่านั้นที่ติดตาม RID

โปรแกรมจำลอง PDC

การเปลี่ยนรหัสผ่านจะถูกจำลองแบบโดยตรงไปยังโปรแกรมจำลอง PDC ของโดเมน โปรแกรมจำลอง PDC ยังเป็นเซิร์ฟเวอร์เวลาของโดเมนและอีกมากมาย ความล้มเหลวของ PDC master มักจะสังเกตเห็นได้เร็วมาก PDC Master อาจต้องเผชิญกับภาระงานหนัก ดังนั้นให้วางบทบาทนี้ไว้บนเซิร์ฟเวอร์ที่มีฮาร์ดแวร์ที่ดีที่สุด ข้อมูลเพิ่มเติมเกี่ยวกับตำแหน่ง FSMO ที่ส่วนท้ายของบทความนี้

ผู้เชี่ยวชาญด้านโครงสร้างพื้นฐาน

Infrastructure Master (ISM) มีหน้าที่รับผิดชอบในการตรวจสอบความสมบูรณ์ของการอ้างอิงระหว่างออบเจ็กต์ Active Directory ที่เชื่อมโยงกับโดเมนอื่น เขาติดต่อ GC ของโดเมนของเขาเองเพื่อตรวจหาการเปลี่ยนแปลงของออบเจ็กต์ (เช่น การเป็นสมาชิกกลุ่ม) ในโดเมนอื่น

ข้อสรุประหว่างกาล

ฉันได้เตรียมภาพหน้าจอซึ่งแสดงให้เห็นหัวข้อนี้ (แต่ค่อนข้างเป็นเชิงทฤษฎี) ในรูปแบบกราฟิก โปรดทราบว่ามี Domain Controller เพียง 2 ตัวเท่านั้นซึ่งมี Schema Master และ Domain Naming Master และมีบทบาททั้งโดเมน 3 บทบาทต่อโดเมน

ใครเป็นเจ้าของบทบาท?

เปิด dsa.msc (ผู้ใช้ Active Directory และคอมพิวเตอร์) คลิกขวาที่ชื่อโดเมนของคุณแล้วเลือก Operations Master... ซึ่งจะแสดงบทบาททั้งโดเมนทั้งหมด

เปิด domain.msc (โดเมน Active Directory และ Trusts) คลิกขวาที่โดเมน Active Directory และ Trusts แล้วเลือก Operations Master...

หรือใช้ netdom query fsmo เพื่อแสดงทั้งหมด เปิด Windows PowerShell แล้วป้อน

netdom query fsmo

Get-ADForest แสดงเฉพาะบทบาท Forest Wide เท่านั้น

Get-ADForest | Select Schema*,Domain*

Get-ADDomain แสดงบทบาท FSMO ทั่วทั้งโดเมนทั้งหมด

Get-ADDomain | Select-Object RID*,PDC*,Infra*

การย้ายบทบาท FSMO

เพื่อจุดประสงค์นี้ Move-ADDirectoryServerOperationmasterRole หรือ ntdsutil เป็นเพื่อนของคุณ

Move-ADDirectoryServerOperationMasterRole -OperationMasterRole RIDMaster -Identity dc01

ntdsutil
roles
connections
connect to server dc01
quit
transfer rid master

การเรียกคืนบทบาท FMSO

ถ้า DC ที่มีบทบาท FSMO ไม่ทำงานอีกต่อไป และไม่สามารถกู้คืนได้ บทบาทนี้จะหายไปในฟอเรสต์หรือโดเมน ในกรณีนี้ บทบาทดังกล่าวจะต้องถูกยึดครองโดย DC อื่น "อย่างรุนแรง" สิ่งสำคัญ: DC เดิมจะต้องไม่ติดต่อโดเมนอีก (มิฉะนั้น: บทบาท FSMO สองเท่าในฟอเรสต์/โดเมน โชคดี!) ?

Move-ADDirectoryServerOperationMasterRole - บังคับย้ายบทบาท

Move-ADDirectoryServerOperationMasterRole -OperationMasterRole RIDMaster -Identity dc01 -Force

อีกทางหนึ่ง สามารถใช้ ntdsutil ได้ ใช้การยึดแทนการโอน

ntdsutil
roles
connect to server dc01
quit
seize rid master

เจาะลึกบทบาท FSMO

แสดงสคีมาต้นแบบและเวอร์ชันสคีมาด้วย Get-ADObject หรือ dsquery

แสดงสคีมาต้นแบบ

Get-ADObject "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -Properties * | Select-Object FSMO*

แสดงเวอร์ชันสคีมา

Get-ADObject "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -Properties * | Select-Object Objectversion | Format-List

dsquery * "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -scope base -attr objectversion -s dc01

แสดงพูล RID

สืบค้นพูล RID บน RID Master

dcdiag /TEST:RidManager /v | find /i "Available RID Pool for the Domain"

แสดงเซิร์ฟเวอร์เวลาของโดเมน (PDC Master)

ค้นหา PDC Master ด้วย w32tm /monitor

w32tm /monitor