域中部署一个额外域控制器
实训二windowsserver2008额外域控制器配置.
实训二配置额外域控制器一、知识点：额外域控制器：假如域中只有一台域控制器，一旦出现物理故障，我们时可以备份还原AD 。
部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory 数据库。
只读域控制器： RODC只好单向的从其余可读写域控制器央求信息，而不会把任何更正传递给其余可写域控制器，这样做不单可以降低主域服务器的工作负载及监控负载的工作量，还可以提升分支机构网络的安全性，同时便于管理。
二、着手实验：实验目的：利用 windows server 2008 搭建辅助域环境，认识辅助域控制器的作用，不单学会安装辅助域控制器，并且还应学会如何配置辅助域，并实现辅助域在域环境中的作用。
实验内容：1、配置域环境中额外域控制器2、配置域环境中的只读域控制器（RODC ）3、测试辅助控制器能否搭建成功实验要求：1、完成实训内容，并做成实验报告。
实验步骤：第一步配置域环境中额外域控制器（1）部署环境设置网络环境（ 2）与主域的IP 地址要互Ping 的通（3）依据拓扑图要求，将额外控制器的名称改为“BDC1 ”输入域点击确立（ 4）安装额外域控制器开始 ------ 运转 --- 输入dcpromo输入dcpromo 点击确立以后会弹出以下导游对话框，点击下一步在弹出“部署配置”对话框勾选“现有林 ---向现有于增添域控制器”下一步，输入主域名“”点击“设置”输入“用户名和密码”点击“确立”点击“下一步”选择域“”点击下一步，选择默认站点Default-First-Site-Name 点击下一步，选择需要的“选项”点击下一步，设置组或用户（无必需可跳过）。
点击下一步，设置数据库，日记文件和SYSVOL 的地点（默认 C 盘）。
下一步，设置还原模式的密码设置完密码，点击“下一步”会弹出以下对话框，记得勾选“完成后重新启动”对话框，耐心等候导游完成。
最后完成，会重启计算机，这样就完成额外域的安装。
6.创建现有域的额外域控制器(第二台服务器)
创建现有域的额外域控制器
打开管理您的服务器（「开始」菜单\程序\管理工具）
单击“添加或删除角色”
“下一步”继续
选择“自定义配置”单击“下一步”继续
选择“域控制器（Active Directory）”单击“下一步”继续
“下一步”继续
“下一步”继续
“下一步”继续
选择“现有域的额外域控制器”单击“下一步”继续
输入用户名：administrator密码：000000域：ymdc单击“下一步”继续
输入现有域的DNS全名“”单击“下一步”继续
单击“下一步”继续
单击“下一步”继续
输入还原密码“000000”单击“下一步”继续
单击“下一步”继续
单击“完成”（“现有域的额外域控制器”创建完成）
从新启动计算机。
安装域控制器并将工作站加入到域中指南课件
目录
CONTENTS
• 安装域控制器 • 将工作站加入到域中 • 验证域控制器和工作站加入 • 常见问题与解决方案
01
安装域控制器
准备工作
确定网络环境
检查网络连接是否稳定，确 保DNS服务器正常运行。
准备安装介质
获取Windows Server操作 系统安装光盘或ISO文件， 以及所需的域控制器软件包。
解决方案
根据错误代码查找相应的解决方案，可能需要查看系统 日志或联系技术支持获取帮助。
问题3
加入域后无法登录
解决方案
检查工作站的账户和密码是否正确，确认域控制器上的 用户账户和组设置是否正确配置。
其他常见问题与解决方案
问题1
域控制器无法正常工作
问题2
工作站无法访问网络资源
解决方案
检查域控制器的硬件和软件配置，确保其满足系统要求。 同时，检查域控制器的网络连接和防火墙设置，确保其能 够正和工
作站加入
验证域控制器
确保域控制器已正确安装并运行
可以通过检查域控制器的系统日志和事件查看器来确认其正常运行。
验证DNS设置
确保域控制器能够正常解析域名，可以通过ping命令测试DNS解析是否正常。
检查AD（Active Directory）服务状态
可以使用ADSI编辑器或类似工具检查AD服务是否正常运行。
将工作站加入到域中
配置工作站网络设置
