深入理解AD 域環(huán)境中操作主機(jī)角色概述在Win2003多主機(jī)復(fù)制環(huán)境中，任何域控制器理論上都可以更改ActiveDirectory 中的任何對(duì)象。但實(shí)際上并非如此，某些AD 功能不允許在多臺(tái)DC 上完

深入理解AD 域環(huán)境中操作主機(jī)角色

概述

在Win2003多主機(jī)復(fù)制環(huán)境中，任何域控制器理論上都可以更改ActiveDirectory 中的任何對(duì)象。但實(shí)際上并非如此，某些AD 功能不允許在多臺(tái)DC 上完成，否則可能會(huì)造成AD 數(shù)據(jù)庫(kù)一致性錯(cuò)誤，這些特殊的功能稱為“靈活單一主機(jī)操作”，常用FSMO 來(lái)表示，擁有這些特殊功能執(zhí)行能力的主機(jī)被稱為FSMO 角色主機(jī)。在Win2003 AD域中，F(xiàn)SMO 有五種角色, 分成兩大類: 林林級(jí)別(在整個(gè)林中只能有一臺(tái)DC 擁有訪主機(jī)角色)

1：架構(gòu)主機(jī) (Schema Master)

2：域命令主機(jī) (Domain Naming Master)

域級(jí)別(在域中只有一臺(tái)DC 擁有該角色)

3：PDC 模擬器(PDC Emulator)

4：RID 主機(jī) (RID Master)

5：基礎(chǔ)架構(gòu)主機(jī) (Infrastructure Master)

本文分別從以下幾個(gè)方面深入理解操作主機(jī)

● FSMO操作主機(jī)角色功能

● 查看和更改操作主機(jī)角色的方法

● 操作主機(jī)放置優(yōu)化建議

一：FSMO 角色功能

1：架構(gòu)主機(jī)

控制活動(dòng)目錄整個(gè)林中所有對(duì)象和屬性的定義，具有架構(gòu)主機(jī)角色的DC 是可以更新目錄架構(gòu)的唯一 DC。這些架構(gòu)更新會(huì)從架構(gòu)主機(jī)復(fù)制到目錄林中的所有其它域控制器中。 架構(gòu)主機(jī)是基于目錄林的，整個(gè)目錄林中只有一個(gè)架構(gòu)主機(jī)。

2：域命令主機(jī)

向目錄林中添加新域。

從目錄林中刪除現(xiàn)有的域。

添加或刪除描述外部目錄的交叉引用對(duì)象.

3：PDC 模擬器

●向后兼容低級(jí)客戶端和服務(wù)器，擔(dān)任NT 系統(tǒng)中PDC 角色

●時(shí)間同步服務(wù)源，作為本域權(quán)威時(shí)間服務(wù)器，為本域中其它DC 以及客戶機(jī)提供時(shí)間同步服務(wù)，林中根域的PDC 模擬器又為其它域PDC 模擬器提供時(shí)間同步!

●密碼最終驗(yàn)證服務(wù)器，當(dāng)一用戶在本地DC 登錄，而本地DC 驗(yàn)證本地用戶輸入密碼無(wú)效時(shí)，本地DC 會(huì)查詢PDC 模擬器，詢問(wèn)密碼是否正確。

●首選的組策略存放位置，組策略對(duì)象(GPO)由兩部分構(gòu)成：GPT 和GPC ，其中GPC 存放在AD 數(shù)據(jù)庫(kù)中，GPT 默認(rèn)存放PDC 模擬器在

[url=file://windows/sysvol/sysvol/

●域主機(jī)瀏覽器，提供通過(guò)網(wǎng)上鄰居查看域環(huán)境中所有主機(jī)的功能 4：主機(jī)角色：RID 主機(jī)

Win2003環(huán)境中，所有的安全主體都有SID ，SID 由域SID 序列號(hào)組合而成，

后者稱為“相對(duì)ID ”(Relative ID,RID), 在Win2003環(huán)境中，由于任何DC 都可以創(chuàng)建安全主體，為保證整個(gè)域中每個(gè)DC 所創(chuàng)建的安全主體對(duì)應(yīng)的SID 在整個(gè)域范圍唯一性，設(shè)立該主機(jī)角色，負(fù)責(zé)向其它DC 分配RID 池(默認(rèn)一次性分配512個(gè)) ，所有非RID 在創(chuàng)建安全實(shí)體時(shí)，都從分配給的RID 池中分配RID ，以保證SID 不會(huì)發(fā)生沖突!

