额外域控制升级为主域控制器1.docx

1、额外域控制升级为主域控制器1额外域控制升级为主域控制器一、 实验环境：域名为1、 原主域控制器System: windows 20003 Server FQDN: PDCIP：192.168.50.1Mask:255.255.255.0DNS:192.168.50.12、 辅助域控制器System: windows 2003 ServerFQDN：BDCIP： 192.168.50.2Mask: 255.255.255.0DNS:192.168.50.13、 Exchange 2003 ServerFQDN:IP:192.168.50.3Mask:255.255.255.0DNS:192.16

2、8.50.1也许有人会问，做辅域升级要装个Exchange干什么？其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。如果升级成功，对Exchange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。二、实验目的：在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。三、实验步骤1、 安装域控制器。第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装DNS组件。在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将

3、要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。2、在安装辅助域控器前先看一下我们的Exchange Server工作是否正常，到Exchange Server中建立两个用户test1和test2，并为他们分别建立一个邮箱，下面使用他们相互发送邮件进行测试，如图。3、 我们发现发送邮件测试成功，这证明Exchange是正常的。下面正式开始安装第二台域控制器。也是就辅助域控制器（BDC）。4、 以域管理员身份登陆要提升为辅助域控制器的计算机，点【开始】-【运行】在运行里输入dcpromo打开活动目

4、录安装向导,.点两个【下一步】, 打开如图.5、 这里由于是安装第二台域控制器，所以选择【现有域的额外域控制器】，点【下一步】。如图6、 这里输入你的域管理员的用户名和密码，点【下一步】。如图：7、这里提示你的这台域控制将成为哪个域的额外域控制器，如果正确，点【下一步】，再连续点三个下一步，就开始安装了，如图，安装完成大概要几分钟，你就耐心的等待吧，如图：8、几分钟后安装完成，提示重新启动计算机，重新启动计算机，此时你的计算机已经成为了域的辅助域控制了。此时在活动目录用户和计算机的域控制器里已经有两台域控制了，如图：9、再查看一下FSMO（五种主控角色）的owner，安装Windows Ser

5、ver安装光盘中的Support目录下的support tools工具，然后打开提示符输入：netdom query fsmo 以输出FSMO的owner，如图：10、 现在五个角色的woner 都是PDC，我的就是要把这个五个角色转移到BDC上，使BDC成为这五个角色的owner。11、现在登陆PDC（主域控制器），进入命令提示符窗口，在命令提示符下输入：ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server BDC - （备注：这里的dc-1是指服务器名称），提示绑定成功后，输入q退出，如图：12、 输入？回车可看到以

6、下信息：Connections - 连接到一个特定域控制器Help - 显示这个帮助信息Quit - 返回到上一个菜单Seize domain naming master - 在已连接的服务器上覆盖域角色Seize infrastructure master- 在已连接的服务器上覆盖结构角色Seize PDC - 在已连接的服务器上覆盖 PDC 角色Seize RID master - 在已连接的服务器上覆盖 RID 角色Seize schema master - 在已连接的服务器上覆盖架构角色Select operation target - 选择的站点，服务器，域，角色和命名上下文Tran

7、sfer domain naming master - 将已连接的服务器定为域命名主机Transfer infrastructure master - 将已连接的服务器定为结构主机Transfer PDC - 将已连接的服务器定为 PDCTransfer RID master - 将已连接的服务器定为 RID 主机Transfer schema master - 将已连接的服务器定为架构如图：13、然后分别输入：Transfer domain naming master 回车Transfer infrastructure master回车Transfer PDC 回车Transfer RID

8、master 回车Transfer schema master 回车以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YES，如图：然后接着一条一条完成既可，完成以上按Q退出界面，14、 这五个步骤完成以后，检查一下是否全部转移到BDC上了，打开在第9步时装windows support tools,开始程序-windows support tools-command prompt,输入netdom query fsmo,如图:全部转移成功.现在五个角色的owner都是BDC了.15、角色转移成功以后，还要把GC也转移过去，打开活动目录站点和服务，展开site-default-

9、first-site-name-servers,你会看到两台域控制器都在下面。展开BDC，右击【NTDS Settings】点【属性】，勾上全局编录前面的勾，点确定，如图：16、然后展开PDC，右击【NTDS Settings】点【属性】，去掉全局编录前面的勾。如图：这样全局编录也转到BDC上去了，致此主域控制器已经变成BDC了。而PDC就成了辅助域控制器了。17、 现在已经可以把原来的主域控制器（PDC）删除掉了，在(PDC)现在的辅助域控制器上运行dcpromo按照提示一步一步的删除它，然后将它退出域。就完成了整个升级过程。这里还有一点要注要的：升级完以后，你现在的主域控制器的IP地址是新

