AD之操作主机的夺取以及从DC的强制降级
本文来源IT哇咔作者：至冬、寒江雪 http://windows.itwaka.com/domain/69730.html
AD定义了五种操作主控角色（FSMO）分别为：
| 架构主控 schema master | 作用于林级别(一个林中只能有一个架构主控) |
| 域命名主控 domain naming master | 作用于林级别 |
| 相对标识号 (RID) 主控 RID master | 作用于域级别(一个域中只能有一个架构主控) |
| 主域控制器模拟器 (PDC) | 作用于域级别 |
| 基础结构主控 infrastructure master | 作用于域级别 |
架构主控（Schema Master）作用于林级别
功能：控制活动目录内所有对象/属性的定义
提示：Regsvr32 schmmgmt.dll（注册架构主控） 属于Schema Admins组
故障影响：更新Schema受影响、短期内一般看不到影响
典型问题如：无法安装Exchange
故障处理：只能使用夺取操作，且不可逆向转移，确保原PDC宕机情况下才可使用
若修改AD的架构，只能从架构主机上进行操作。很多高级服务器产品在部署时都需修改AD的架构，如Exchange。若在域中部署Exchange时无法在线联系架构主机，则Exchange的部
署就无法继续。MCSE考题曾考过此知识点
域命名主控（Domain Naming Master）作用于林级别
功能：控制森林内域的添加和删除、添加和删除对外部目录的交叉引用对象
提示：建议与GC配置在一起 属于Enterprise Admins组
故障影响：更改域结构受影响、短期内一般看不到影响
典型问题如：添加/删除域
故障处理：只能使用夺取操作，且不可逆向转移，确保原PDC宕机情况下才可使用
主要负责控制域林内域的添加或删除，即若在林域内添加一个新域，必须由域命名主控判断域名合法，操作才可以继续。如果域命名主控不在线，就无法完成林域内的新域创建。
除了对域名做诠释。
还负责添加或删除描述外部目录的交叉引用对象。
RID主控（RID Master）作用于域级别
功能：管理域中对象相对标识符（RID）池
对象安全标识符（SID）=域安全标识符+相对标识符（RID）*
如：S-1-5-21-1343024091-879983540-3…
S-1-5-21-D1-D2-D3-RID，S是SID的缩写，1是SID的版本号，5代表授权机构，21代表子授权，D1-D2-D3是三个数字，代表对象所在的域或计算机，RID是对象在域中或计算机中的相
对号码。管理员的SID为S-1-5-21-3855104193-3464347045-3256418734-500，其中的RID是500。
故障影响：无法获得新的RID池分配
典型问题如：无法新建（大量）用户帐号故障处理：只能使用夺取操作，且不可逆向转移，确保原PDC宕机情况下才可使用
RID是SID的一部分， 作用即为AD提供一个可用的RID池（默认500个）而且当池中的RID被消耗到一定程度后再自动补充满。如果RID主机出现故障，显然会对我们创建大量的用户账号造成麻烦。
PDC模拟主控（PDC Emulator）作用于域级别功能：模拟Windows NT PDC、默认的域主浏览器、默认的域内权威的时间服务源、统一管理域帐号密码更新、验证及锁定
提示：PDC模拟主控不仅是模拟NT PDC、一般负荷较大
故障影响：底端客户不能访问AD、不能更改域帐号密码、浏览服务问题、时间同步问题。
故障处理：需要及时地恢复，可以使用转移操作，PDC在线情况下转移到其他主机上。
兼容NT4服务器；优先成为主浏览器（即网络中的一种计算机角色：维护网上邻居中计算机列表）；AD的优先复制权（AD内容发生变化时优先复制到PDC中）；充当域内的权威时间源；组策略的首选存储地点。
基础结构主控（Infrastructure Master）作用于域级别
功能：负责对跨域对象引用进行更新
提示：单域情况下基础结构主机不需要工作、不能同时和GC配置在一起（单DC除外）故障影响：外域帐号不能识别，标记为SID
故障处理：需要比较及时地恢复，可以使用转移操作，PDC在线情况下转移到其他主机上。
结构主机的作用是负责对跨域对象的引用进行更新，假如A域的一个用户加入了B域的一个组，B域的结构主控就会负责关注A域的这个用户是否发生了什么变化，如是否被删除了，结构主控的工作可以确保域间对象引用的可操作性。
如为一个单域，基本上用不着结构主控做什么工作。
如果在一个多域的林环境，结构主控不要和GC（全局编录）放在同一台DC上，否则结构主控无法正常工作。
操作主控的放置建议
默认情况：架构主控在根域的第一台DC上、域命名主控在根域的第一台DC上、其他三个主控（RID主控、PDC模拟主控、基础结构主控）角色在各自域的第一台DC上
考虑问题：和GC的冲突、性能考虑
手工优化：基础结构主控与GC不放在一起；域命名主控与GC放在一起；架构主控与域命名主控可放在一起；PDC模拟主控建议单独放置。
实验环境：
Ad域：corp.cn DC两台 一台主dc dc1.corp.cn 一台从dc win2k3.corp.cn
实验要求：
将5种操作主机在夺取到win2k3上
关掉dc1 在win2k3上
Fsmo maintenance：Seize domain naming master
Fsmo maintenance：Seize infrastructure master
Fsmo maintenance：Seize PDC
Fsmo maintenance：Seize RID master
Fsmo maintenance：Seize schema master
被抢夺的dc最好直接格盘，在格盘前不要连接到网络
查看抢夺后的操作主机
安装光盘里的supporttools
抢夺成功！ 也可在管理工具里看操作主机~
实验要求：
Dc1 出了问题 从dc win2k3的强制降级
Win2k3上
若降级出现这种问题 则需要将域的5个操作主机夺取过来 并将gc设置为自己
即可
若出现
应用程序目录无法删除的情况 则需手动删除了
Delete nc DC=ForestDnsZone，DC=corp，DC=cn
Delete nc DC=DomainDnsZone，DC=corp，DC=cn
即可！
http://windows.itwaka.com/domain/69730.html