2007年1月4日测试在额外域控制器上夺取FSMO笔记
1.环境说明: 公司Test.com(虚拟)有一台主域控制器imss.test.com(系统为windows2003 server),还有一台额外域控制器server.test.com(系统为windows 2000 server)。现主域控制器(imss.test.com)由于硬件故障突然损坏,事先又没有imss.test.com的系统状态备份,没办法通过备份修复主域控制器(imss.test.com),我们怎么让额外域控制器(server.test.com)替代主域控制器,使Acitvie Directory继续正常运行. 2.从AD中清除主域控制器imss.test.com对象,操作如下: Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp. C:\Documents and Settings\Administrator.TEST>cd \ C:\>cd c:\program files\support tools C:\Program Files\Support Tools>ntdsutil ntdsutil: ntdsutil: meta cle metadata cleanup: metadata cleanup: sel op ta select operation target: select operation target: con server connections: server connections: con to dom test.com 绑定到\\server.test.com... 用本登录的用户的凭证连接\\server.test.comserver connections: server connections: quit select operation target: select operation target: list sites 找到 1 站点 0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com select operation target: sel sit 0 站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com 没有当前域 没有当前服务器 当前的命名上下文 select operation target: list dom in sit 找到 1 域 0 - DC=test,DC=com select operation target: sel dom 0 站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - DC=test,DC=com 没有当前服务器 当前的命名上下文 select operation target: list ser in site 找到 2 服务器 0 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=t est,DC=com 1 - CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC =test,DC=com select operation target: sel ser 0 站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - DC=test,DC=com 服务器 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration ,DC=test,DC=com DSA 对象 - CN=NTDS Settings,CN=IMSS,CN=Servers,CN=Default-First-Site-Nam e,CN=Sites,CN=Configuration,DC=test,DC=com DNS 主机名称 - IMSS.test.com 计算机对象 - CN=IMSS,OU=Domain Controllers,DC=test,DC=com 当前的命名上下文 select operation target: select operation target: quit metadata cleanup: metadata cleanup: rem sel ser “CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tes t,DC=com”删除了,从服务器“\\server.test.com” metadata cleanup: metadata cleanup: quit ntdsutil: ? ntdsutil: quit 从\\server.test.com断开... C:\Program Files\Support Tools> 删除之前的信息后,下面我们来进行夺取五个FSMO,方面如下: Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp. C:\Documents and Settings\Administrator.TEST>cd \ C:\>cd c:\program files\support tools C:\Program Files\Support Tools>ntdsutil ntdsutil: ntdsutil: roles fsmo maintenance: ? ? - 打印这个帮助信息 Connections - 连接到一个特定域控制器 Help - 打印这个帮助信息 Quit - 返回到上一个菜单 Seize domain naming master - 在已连接的服务器上改写域角色 Seize infrastructure master - 在已连接的服务器上改写结构角色 Seize PDC - 在已连接的服务器上改写 PDC 角色 Seize RID master - 在已连接的服务器上改写 RID 角色 Seize schema master - 在已连接的服务器上改写架构角色 Select operation target - 选择的站点,服务器,域,角色和命名上下文 Transfer domain naming master - 将已连接的服务器定为域命名主机 Transfer infrastructure master - 将已连接的服务器定为结构主机 Transfer PDC - 将已连接的服务器定为 PDC Transfer RID master - 将已连接的服务器定为 RID 主机 Transfer schema master - 将已连接的服务器定为架构主机 fsmo maintenance: con server connections: server connections: connect to domain test.com 绑定到\\server.test.com... 用本登录的用户的凭证连接\\server.test.comserver connections: server connections: quit fsmo maintenance: fsmo maintenance: seize domain naming master 在索取之前尝试安全传送 domain naming FSMO。 ldap_modify_sW 错误 0x34(52 (没有). Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL ), data 8 返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。) ) 根据错误编码这可能表示连接 ldap, 或角色传送错误。 domain naming FSMO 的传送失败,用索取继续 ... 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com fsmo maintenance: seize domain naming master 在索取之前尝试安全传送 domain naming FSMO。 FSMO 传送成功 - 不需要索取。 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com fsmo maintenance: fsmo maintenance: seize infrastructure master 在索取之前尝试安全传送 infrastructure FSMO。 ldap_modify_sW 错误 0x34(52 (没有). Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILAB ), data 8 返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。) ) 根据错误编码这可能表示连接 ldap, 或角色传送错误。 