5：基礎(chǔ)架構(gòu)主機(jī)

基礎(chǔ)結(jié)構(gòu)主機(jī)的作用是負(fù)責(zé)對(duì)跨域?qū)ο笠眠M(jìn)行更新，以確保所有域間操作對(duì)象的一致性。

基礎(chǔ)架構(gòu)主機(jī)工作機(jī)制是定期會(huì)對(duì)沒(méi)有保存在本機(jī)的引用對(duì)象信息，而對(duì)于GC 來(lái)說(shuō)，會(huì)保存當(dāng)前林中所有對(duì)象信息。如果基礎(chǔ)架構(gòu)主機(jī)與GC 在同一臺(tái)機(jī)，基礎(chǔ)架構(gòu)主機(jī)就不會(huì)更新到任何對(duì)象。所以在多域情況下，強(qiáng)烈建議不要將基礎(chǔ)架構(gòu)主機(jī)設(shè)為GC 。

二：標(biāo)準(zhǔn)圖形界面查看和更改操作主機(jī)角色的方法

1：查看和更改架構(gòu)主機(jī)角色：

步驟：注冊(cè)：regsvr32schmmgmt

在MMC 中添加AD 架構(gòu)管理單元

打開(kāi)MMC 控制臺(tái)，選中“Active Directory 架構(gòu)”擊“右鍵”，選擇“操作主機(jī)”。

打開(kāi)更改架構(gòu)頁(yè)面后，點(diǎn)擊“更改”按鈕就可以進(jìn)行架構(gòu)主機(jī)角色的更換

2:查看和更改PDC 模擬器,RID 主機(jī)以及基礎(chǔ)結(jié)構(gòu)主機(jī)

步驟：開(kāi)始-設(shè)置-控制面板-管理工具-Active Directory用戶和計(jì)算機(jī) 選定當(dāng)前域名，右鍵單擊，選擇“操作主機(jī)”

在打開(kāi)的頁(yè)面中，通過(guò)點(diǎn)擊“更改”按鈕就可以對(duì)RID 主機(jī)，PDC 模擬器以及基礎(chǔ)結(jié)構(gòu)主機(jī)角色進(jìn)行更改

3：查看和更改域命名主機(jī)角色

步驟：點(diǎn)擊“開(kāi)始-設(shè)置-控制面板-管理工具-Active Directory域和信任關(guān)系”:

選中“Active Directory域和信任關(guān)系”，右鍵單擊，選擇“操作主機(jī)”

在打開(kāi)的窗口中，點(diǎn)擊“更改”按鈕就可以實(shí)現(xiàn)對(duì)域命名主機(jī)角色進(jìn)行更改

三：利用復(fù)制監(jiān)視器Replmon 查看和檢查操作主機(jī)角色

復(fù)制監(jiān)視器Replication Monitor(ReplMon)是針對(duì)Windows Server的故障查找工具, 不但是定位活動(dòng)目錄復(fù)制故障強(qiáng)有利的工具，同時(shí)也可以使用該工具查看和檢查操作主機(jī)角色狀態(tài)。

詳細(xì)Replmon 工具使用方法本文不做過(guò)多說(shuō)明，這里只列出如何使用Replmon 工具查看和檢查操作主機(jī)角色狀態(tài)。

步驟：選中當(dāng)前DC ，右鍵單擊，選擇“Properties ”

在彈出窗口中，選擇“FSMO Roles”分窗口

在彈出窗口中，選擇“FSMO Roles”分窗口

在該窗口，列出所有的FSMO 操作主機(jī)，同時(shí)通過(guò)“Query ”按鈕，可以檢測(cè)出當(dāng)前DC 與FSMO 操作主機(jī)之間通訊是否正常。

四：使用命令行工具查看和更改操作主機(jī)角色

有多個(gè)工具可以實(shí)現(xiàn)在命令行下查看操作主機(jī)角色，下面只列出幾種常見(jiàn)方法

注意，下面對(duì)應(yīng)的工具有些需要安裝Win2003 Support Tools工具 1：使用Netdom 工具查看操作主機(jī)角色

Netdom Query FSMO

2：使用Dsquery 工具查看操作主機(jī)角色

Dsquery Server –Hasfsmo Schema //查看架構(gòu)主機(jī)

