AD --- 活动目录的日常管理操作(2)

第一节:FSMO规划最佳实践:将森林级别的FSMO角色放置于森林根域的全局编目服务器上 将两个森林级别的FSMO角色放置于同一台域控制器上  将三个域级别的FSMO角色放置于同一台高性能的域控制器上  不建议将域级别的FSMO角色放置于全局编目服务器上  降低PDC仿真器的负载--修改注册表   架构主控的规划:占有架构主控的域控制器必需保证高可用性,但是不是必需拥有高性能  域命名主控的规划:占有域名命主控的域控制器必需保证高可用性,但是不是必需拥有高性能.且该DC必需同时也是全局编录服务器  PDC仿问器的规划:占有PDC仿真器的域控制器必需保证同时拥有高可用性和高性能   RID主控的规划:占有RID主控的域控制器必需保证高可用性,但是不是必需拥有高性能  基础架构主控的规划:占有RID主控的域控制器可以忽略可用性和性能方面的考虑,但是不能把基础架构主控同全局编目服务器放在同一台与控制器上

第二节:转移操作主控  强占操作主控

  首先从windows server 2000安装光盘里面找到SUPPORT文件夹--TOOLS--双击SETUP把这个工具安装上   通过开始--运行--输入cmd按确定来打开命令提示符 在命令提示符里面输入netdom query fsmo /domain:Nwtraders.Msft按回车键后  可以看到5种角色了 都是在Beijing这台计算机上   因为Beijing这台DC是整个森林内第一台DC 所以森林里面的Schema owner  Domain role owner 这两个角色在这台计算机上  森林根域的 PDC role   RID pool manager   Infrastructure owner这三个角色也在这台计算机上 netdom这个工具可以本标识出当前域内的所有FSMO角色  我再来查那个子域的FSMO角色看一下  输入netdom query fsmo /domain:Subdom.Nwtraders.Msft按回车键后  也可以看到5种角色  因为它是一个子域 森林里面的两个角色在Beijing这台计算机上  而森林根域的三个角色就在本计算机上(Hangzhou)   

通过开始--程序--Windows 2000 Support Tools--Tools--按ADSI Edit  实际上就是打开活动目录数据库了 比如我现想查谁是Schema Master 对着CN=Schema,CN=Configuration,DC=Nwtraders,DC=Msft这一项右键--选择属性 在Select a property to view那一项选择fSMORoleOwner那一项    在Value(s)那一项可以看到BEIJING那台DC是Schema Master   另外那四种角色也同样就这样查的 就是在Select a property to view那一项选择fSMORoleOwner那一项  然后在Value(s)里面就可以看到这个角色是在那台计算机上了    

SID的组成是这样的 s-1-5-21-xxxx-yyyy-zzz-mmmm 中间那三段叫做Domain sid  这三段是用来标识一个域的  换句话说 同一个域内的所有的用户 这三段都是一样的   最后一段mmmm就叫做rid  如果要保证同一个域内的用户  它们的sid是不冲突的  关键是rid不一样就可以了  怎么样确保rid不一样呢？就是RIDMaster的作用  它分配可用的RID池给域内DC  防止安全主体的SID冲突 这个可用的RID池实际上是有600个RID 当你的DC去创建用户的时候就从可用RID池里面拿 只要这个DC保证不分配重复的RID就可以了  假如一个域有10台DC  RIDMaster主要确保这10台DC可用的RID池是不一样的 不管在那台DC上创建用户 创建出来的每个用户的SID都不一样   

在命令提示符里面输入dcdiag /v 按回车键后    可以看到一项Starting test:RidManager  可以看到这个域可用的RID池是从2101到1073741823  可以看到Beijing这台计算机是RID Master  当前这台DC可用的范围是从1101到1600  rIDNextRID:1106 这个表示也就是下一次创建的用户 它的RID是1106

谁是nwtraders.msft这个名称空间下的DC呢?  可以查什么得到呢?  可以查SRV记录得到   展开nwtraders.msft这个域--msdcs--dc--按tcp   可以看到beijing这台计算机是DC   shanghai那台计算机也是DC    客户端通过DNS去查询  客户端到底要用那台DC呢? 一般情况下优先级越低会越被优先使用 负担越高会越被优先使用 怎么样降低PDC的负载呢? 通过修改PDC的SRV记录 beijing这台计算机是PDC 我现在把beijing这台计算机的优先级改成10   负担改成50   这个时候就不会被优先使用beijing这台DC了   注意:不要在ldap属性里面改  在这里改是没有用的  一旦重启计算机就又变成原值了     在命令提示符里面输入net stop netlogon & net start netlogon按回车键后就停止Net Logon服务并且再重启NetLogon服务   当你重启计算机的时候这个服务一定会重启的  当你重启net logon服务后  beijing这台DC的优先级和负担又变成原值了    你不应该通过这种方式改   怎么改呢?  修改注册表

