AD ---- 活动目录的日常管理操作(3)

    AD ---- 活动目录的日常管理操作(3)

 

大纲:管理SYSVOL文件夹  管理时间服务  管理长期离线的DC  维护SYSVOL:什么是SYSVOL  对SYSVOL的日常维护任务:位置规划 日志监控-文件复制服务日志 性能监视  对SYSVOL的特殊维护操作 SYSVOL的非常规维护:移动SYSVOL  为Staging Area分配额外的空间 还原/重建SYSVOL   移动SYSVOL:何时需要移动SYSVOL  如何移动SYSVOL  通过开始--运行--输入c:\WINNT按确定后就可以看到一个SYSVOL文件夹--双击SYSVOL文件后就可以看到一个共享的sysvol文件夹--双击共享sysvol文件夹后就可以看到当前域的域名--双击这个域后就可以看到一个Policies文件夹   一个共享的scripts(脚本)文件夹--双击Policies文件后就可以看到两条默认的策略  一条是域安全策略  一条是域控制器安全策略  相对应的数字和字母是这条策略的GUID名   如果在Nwtraders.Msft(域名)这个文件夹里面新建一个文本文件   也会出现在domain这个文件夹里面  在命令提示符里面输入dcdiag /test:replication按回车键来测试检查复制的状态  看它的复制是否能正常启动和运行 在命令提示符里面输入dcdiag /test:netlogons按回车键来测试netlogon的一个权限 看这台DC是否能够进行相关的复制  当这两个测试都完成了以后  证明这台DC是能够进行复制的 在命令提示符里面输入net stop ntfrs按回车键  停止frs服务    因为frs服务(文件复制服务)在运行的过程中可能会导致这些信息由于被锁定而无法进行调整   我在D盘里面新建一个叫做SYSVOL的文件夹  然后把WINNT里面的SYSVOL文件夹里面所有的文件复制--粘贴到D盘里面的SYSVOL文件夹里面 注意:SYSVOL文件夹不要备份到C盘 把它放到其他盘里面  通过开始--运行--输入regedit按确定来打开注册表编辑器  找到注册表编辑器下面那个路径--双击SysVol这个键值 它记录了SYSVOL文件夹所定义的位置 我把它重新定义到D盘里面的SYSVOL文件夹里面  在数值数据里面改成D:\SYSVOL\sysvol 按确定  通过开始--运行--输入adsiedit.msc按确定 找到CN=NTFRS这一项  对着CN=Domain System Volume右键--选择属性  在Select which properties to view 那一项选择Mandatory 在Select a property to view那一项选择fRSStagingPath   在Edit Attribute 那一项输入D:\SYSVOL\staging\domain  按Set  按确定就ok了  首先要安装windows server 2000Resource kit工具包  才能使用linkd这个命令   在命令提示符里面输入cd winnt按回车键  输入cd sysvol按回车键  输入cd staging areas按回车键  输入dir按回车键    可以看到一项<JUNCTION>    Nwtraders.Msft  它表示是一个挂接点   我现在把这个挂接点重新挂接到目标   输入linkd Nwtraders.Msft d:\sysvol\staging\domain按回车键后这个挂接点就挂接到新的指向位置了    通过开始--运行--输入adsiedit.msc按确定打开它   找到CN=Domain System Volume 右键--选择属性   在Select which properties to view 那一项选择Mandatory 在Select a property to view那一项选择fRSRootPath  在Edit Attribute 那一项输入D:\sysvol\domain  按Set  按确定 那么这个值就会更新到数据库里面了 在命令提示符里面输入cd.. 按回车键   输入cd sysvol按回车键   输入dir按回车键   输入linkd Nwtraders.Msft d:\sysvol\domain 按回车键   这样sysvol就可以定义到新的位置了 通过开始--运行--输入regedit按回车键来打开注册表编辑器   找到注册表编辑器下面的那个路径 双击BurFlags这个键值 在数值数据里面改成d2按确定  把它改成d2的意义在于我设置当前这台DC的sysvol为一个不可信的sysvol也就是说它离线了一段时间 在它连机的时候 它必需马上从其他DC上面获得相关的复制才能正常工作    由于frs服务已经停止工作了一段时间  在命令提示符里面输入net start ntfrs按回车键来重新启动ntfrs(文件复制)服务 这个时候sysvol已经转移到新的位置了   在命令提示符里面输入net share按回车键后可以看到 SYSVOL   D:\SYSVOL\sysvol    Logon server share 已经挂接到D盘了  输入dcdiag /test:netlogons按回车键去检查整个步骤是否正确完成了   