Dsquery Server –Hasfsmo Name //查看域 主機(jī)

Dsquery Server –Hasfsmo PDC //查看PDC 模擬器主機(jī)

Dsquery Server –Hasfsmo RID //查看RID 主機(jī)

Dsquery Server –HasfsmoInfr //查看基礎(chǔ)結(jié)構(gòu)主機(jī)

3：使用Ntdsutil 工具更改操作主機(jī)角色

Ntdsutil 工具的功能非常強(qiáng)大，可以進(jìn)行AD 數(shù)據(jù)庫(kù)維護(hù)，查看和更換操作主機(jī)角色以及刪除無(wú)法通過(guò)圖形界面刪除的DC 遺留的元數(shù)據(jù)。通過(guò)Ntdsutil 工具不但可以清理無(wú)效的DC 信息，也可以使用Transfer 子命令轉(zhuǎn)移操作主機(jī)角色，使用Seize 子命令?yuàn)Z取操作主機(jī)角色。Ntdsutil 具體使用方法請(qǐng)參考KB ：http://support.microsoft.com/kb/255504/

五：操作主機(jī)角色放置優(yōu)化配置建議

默認(rèn)情況下，架構(gòu)主機(jī)和域命名主機(jī)角色是在根域的第一臺(tái)DC 上，而PDC 模擬器，RID 主機(jī)和基礎(chǔ)結(jié)構(gòu)主機(jī)默認(rèn)放置在當(dāng)前域的第一臺(tái)DC 上。特別是在單域環(huán)境中，按默認(rèn)安裝，第一臺(tái)DC 會(huì)同時(shí)擁有這五種FSMO 操作主機(jī)角色。萬(wàn)一這臺(tái)DC 損壞，會(huì)對(duì)域環(huán)境造成極大風(fēng)險(xiǎn)!

常見(jiàn)的操作主機(jī)角色放置建議如下：

1：架構(gòu)主機(jī)：擁有架構(gòu)主機(jī)角色的DC 不需要高性能，因?yàn)樵趯?shí)際環(huán)境中不會(huì)經(jīng)常對(duì)Schema 進(jìn)行操作的，除非是經(jīng)常會(huì)對(duì)Schema 進(jìn)行擴(kuò)展，不過(guò)這種情況非常的少。但要保證可用性，否則在安裝Exchange 等會(huì)擴(kuò)展AD 架構(gòu)的軟件時(shí)會(huì)出錯(cuò)。

2：域命名主機(jī)：對(duì)占有域命名主機(jī)的DC 也不需要高性能，在實(shí)際環(huán)境中也不會(huì)經(jīng)常在森林里添加或者刪除域的。但要保證高可用性是有必要的，以保證在添加刪除當(dāng)前林中域時(shí)可以使用。

一般建議由同一臺(tái)DC 承擔(dān)架構(gòu)主機(jī)與域域命名主機(jī)角色，并由GC 放置在同一臺(tái)DC 中。

3：PDC 模擬器：從上述PDC 功能中可以看出，PDC 模擬器是FSMO 五種角色里任務(wù)最重的，必須保持擁有PDC 的DC 有高性能和高可用性。

4：RID 主機(jī)：對(duì)于占有RID Master 的域控制器，沒(méi)有必要一定要求高性能，因?yàn)榻o其它DC 分配RID 池的操作不是經(jīng)常性發(fā)生，但要求高可用性，否則在添加用戶時(shí)出錯(cuò)。

5：基礎(chǔ)架構(gòu)主機(jī)：對(duì)于單域環(huán)境，基礎(chǔ)架構(gòu)主機(jī)實(shí)際上不起作用，因?yàn)榛A(chǔ)架構(gòu)主機(jī)主要作用是對(duì)跨域?qū)ο笠眠M(jìn)行更新，對(duì)于單域，不存在跨域?qū)ο蟮母?。基礎(chǔ)架構(gòu)主機(jī)對(duì)性能和可用性方面的要求較低。

建議將PDC 模擬器，RID 主機(jī)以及基礎(chǔ)結(jié)構(gòu)主機(jī)放置在一臺(tái)性能較好的DC 中，且盡量不要配置成GC 。