通过开始--运行--输入regedit按确定来打开注册表编辑器    在注册表编辑器里面的找到左下角那个路径 按Parameters 在右边的空白处右键--新建--选择双字节值   创建二个  一个叫做ldapsrvpriority(优先级)数值数据为50  一个叫做ldapsrvweight(负担)数值数据为10  在命令提示符里面输入net stop netlogon & net start netlogon按回车键 重启net logon服务后你就发现跟这个DC所有相关的SRV记录都变成我在注册表编辑器里面设置的值了  所以你可以在注册表编辑器里面加这二个键值来降低客户端对PDC的访问  展开pdc--按tcp--双击ldap后就可以看到优先级变成50  负担变成10了 

  在命令提示符里面输入netdom query fsmo按回车键后   可以看到这个域内的5种角色都给Beijing这台计算机占用   但是因为Beijing这台计算机的性能的原因   我觉得它不适合充当这个角色了   我想把它转移走    怎么转移呢?  实际上是有二种方式 一种是通过图形页面转移  打开Active Directory用户和计算机  对着域名右键--选择操作主机   可以看到RID PDC 结构  你可以在这里面做转移  另一种方式是在命令提示符里面操作   输入ntdsutil按回车键  输入roles按回车键   输入con按回车键  输入con to ser shanghai.nwtraders.msft按回车键  就是说我现在要绑定到shanghai这台计算机上  我要把我的所有角色都转移到shanghai那台计算机上   输入quit按回车键   输入trans sch ma按回车键后  它就问您确实想让服务器"shanghai.nwtraders.msft" 到为企业传送架构主机?  你按是就ok了

在命令提示符里面输入netdom query fsmo /domain:nwtraders.msft按回车键后   就可以看到刚才转移的Schema owner 已经给Shanghai这台计算机了     在命令提示符里面输入trans pdc按回车键后 它就问您确实想让服务器"shanghai.nwtraders.msft"到将主机送到域?   你按是就ok了    同样可以在命令提示符里面输入netdom query fsmo /domain:nwtraders.msft按回车键后  就看到PDC已经转移到shanghai这台计算机了  

我现把shanghai那台计算机关掉了 反正当作不存在了 不可用DC了   在命令提示符里面输入ntdsutil按回车键  输入roles按回车键 输入con按回车键  输入con to ser beijing.nwtraders.msft按回车键后就绑定在beijing这台计算机上了  输入quit按回车键  输入trans pdc按回车键后很久没有反应 然后就出现错误了   请求的 FSMO 操作失败 不能连接当前的 FSMO 盒   就是说我现在要把以前转移给shanghai那台DC的二个角色抢占过来   输入seize pdc按回车键后  它就问您确实想让服务器"beijing.nwtraders.msft" 用下列值取代PDC角色?   你按是就ok了    注意:抢占操作会导致数据丢失我们绝对不建议抢占操作的  当你把shanghai那台DC的角色抢占过来后  再也不要修复shanghai那台DC了  如果你再把shanghai那台DC修复好再启动后会发生一些不可预知的事情  就是说你以前有一台DC 它有操作主控 后来被人抢占走了  那要记住原来那台DC最好不要让它回到原来那个域当中了 不要再启动它了   

通过开始--运行--输入%systemroot%/ntds按确定   按工具--选择文件夹选项--查看--把隐藏受保护的操作系统文件(推荐)的沟去掉  选择显示所有的文件和文件夹  把隐藏已知文件类型的扩展名的沟去掉 按确定后就可以   看到ntds.dit这个文件  整个活动目录数据库都在这个文件里面    edb.log这个文件代表事务日志文件   edb.chk是检查点文件 res1.log  res2.log是保留日志文件 

第二节:活动目录数据库维护   什么情况下手动维护数据库:数据库所在分区磁盘空间低  数据库容量太大导致备份时间过长 硬件失败  转移活动目录数据库:确定活动目录数据库大小  备份系统状态数据  重新启动计算机进入DSRM模式  使用NTDSUTIL.exe转移活动目录数据库  重新启动计算机   备份系统状态数据  