在命令提示符里面可以看到已经完成了所有的测试了 通过开始--运行--输入regedit按确定来打开注册表编辑器   找到注册表编辑器里面的左下角那个路径  双击Staging Space Limit in KB 选择十进制 由于它的值是以KB计算的  也就是它的最小单位以KB来计算的 我们需要额外地把它算成日常习惯以1M为结尾的数据了  在数值数据里面改成975840  大概有900多M  这时候sysvol中的Staging Space它就能获得更多的额外空间了 在交换的时候 它就更有利而不会再出现frs13522 ID的错误了  同样在命令提示符里面输入dcdiag /test:replication按回车键来测试检查复制的状态  看它的复制是否能正常启动和运行 输入net stop ntfrs按回车来停止文件复制服务 确保能对里面的文件进行足够地操作     通过开始--运行--输入regedit按确定来打开注册表编辑器   找到注册表编辑器左下角那个路径  双击BurFlags--同样在数值数据里面改成D2   接下来我们就可以从另一台DC获得一个新的sysvol 通过开始--运行--输入\\加另一台DC的计算机名称   比如 \\Shenzhen\admin$ 按确定去进入管理模式下的共享 并且从这个共享里面把对方的SYSVOL文件夹复制过来 复制成功以后  就在命令提示符里面输入net start ntfrs按回车键来启动文件复制服务 当文件复制服务启动的时候Beijing这台DC就会把Shenzhen那台DC的SYSVOL文件夹信息复制到Beijing这台计算机里面  管理时间服务:什么是时间服务:同步客户端时间  客户端和成员服务器以验证DC为时间源  DC以本域PDC模拟器为时间源  PDC模拟器以上级域PDC模拟器为时间源  森林根域PDC模拟器为森林权威时间源  管理时间服务      时间服务日常管理:配置时间源  配置外部时间源  Internet上的时间服务器 KB262680  通过开始--运行--输入regedit按确定来打开注册表编辑器  找到注册表编辑器左下角那个路径  在右边空白处右键--新建一个双字节值命名为Reliable TimeSource 双击打开它把它的数值数据设置为1 按确定 双击LocalNTP 把它的数值数据修改成1 按确定 这两个值修改成功以后 就重新启动时间服务  在命令提示符里面输入net start win32time按回车键来启动时间服务  双击type  把它的数值数据修改为NTP  按确定 接下来新建一个字串值命名为NtpServer 双击打开它  在数值数据里面输入peers  按确定  再新建一个双字节值命名为TimeInSeconds  双击打开Period 在它的数值数据里面可以设置成几种方式 第一种可以设置成24 它代表每一天的时间内  当前的这台时间服务器以逻辑上面的可靠时间服务器同步24次也就是平均每小时一次 65531它设置为每45分钟同步一次  当有一次成功以后 它就每天再进行同步一次 65532它设置为每45分钟同步一次  如果连续三次同步成功 那么每8个小时设置一次 这是一个默认的设置值 65533它设置为每7天才进行一次同步  65534它设置为每3天进行同步一次  65535它设置为每2天进行同步一次 还有一个数值0 它并不代表不复制或者是马上同步  以及长时间不进行同步  它对应的还必需要看type值  如果type值是默认的NT5ds 也就是本地时间源 那么它将每45分钟同步一次 直到三次同步成功  然后每8个小时同步一次  如果设置的是NTP  那么它每8个小时同步一次  在修改注册表键值完成以后需要重新启动时间服务  在命令提示符里面输入net stop win32time按回车键先停止时间服务  再输入net start win32time按回车键启动时间服务  接下来如果要同步当前客户端的时间就输入w32tm -s按回车键来强制计算机同步  这是一个本地时间源的设置  管理长期离线的DC:长期离线的DC带来的危害:幽录账号 无效的SYSVOL Operation Master 无效  DC长期离线前的准备工作  长期离线DC上线前的准备工作:检查FSMO角色  强制AD复制  系统备份/系统状态备份  Tombstone Lifetime                                                        通过开始--运行--输入adsiedit.msc按确定 在Configuration里面找到CN=Directory Service这一项  右键--选择属性  在Select a property to view那一项选择tombstoneLifttime   可以看到默认值是<not set>没设置 也就是60天 在Edit Attribute那一项可以设置新的值  比如设置成90  代表90天  那么以后你所删除的对象它不会在90天之内被清除AD数据库  它会在AD数据库里面存储90天 按Set  按确定  长期离线DC上线:查看Tombstone Lifetime  禁用离线DC的OUTbound复制链接 repadmin /options ServerName+disable_outbound_repl  删除Lingering Object  恢复SYSVOL