在目标工作站上，将网络设置配置为与域控制器在同一个域或工作组中。
启动计算机并进入操作系统
启动目标工作站，并确保能够正常进入操作系统。
将工作站加入到域中 使用具有足够权限的域用户账户登录到工作站，并按照提示将工作站加入到域中。根据具体的操作系统 和域环境，加入域的操作步骤可能会有所不同。
server 2012 额外域控制器
Windows Server Active Directory域服务：额外域控制器额外域控制器：额外域控制器是指除了第一台安装的域控制器（主域控制器）意外的所有域控制器；那么额外域控制器有什么好处呢？1、可以提供容错。
即一台DC出问题后，另一台仍可以可以继续工作，提供服务；2、提高用户登录效率。
多台域控可以分担用户审核，加快用户登录速度；3、备份。
域控制器之间会相互复制，就等于多了一份备份；1、首先设置好IP配置；这里首选DNS指向自己，备用DNS指向主域；将服务器加入域；2、选择“添加角色和功能”；3、选择“下一步”；4、选择“基于角色或基于功能的安装”；然后选择“下一步”；5、选择“从服务器池中选择服务器”；选择服务器，然后选择“下一步”；6、勾选“Active Directory域服务器”；7、在弹出“添加角色和功能向导”，选择“添加功能”；9、选择“下一步”；11、选择“安装”；12、安装完成后，选择“将此服务器提升为域控制器”；13、选择“将域控制器添加到现有域”；这台服务器已经加入域，并且用的是域管理员登陆的，所以下面的信息直接默认就可以了，如果没有加入域则要手动输入；14、我们开始设置的时候，设置了主DNS指向自己，所以这里要勾选DNS，第一台主域已经是全局编录了，所以这里可以勾选，也可以不选；如果安装只读域控制器需要勾选“只读域控制器”选项；这里就一个站点，所以默认的即可，如果多站点，你还要选择额外域控制器所在的站点；创建目录还原模式的密码；选择“下一步”；15、无法委派DNS，所以这里不用管，直接“下一步”；16、选择重那一台域控制器上面复制，我这里就一台主域，所以就用默认的，直接“下一步”；17、指定数据库和日志文件夹的路径，然后“下一步”；19、选择“安装”；安装完成后，重启电脑，打开网络和共享中心，发现主DNS变成了127.0.0.1，将它改过来，改成你原来的DNS。
2008 AD 域服务部署配置 额外域控 adprep命令
选择Active Directory 域服务部署配置安装Active Directory 域服务(AD DS) 时，可以选择以下可能的部署配置之一：向域中添加新的域控制器向林中添加新的子域，或作为一个选项添加新的域树注意只有在选中位于Active Directory 域服务安装向导的“欢迎使用Active Directory 域服务安装向导”页上的“使用高级模式安装”复选框时，用于安装新域树的选项才会出现。
创建新的林下列各部分将详细介绍上述的每个部署配置。
向域中添加新的域控制器如果域中已有一个域控制器，则可以向该域添加其他域控制器，以提高网络服务的可用性和可靠性。
通过添加其他域控制器，有助于提供容错，平衡现有域控制器的负载，以及向站点提供其他基础结构支持。
当域中有多个域控制器时，如果某个域控制器出现故障或必须断开连接，该域可继续正常工作。
此外，多个域控制器使客户端在登录网络时可以更方便地连接到域控制器，从而还可以提高性能。
准备现有域向现有的Active Directory 域添加运行Windows Server 2008 R2 的域控制器之前，必须通过运行Adprep.exe 来准备林和域。
请务必运行Windows Server 2008 R2 安装介质随附的Adprep 版本。
此版本的Adprep 可以添加运行Windows Server 2008 R2 的域控制器所需的架构对象和属性，并且可以修改对新对象和现有对象的权限。
根据需要为环境运行以下adprep 参数：添加运行Windows Server 2008 R2 的域控制器之前，请在承载架构操作主机角色（架构主机）的林中的域控制器上运行一次adprep /forestprep。
若要运行此命令，您必须是包括架构主机的域的Enterprise Admins 组、Schema Admins 组和Domain Admins 组的成员。