   在地址里面输入c:\boot.ini按回车键后就可以看到里面的内容了   然后你把multi(0)disk(0)rdisk(0)partition(1)\WINNT="Microsoft Windows 2000 Advanced Server" /fastdetect复制  粘贴到下一行 再加上DSRM   /safeboot:dsrepair按保存就ok了  当你再重新启动的时候就出现二个选项   你按DSRM那一项就直接进入活动目录还原模式了   

注意:在进入活动目录还原模式前一步的管理员密码不是域管理员密码  而是你安装活动目录的时候输入的密码   假如我忘记活动目录还原模式密码了 怎么办呢？ 如果是在windows2000上就用域管理员登录到常规模式在命令提示符里面输入setpwd按回车键 然后再重新设置活动目录还原模式的密码就ok了

我现在已经进活动目录还原模式了 在命令提示符里面输入ntdsutil按回车键  输入file按回车键   输入move db to c:\ntds按回车键就ok了   就是说我现在要把活动目录数据库转移到C盘下的ntds文件夹里面  可以在命令提示符里面看到工作目录:c:\ntds表示已经转移成功了    我现在把ntds这个文件夹打开 已经可以看到ntds.dit(活动目录数据库)文件和edb.chk(检查点)文件了

在命令提示符里面输入ntdsutil按回车键   输入file按回车键  输入move log to c:\ntdslog按回车键  就把log文件转移到ntdslog这个文件夹了   打开ntdslog这个文件夹后可以看到edb.log  res1.log  re2.log这三个文件了   转移成功后就重新启动计算机   马上备份系统状态数据

收缩活动目录数据库:查看数据库空闲空间大小(online)  备份系统状态数据  重新启动计算机进入DSRM模式  使用ESENTUTL工具查看数据库空间(offline)  使用NTDSUTIL.exe工具收缩数据库  重新启动计算机   备份系统状态数据  

在命令提示符里面输入esentutl /ms c:\ntds\ntds.dit /8按回车键   因为活动目录的数据库每个页面大小是8K  所以就在后面加/8  然后可以看到一张表    Owned表示这个活动目录的每一个表格占用了多少页  Available表示这个表格有多少空闲的页  最后有一个总结可以看到一共空闲了273页   我用计算机来算一下 每一页是8K  273X8=2184  可以知道大概空闲2M空间 

在命令提示符里面输入ntdsutil按回车键  输入file按回车键  输入compact to c:\temp按回车键   c:\temp就是说我要把这个压缩文件放到C盘下的temp这个文件夹里面  你也可以看到是通过那一个执行指令来完成压缩的  压缩完成之后就重新启动计算机  备份系统状态数据 

从活动目录数据库中删除对象:isDeleted 属性  Deleted Objects 容器  TombStone 周期  Garbage Collection 机制  Garbage Collection 周期

假如我现在把ccc这个联络人删除掉   通过开始--运行--输入adsiedit.msc按确定   找到CN=Users--CN=ccc 双击它打开属性  在Select a property to view那一项选择isDeleted   如果下面Edit Attribute那一项显示为True就表示这个联络人已经被删除掉了 

  在命令提示符里面输入ldp按回车键  按connection--按connect 输入beijing按ok 按connection--按Bind  输入用户名和密码按ok  按View--按Tree  输入cn=deleted objects,dc=nwtraders,dc=msft按ok  这个容器实际上是存在的 但是它告诉我无所对象 为什么呢？你要看容器里面的东西  要做一下设置的  按Options--按Controls  在里面输入一些东西  在windows2000上要自己手动输入  如果你用的是windows 2003的支技工具 它把那个GUID给列出来  你可以直接在这个地方 把OID添加进去就可以了  在Contols右边它会列出一项叫做return deleted object 然后你选择return deleted object 选择Check in 再打开这个容器 你就可以看到你所有的从这个DC上删除的对象了  你可以从这里把一个对象恢复出来 对象放在这里有一个TombStone 周期 是60天   过了60天后就等垃圾回收来清理它  

在ADSI Edit里面找到  CN=Directory Service 右键--选择属性  在Select a property to view那一项选择garbageCollPeriod 这个表示垃圾回收的一个周期 如果我在Edit Attribute里面设置成1  那么过1小时后就把deleted object里面的清理掉已经过期的对象作处理    在Select a property to view那一项选择tombstoneLifetime  如果我在Edit Attribute里面设置成1 那么被删除的对象它在deleted object里面存在1天  按Set  按确定  就开始生效了