10、的，而不是原来的那个IP地址了，而下面所有的客户端的DNS都是指向原来的主域控制器的，这样就会出现很多问题，包括你的Exchange 就找不到域控制器，所以我最简单的方法就是把BDC（现在的主域控制器）的IP改为PDC（原来的主域控制器）的IP就好了。18、 这些改完以后启动Exchange ，exchange不要做任何更改就可以正常工作了，但这时在exchange的日志里是有一项错误（MSExchangeAL 事件 8026 和8260）。原因为收件人更新服务配置为使用 Windows 域控制器被降级，。 收件人更新服务尝试查询有关该更新, Windows无法联系域控制器。解决办法：打开 E

11、xchange 系统管理器。展开 收件人 容器, 然后单击 收件人更新服务 。双击每个收件人更新服务, 然后再将 Windows 域控制器 设置更改为新域中 Windows 域控制器。这样设置完以后，重新启动计算机，一切正常了，发封邮件试试，一切正常。致此全部完成了。FSMO角色介绍：架构主机 (Schema master) 架构主机角色是林范围的角色，每个林一个。此角色用于扩展 Active Directory 林的架构或运行 adprep /domainprep 命令。域命名主机 (Domain naming master) 域命名主机角色是林范围的角色，每个林一个。此角色用于向林中添加或

12、从林中删除域或应用程序分区。RID 主机 (RID master) RID 主机角色是域范围的角色，每个域一个。此角色用于分配 RID 池，以便新的或现有的域控制器能够创建用户帐户、计算机帐户或安全组。结构主机 (Infrastructure master) 结构主机角色是域范围的角色，每个域一个。此角色供域控制器使用，用于成功运行 adprep /forestprep 命令，以及更新跨域引用的对象的 SID 属性和可分辨名称属性。PDC 模拟器 (PDC emulator) PDC 模拟器角色是域范围的角色，每个域一个。将数据库更新发送到 Windows NT 备份域控制器的域控制器需要具备

13、这个角色。此外，拥有此角色的域控制器也是某些管理工具的目标，它还可以更新用户帐户密码和计算机帐户密码。前面写的是在PDC还生效的情况下进行BDC升PDC步骤,我们也许会问,PDC还是正常的情况我们为什么提升BDC为PDC 呢.说对了,在PDC还正常的情况下我们是没有必要提升BDC为PDC,而如果PDC出现了问题时呢,比如说PDC的硬件出问题了或都说系统坏了的情况下我们就要提升BDC为PDC了,下面我在为大家说说在PDC出现硬件故障机器开不起来了的情况BDC提升为PDC的步骤:一、这时我们的PDC已经出现了问题并开不起来了。这时我们来到BDC上，打开AD用户和计算机，在你的域名处点右键操作主机打

14、开如图：此时在操作主机项显示的是错误而不是我们的真正的操作主机PDC，所以我们要把BDC更改为操作主机。各位可能就会看到下面不是有个更改按钮吗，直接点更改按钮不就转移过去了吗？其实这我也想到了，但是你在这里点更改会报错的，点了以后过了半天弹出个框框说“请求的 FSMO 操作失败。不能连接当前的 FSMO 盒”，所以我们又要回到命令行模式下进行强制夺取了。二、在上面的操作中我们已经安装了windows 2003 的support tools了，所以我现在在找开support tools，在命令提示符下输入netdom query fsmo查看一下当前的五个前色的owner是谁，如图：我们看到当前

15、五个角色的owner还是PDC。下面我们就开始强制夺取吧。三、再次打开 support tools 在命令提示符下输入ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server (其实上面这里我写的是BDC的计算机名，而现在输入的又是域名了) ，提示绑定成功后，输入q退出，如图：四、输入问号可以看到一些帮助信息，上面由于我们是在正常情况下的角色转移我们用的transfer,而现在我们要用seize来进行强制夺取了，分别输入：Seize domain naming master Seize infrastructure mast

16、er Seize PDC Seize RID master Seize schema master Select operation target以上的命令在输入完成一条后都会确认要占用角色，选择是，如图：然后接着一条一条完成既可，完成以上按Q退出界面，五、选择是以后。如图：我们看到报错了，呵呵，不过没关系，这是正常的，因为主域PDC不在线，所以在夺取时会有这个出错信息。，所以结构角色会夺取到BDC上，接下来的各个角色的夺取也会有这出错信息。 六、以上命令全部完成以后，我们按Q退出，此时我们再查看一下五个角色的owner已经是我们的BDC了，如图：七、以上全部完成以后还要把全局编录转移到BDC