此外，请在每个计划将运行Windows Server 2008 R2 的域控制器添加到其中的域中，在承载基础结构操作主机角色（基础结构主机）的域控制器上运行一次adprep /domainprep /gpprep。
2003server新建域、额外域控制器、子域步骤
1.没有建域之前，
2.新建域之后
3.在windows2003 server中，新建域！运行dcpromo
这里选择“新域的域控制器”
这里选择，“新林中的域”，然后下一步，
不出错误的话，复制完之后就完成了域的建立，之后重启2003server，如下图
这里就可以登录我们的新域了，在“登录到”选项卡中选择“yanfu”，
登陆域成功之后，我们可以看到此server的系统属性，如图已经加入域中，
在另一台pc中，依次选择“我的电脑”→右键“属性”→“计算机名”→“域”如下图，输入域中有管理员权限的账户和密码
本地计算机成功加入域中
本地计算机加入域成功后，可在server 中看到新加入的计算机，如图，
如果此时我们使用本地计算机的用户名和密码，如下图提示，我们是无法进入域中的，因此我们必需输入域中的账户和密码。
新建域中用户名和密码，“user”右键→选择“新建用户”
建好账户之后，如下图，我们就可以在users中看到域中成员了，当然也包括新建的用户。
这时再用新建的域中账户，登录计算机，
登陆成功后，在本地计算机中查看计算机属性，如下图：
至此我们就完成了新建域以及计算机加域的实验，下一步将在另一台server中，新建额外域控制器，
和新建域一样，只是在这一步，选择“现有域的额外域控制器”，然后下一步
这一步，我们填写具有域控制器权限的用户名和密码。
域控搭建 与灾难恢复
主域控搭建及额外域控
升为主域控（灾难恢复）
一．环境介绍
主域控DC1（server1）额外域控DC2（server2）客户机（kehuji）IP:192.168.20.21 IP:12.168.20.22 IP:192.168.20.164 DNS1：192.168.20.21 DNS1：192.168.20.21 DNS1：192.168.20.21 DNS2：192.168.20.22 DNS2：192.168.20.22 DNS2：192.168.20.22 二．搭建步骤
建域的过程就省略了，直接上图。
然后根据公司结构建立部门OU
在建立好部门OU后，再建立各部门的安全组，便于权限的分配。
最后建立本地域组，将各部门的安全组加入其中
然后在各部门中建立用户，并将用户加入到部门安全组中
接下来可以根据部门建立组策略
最后在DC1上建立共享文件夹，并设置共享权限，限制只能看到自己部门的共享
然后将客户端加入域进行测试
三．额外域控搭建
查看DC1的IP地址并配置额外域控DC2的IP地址
额外域控的搭建
然后测试DC2上建立用户，让DC1同步，并在客户机上登陆并访问
四．灾难恢复
然后我们禁掉DC1的网卡，假设DC1故障无法运行，然后让DC2代替DC1继续提供服务。
额外域控在主域控故障无法启动时，自己升为主语控，参考一下链接。
/961933/773961。
主域控制器和额外域控制器问题讨论
主域控制器和额外域控制器问题讨论字体: 小中大| 打印发表于: 2005-1-08 10:51 作者: qjping 来源: IXPUB技术博客当主域控制器因为物理损坏，我想把额外域控制器升级为主域控制器。
不知有没有人会？我也来说两句查看全部回复最新回复∙tomdoctor (2005-1-08 14:41:09)运行ntdsutil 把操作角色seize过来∙qjping (2005-1-11 21:41:08)请问楼上有没有操作过?∙tutuit (2005-1-17 08:36:32)往上搜索一下，有关seize的资料一大堆∙tutuit (2005-1-17 08:36:45)网上搜索一下，有关seize的资料一大堆∙xwbest (2005-1-17 13:37:41)把所有的角色夺过来就可以了我试过的而且没任何问提?不过我有一个角色找了半天才拿过来的∙housten (2005-1-28 14:15:57)QUOTE:最初由xwbest 发布[B]把所有的角色夺过来就可以了我试过的而且没任何问提?不过我有一个角色找了半天才拿过来的[/B]你成功过！太好了，能讲讲具体步骤吗！因为我试验过几次，都不成功。