infrastructure FSMO 的传送失败,用索取继续 ... 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: seize infrastructure master 在索取之前尝试安全传送 infrastructure FSMO。 FSMO 传送成功 - 不需要索取。 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: fsmo maintenance: seize pdc 删除操作 fsmo maintenance: seize pdc 在索取之前尝试安全传送 PDC FSMO。 ldap_modify_sW 错误 0x34(52 (没有). Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-032103C0, problem 5002 (UNAVAILABL ), data 8 返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。) ) 根据错误编码这可能表示连接 ldap, 或角色传送错误。 PDC FSMO 的传送失败,用索取继续 ... 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: seize pdc 在索取之前尝试安全传送 PDC FSMO。 FSMO 传送成功 - 不需要索取。 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com RID - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: fsmo maintenance: seize rid master 在索取之前尝试安全传送 RID FSMO。 ldap_modify_sW 错误 0x34(52 (没有). Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-0321066E, problem 5002 (UNAVAILABL ), data 8 返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。) ) 根据错误编码这可能表示连接 ldap, 或角色传送错误。 RID FSMO 的传送失败,用索取继续 ... ldap_search 属性 objectGuid 失败,错误为 0x20(32 (无此对象). Ldap 扩展的错误消息为 0000208D: NameErr: DSID-031001BD, problem 2001 (NO_OBJECT , data 0, best match of: 'CN=NTDS Settings\ DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25,CN=IMSS,CN=Servers,CN=Default-First-Si e-Name,CN=Sites,CN=Configuration,DC=test,DC=com' 返回的 Win32 错误为 0x208d(没有找到目录对象。) 无法读取上一个 RID 管理器的 GUID 将服务器\\server.test.com与其邻居同步 这个操作要花几分钟 ....失败。 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN="NTDS Settings DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S te-Name,CN=Sites,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: fsmo maintenance: seize schema master 在索取之前尝试安全传送 schema FSMO。 ldap_modify_sW 错误 0x34(52 (没有). Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL ), data 8 返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。) ) 根据错误编码这可能表示连接 ldap, 或角色传送错误。 schema FSMO 的传送失败,用索取继续 ... 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: seize schema master 在索取之前尝试安全传送 schema FSMO。 FSMO 传送成功 - 不需要索取。 服务器 "\\server.test.com" 知道有关 5 作用 架构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com 域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites, N=Configuration,DC=test,DC=com PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites CN=Configuration,DC=test,DC=com 结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site ,CN=Configuration,DC=test,DC=com fsmo maintenance: quit ntdsutil: quit 从\\server.test.com断开... C:\Program Files\Support Tools> 在做以上操作时,会出现提示对话框,都点击是即可!使用netdom query fsmo可以看到迁移的结果:如下: 设置额外控制(server.test.com)为GC(全局编录) 打开Administrative Tools中的Active Directory Sites and Services,展开Sites,展开Default- First-Site-Name,展开Servers,展开DC-02.test.com(额外控制器),右击NTDS Settings选择 Properties,然后在"Global Catalog"前面打勾,单击"确定"按钮,然后重新启动服务器 Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp. C:\Documents and Settings\Administrator.TEST>cd \ C:\>cd c:\program files C:\Program Files>cd support tools C:\Program Files\Support Tools>netdom query fsmo Schema owner server.test.com Domain role owner server.test.com PDC role server.test.com RID pool manager server.test.com Infrastructure owner server.test.com The command completed successfully. C:\Program Files\Support Tools> 然后使用ADSI EDIT工具进行清除相关信息,参考如下:(在support tools包里面) 使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中IMSS服务器对象,打开ADSI EDIT工具,展开Domain NC[server.test.com],展开OU=Domain controllers,右击CN=imss,然后选择Delete,把imss服务器对象删除;(见下图) 在Active Directory Sites and Service中删除imss服务器对象打开Administrative tools中的Active Directory Sites and Service,展开Sites,展开Default-First-Site-Name,展开Servers,右imss,选择Delete,单击Yes按钮(见下图) 注:但是有一点不明白,为什么我在夺取角色时,第一次都是不成功,再执行一次就成功了。如果各位网 上朋友们,有知道的,请回复,小弟godoha不胜感激!先谢过! 本文转自godoha51CTO博客,原文链接:http://blog.51cto.com/godoha/21213,如需转载请自行联系原作者