17、上，这些步骤和上面的操作方法一样，所以我这里就不在写了。八、现在我们删除已损坏DC的信息，对于网络中DC1损坏，虽然经过以上的FSMO角色夺取到DC2上后，整个域已可以正常使用。但在日志中，还是会有AD数据库复制信息出错的提示解决办法：以下内容来自微软KB216498; 域控制器降级失败后如何删除 Active Directory 中的数据本文介绍在域控制器降级失败后，如何删除 Active Directory 中的数据。警告：如果使用“ADSI 编辑”管理单元、LDP 实用工具或任何其他 LDAP 版本 3 客户端，并且不恰当地修改了 Active Directory 对象的属性，则可能造成

18、严重问题。要解决这些问题，您可能需要重新安装 Microsoft Windows 2000 Server、Microsoft Windows Server 2003、Microsoft Exchange 2000 Server 或 Microsoft Exchange Server 2003，或者 Windows 和 Exchange 二者都需要重新安装。Microsoft 不保证能够解决因为 Active Directory 对象属性修改不当而导致的问题。修改这些属性需要您自担风险。 Active Directory 安装向导 (Dcpromo.exe) 用于将服务器提升为域控制器，以及将域

19、控制器降级为成员服务器（或者在该域控制器是域中的最后一个域控制器时，将其降级为工作组中的独立服务器）。作为降级过程的一部分，此向导会将该域控制器的配置数据从 Active Directory 中删除。此数据的形式是“NTDS 设置”对象，在“Active Directory 站点和服务”中作为服务器对象的一个子对象存在。该信息位于 Active Directory 中的以下位置： CN=NTDS Settings,CN=,CN=Servers,CN=,CN=Sites,CN=Configuration,DC=.“NTDS 设置”对象的属性包括：代表如何针对域控制器的复制伙伴标识域控制器的数据、

20、计算机中保存的命名上下文、域控制器是否为全局编录服务器，以及默认查询策略。“NTDS 设置”对象也是一个容器，其中可以包含代表域控制器的直接复制伙伴的子对象。该数据是域控制器在环境中运行所必需的，但域控制器降级后就不再使用该数据了。如果未正确删除“NTDS 设置”对象（例如，未从降级尝试中正确删除“NTDS 设置”对象），管理员可以使用 Ntdsutil.exe 实用工具手动删除“NTDS 设置”对象。以下步骤列出了在特定域控制器的 Active Directory 中删除“NTDS 设置”对象的过程。在每个 Ntdsutil 菜单上，管理员可以键入 help 以了解有关可用选项的更多信息。

21、回到顶端Windows Server 2003 Service Pack 1 (SP1) - Ntdsutil.exe 的增强版本Windows Server 2003 Service Pack 1 中包含的 Ntdsutil.exe 版本已经过增强，可使元数据清除过程更加彻底。在运行元数据清除时，SP1 中包含的 Ntdsutil.exe 将执行下列操作： 删除“NTDSA 设置”或“NTDS 设置”主题。 删除现有目标 DC 用于从要删除的源 DC 复制数据的入站 AD 连接对象。 删除计算机帐户。 删除 FRS 成员对象。 删除 FRS 订阅者对象。 尝试获取由要删除的 DC 所拥有的灵

22、活单操作主机角色（又称为灵活单主机操作或 FSMO）。警告：在手动删除任何服务器的“NTDS 设置”对象之前，管理员还必须确保在降级之后已进行了复制。Ntdsutil 实用工具使用不当可能导致 Active Directory 功能部分或全部丧失。 回到顶端过程 1：仅限 Windows Server 2003 SP1单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。 在命令提示符处，键入 ntdsutil，然后按 Enter。 键入 metadata cleanup，然后按 Enter。根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。 键

23、入 connections，然后按 Enter。此菜单用于连接将发生这些更改的具体服务器。如果当前登录的用户没有管理权限，可以在建立连接之前指定要使用的替代凭据。为此，请键入 set creds DomainNameUserNamePassword，然后按 Enter。如果密码为空，则键入 null 作为密码参数。 键入 connect to server servername，然后按 Enter。然后出现一条确认消息，说明已成功建立该连接。如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。注意：如果尝试连接的服务器正是要删除的服务器，那么在尝试删除步

24、骤 15 提到的服务器时，将显示以下错误消息： 错误 2094。不能删除 DSA 对象。0x2094键入 quit，然后按 Enter。将出现“清除元数据”菜单。 键入 select operation target，然后按 Enter。 键入 list domains，然后按 Enter。将显示一个列出目录林中所有域的列表，每一个域都有一个关联的编号。 键入 select domain number，然后按 Enter；其中 number 是与要删除的服务器所属的域相关联的编号。您选择的域将用于确定要删除的服务器是否为该域的最后一个域控制器。 键入 list sites，然后按 Enter。