关掉主域控制器后，在额外域控制器上夺取了5个角色和GC，重新建立DNS，都不行。
不知是那里出问题了。
∙xwbest (2005-1-28 17:08:41)为什么要重新建立DNS我做的时候额外域控制器上的DNS与主域一样是起额外域控制器时自动建立没必要重建如果重建会有问题的∙xwbest (2005-1-28 17:16:50)而且客户机不用做任何的改动连额外域控制器上也不必该原来的DNS回自动转过来的我讲的是客户机的DNS不动也可以用∙stevenxia (2005-1-29 09:21:05)看看这篇文章，希望对你有所帮助：AD恢复主域控制器本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。
AD域、DNS分离+额外域控制器安装,及主域控制器损坏解决方法
AD域DNS分离+额外域控制器安装及主域控制器损坏解决方法对于域控制器的安装，我们已经知道如何同DNS集成安装，而且集成安装的方法好处有：使DNS也得到AD 的安全保护，DNS的区域复制也更安全，并且集成DNS只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。
当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS服务器，并且即将安装的DC控制器负载预计会很重，如果觉得DC本身的负担太重，可把DNS另放在一台服务器上以分担单台服务器的负载。
这里我们设计的环境是一台DNS服务器（DNS-srv）+主域控制器（AD-zhu）+额外域控制器（AD-fu点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。
（其中由于服务器特性需要指定AD-zhu、AD-fu、DNS-srv为静态地址）对于DC和DNS分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS。
先安装DC在安装DNS 的话，需要注意的就是DC安装完后在安装DNS需要重启DC以使DNS得到DC向DNS注册的SRV记录，Cname记录，NS记录。
那么我们就以先安装DNS为例,对于实现这个环境需要三个大步骤：服务器的安装；主控制器的安装；额外控制器的安装。
接下来我们分步实现······为了更加了解DC和DNS的关系，安装前请先参阅：安装 Active Directory 的 DNS 要求在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。
Active Directory 将 DNS 作为域控制器的位置机制，使网络上的计算机可以获取域控制器的 IP 地址。
在 Active Directory 安装期间，在 DNS 中动态注册服务 (SRV) 和地址 (A) 资源记录，这些记录是域控制器定位程序 (Locator) 机制功能成功实现所必需的。
Server 2012 R2 部署域控、额外域控及FSMO角色转移和夺取
Server 2012 R2 部署域控、额外域控及FSMO角色转移和夺取网络环境：+DNS+DHCP操作系统：Windows Server 2012 R2 Standard网卡信息：IP：192.168.100.1/24+DNS+DHCP操作系统：Windows Server 2012 R2 Standard网卡信息：IP：192.168.100.2/24DHCP配置如下：IP池：192.168.100.20-192.168.100.250网关：无DNS：192.168.100.1，192.168.100.2配置2台服务器为DHCP故障转移一、主域的安装及配置配置网卡信息，如下图打开服务器管理器，点击添加角色和功能如下图选择安装类型：基于角色或基于功能的安装，如下图池中仅一台主机，保持默认（此图是在未更改主机名时截取的，更改后的截图找不到了，拿来顶替），如下图选择AD域服务并添加功能，如下图功能不做添加，不选择直接下一步，跳转到添加ADDS域服务向导，如下图确