深入理解AD域环境中操作主机角色

云淡天高

概述 在Win2003多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。但实际上并非如此，某些AD功能不允许在多台DC上完成，否则可能会造成AD数据库一致性错误，这些特殊的功能称为“灵活单一主机操作”，常用FSMO来表示，拥有这些特殊功能执行能力的主机被称为FSMO角色主机。在Win2003 AD域中，FSMO有五种角色,分成两大类: 林林级别(在整个林中只能有一台DC拥有访主机角色) 1：架构主机 (Schema Master) 2：域命令主机 (Domain Naming Master) 域级别(在域中只有一台DC拥有该角色) 3：PDC模拟器(PDC Emulator) 4：RID主机 (RID Master) 5：基础架构主机 (Infrastructure Master) 本文分别从以下几个方面深入理解操作主机 ● FSMO操作主机角色功能 ● 查看和更改操作主机角色的方法 ● 操作主机放置优化建议 [1] [2] [3] [4] [5] [6]

登录/注册后可看大图

2：使用Dsquery工具查看操作主机角色 Dsquery Server –Hasfsmo Schema //查看架构主机 Dsquery Server –Hasfsmo Name //查看域 主机 Dsquery Server –Hasfsmo PDC //查看PDC模拟器主机 Dsquery Server –Hasfsmo RID //查看RID主机 Dsquery Server –Hasfsmo Infr //查看基础结构主机 3：使用Ntdsutil工具更改操作主机角色 Ntdsutil工具的功能非常强大，可以进行AD数据库维护，查看和更换操作主机角色以及删除无法通过图形界面删除的DC遗留的元数据。通过Ntdsutil工具不但可以清理无效的DC信息，也可以使用Transfer子命令转移操作主机角色，使用Seize子命令夺取操作主机角色。Ntdsutil具体使用方法请参考KB：http://support.microsoft.com/kb/255504/ [1] [2] [3] [4] [5] [6] < 五：操作主机角色放置优化配置建议 默认情况下，架构主机和域命名主机角色是在根域的第一台DC上，而PDC模拟器，RID主机和基础结构主机默认放置在当前域的第一台DC上。特别是在单域环境中，按默认安装，第一台DC会同时拥有这五种FSMO操作主机角色。万一这台DC损坏，会对域环境造成极大风险! 常见的操作主机角色放置建议如下： 1：架构主机：拥有架构主机角色的DC不需要高性能，因为在实际环境中不会经常对Schema进行操作的，除非是经常会对Schema进行扩展，不过这种情况非常的少。但要保证可用性，否则在安装Exchange等会扩展AD架构的软件时会出错。 2：域命名主机：对占有域命名主机的DC也不需要高性能，在实际环境中也不会经常在森林里添加或者删除域的。但要保证高可用性是有必要的，以保证在添加删除当前林中域时可以使用。 一般建议由同一台DC承担架构主机与域域命名主机角色，并由GC放置在同一台DC中。 3：PDC模拟器：从上述PDC功能中可以看出，PDC模拟器是FSMO五种角色里任务最重的，必须保持拥有PDC的DC有高性能和高可用性。 4：RID主机：对于占有RID Master的域控制器，没有必要一定要求高性能，因为给其它DC分配RID池的操作不是经常性发生，但要求高可用性，否则在添加用户时出错。 5：基础架构主机：对于单域环境，基础架构主机实际上不起作用，因为基础架构主机主要作用是对跨域对象引用进行更新，对于单域，不存在跨域对象的更新。基础架构主机对性能和可用性方面的要求较低。 建议将PDC模拟器，RID主机以及基础结构主机放置在一台性能较好的DC中，且尽量不要配置成GC。 本文出自 “Alligator” 博客，请务必保留此出处http://alligator.blog.51cto.com/36993/97085 [1] [2] [3] [4] [5] [6] <