25、将出现一个站点列表，其中每个站点都带有一个关联的编号。 键入 select site number，然后按 Enter；其中 number 是与要删除的服务器所属站点相关联的编号。将出现一条确认消息，其中列出了所选的站点和域。 键入 list servers in site，然后按 Enter。将显示一个列出站点中所有服务器的列表，每个服务器都有一个关联的编号。 键入 select server number，其中 number 是与要删除的服务器关联的编号。将出现一条确认消息，其中会列出所选的服务器、该服务器的域名系统 (DNS) 主机名以及要删除的服务器的计算机帐户位置。 键入 quit，

26、然后按 Enter。将出现“清除元数据”菜单。 键入 remove selected server，然后按 Enter。将出现一条确认消息，说明删除成功完成。如果出现以下错误消息，则说明“NTDS 设置”对象可能已从 Active Directory 中删除，原因可能是其他管理员删除了该“NTDS 设置”对象，或者在运行 DCPROMO 实用工具成功删除该对象后又执行了一次此操作。 错误 8419 (0x20E3)找不到 DSA 对象 注意：当您尝试绑定到要删除的域控制器时，也可能会出现此错误。Ntdsutil 绑定到的域控制器不能是要通过清除元数据来删除的域控制器。 键入 quit，然后在每

27、个菜单上按 Enter，退出 Ntdsutil 实用工具。将出现一条确认消息，说明连接已成功断开。 在 DNS 的 _msdcs. 区域中删除 cname 记录。假定要重新安装并重新提升 DC，将创建一个新的“NTDS 设置”对象，它将具有新的 GUID 并在 DNS 中拥有一个匹配的 cname 记录。您不希望现有 DC 使用旧的 cname 记录。最佳做法是删除主机名和其他 DNS 记录。如果已超出为脱机服务器分配的动态主机配置协议 (DHCP) 地址上所剩的租用时间，另一个客户端即可获得问题 DC 的 IP 地址。 在 DNS 控制台中，使用 DNS MMC 删除 DNS 中的 A 记录

28、。A 记录也称为“主机”记录。要删除 A 记录，请右键单击 A 记录，然后单击“删除”。另外，请删除 _msdcs 容器中的 cname 记录。为此，请展开“_msdcs”容器，右键单击“cname”，然后单击“删除”。重要说明：如果这是一台 DNS 服务器，请在“名称服务器”选项卡下删除对该 DC 的引用。为此，在 DNS 控制台中，在“正向查找区域”下单击该域名，然后从“名称服务器”选项卡中删除该服务器。注意：如果有反向查找区域，也要将服务器从这些区域中删除。 如果删除的计算机是子域中的最后一个域控制器，而且该子域也已删除，请使用 ADSIEdit 删除该子域的 trustDomain 对

29、象。为此，请按照下列步骤操作： 单击“开始”，单击“运行”，键入 adsiedit.msc，然后单击“确定”。 展开“域 NC”容器。 展开“DC=, DC=COM, PRI, LOCAL, NET”。 展开“CN=System”。 右键单击“Trust Domain”对象，然后单击“删除”。使用“Active Directory 站点和服务”删除域控制器。为此，请按照下列步骤操作： 启动“Active Directory 站点和服务”。 展开“站点”。 展开服务器的站点。默认站点为“Default-First-Site-Name”。 展开“服务器”。 右键单击域控制器，然后单击“删除”。回到

30、顶端过程 2：Windows 2000（所有版本）、Windows Server 2003 RTM单击“开始”，指向“程序”，指向“附件”，然后单击“命令提示符”。 在命令提示符处，键入 ntdsutil，然后按 Enter。 键入 metadata cleanup，然后按 Enter。根据所给出的选项，管理员可以执行删除操作，但在实施删除之前还必须指定另外一些配置参数。 键入 connections，然后按 Enter。此菜单用于连接将发生这些更改的具体服务器。如果当前登录的用户没有管理权限，则可以在建立连接之前指定要使用的替代凭据。为此，请键入 set creds DomainNameUserNamePassword，然后按 Enter。如果密码为空，则键入 null 作为密码参数。 键入 connect to server servername，然后按 Enter。然后出现一条确认消息，说明已成功建立该连接。如果出现错误，则确认连接中所用的域控制器是否可用，以及您提供的凭据对该服务器是否有管理权限。注意：如果尝试连接的服务器正是要删除的服务器，那么在尝试删除步骤 15 提到的服务器时，将显示以下错误消息： 错误 2094。不能删除