额外域控制器问题

问题描述：现已有主域和辅助域控制器各一台，因为主域控制器电脑性能太差，想更换新主机，原想把新机器加入域然后更换操作主机来实现，但在新机加入AD时提示操作用户权限不够，没有加入域的权限，用的是Administrator管理员权限,且管理员权限为默认,没有做过更改,在加入AD时,弹出名为"新凭据"的窗口,说(因为:未能修改机器帐户PDC$的必须属性"拒绝访问",操作失败)下面提示:输入一个帐户的用户名和密码,该帐户应有足够特权以在域中创建额外的域控制器.再下面就是要重输用户和密码的地方.以前从来没有碰过这种情况.不过之前装过根证书服务,后来又卸掉不知有没有关系,如何解决?

解决方法：
假设你的域叫domian.com
打开Active Directory 用户和计算机-->右击domain.com-->查看-->高级功能打勾
右击domain.com-->属性-->安全，点选administrators（或者你所想赋予权限的用户），在administrators的权限中，有个更改PDC，打勾，确定，大功告成！！
现在不明白的就是，为什么默认的更改PDC前面的勾会没有了！（+）同时在域环境下安装了证书服务并启用了企业根证书后，安装证书的域控制器就不能退出域？是的，所有关于更改计算机名称等等的操作都不可以！