认安装所选内容，点击安装，如下图正在安装域服务器，如下图安装完毕，点击关闭，如下图点击服务器管理器上方的小旗子查看提示内容，选择将此服务器提示为域控制器，如下图因为这是此域中第一个域，选择添加新林并输入根域名信息，如下图选择域控制器林和域功能级别并设置DSRM密码，如下图出现DNS敬告，因为没有安装DNS，忽略，直接下一步，如下图NETBIOS设置，保持默认，直接下一步，如下图17指定ADDS数据库、日志文件和SYSVOL存放的位置，如下图配置选项查看，可检查是否有问题，有问题点击上一步返回，否则直接下一步，如下图AD域服务器部署前先决条件检查，检查通过后，点击安装，如下图正在配置域服务，配置完成后会自动重启。
如下图重启后，登录AD服务器，配置DNS反向查找区域，没有反向查找区域时，nslookup解析会出现问题，如下图DNS反向查找区域配置向导，如下图在区域类型中选择主要区域，如下图设置传送作用域，如下图设置反向查找IP类型，如下图输入反向查找区域名称，如下图指定反响查找更新类型，如下图完成DNS反向查找区域建立，如下图在DNS反向查找区域中查看记录，如下图二、上面设置已经完成主域的部署，接下来，部署额外域控。
AD域、DNS分离+额外域控制器安装,及主域控制器损坏解决方法
AD域DNS分离+额外域控制器安装及主域控制器损坏解决方法对于域控制器的安装，我们已经知道如何同DNS集成安装，而且集成安装的方法好处有：使DNS也得到AD的安全保护，DNS的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。
当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS服务器，并且即将安装的DC控制器负载预计会很重，如果觉得DC本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。
这里我们设计的环境是一台DNS服务器（DNS-srv）+主域控制器（AD-zhu）+额外域控制器（AD-fu点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。
（其中由于服务器特性需要指定AD-zhu、AD-fu、DNS-srv为静态地址）对于DC和DNS分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS。
先安装DC在安装DNS的话，需要注意的就是DC安装完后在安装DNS需要重启DC以使DNS得到DC向DNS注册的SRV记录，Cname记录，NS记录。
那么我们就以先安装DNS为例,对于实现这个环境需要三个大步骤：服务器的安装；主控制器的安装；额外控制器的安装。
接下来我们分步实现······为了更加了解DC和DNS的关系，安装前请先参阅：安装Active Directory 的DNS 要求在成员服务器上安装Active Directory 时，可将成员服务器升级为域控制器。
Active Directory 将DNS 作为域控制器的位置机制，使网络上的计算机可以获取域控制器的IP 地址。
在Active Directory 安装期间，在DNS 中动态注册服务(SRV) 和地址(A) 资源记录，这些记录是域控制器定位程序(Locator) 机制功能成功实现所必需的。
为现有域安装额外域控制器
为现有域安装额外域控制器注意：在将服务器提升为现有域中的备份域控制器之前，必须在此服务器上正确配置了IP 和DNS 设置。
备域控IP和主域控IP为同一网段，DNS和AD是集成的话，各域控的DNS 都和各自的IP相同。
在提升过程中，该服务器需要解析此域的完全限定域名。
1. 单击开始，然后运行，键入dcpromo。
2. 这将启动后单击确定。
“Active Directory 安装向导”。
单击下一步。
3. Active Directory 安装向导会询问一系列问题，以确定此服务器将担任的角色。
因为您要将此服务器安装为域中的额外域控制器，请单击“现有域的额外域控制器”。
4. 单击下一步。
5. 下一个屏幕提示您提供网络凭据。
键入有权限执行此操作的帐户的用户名、密码和域名。
该帐户必须具有完全管理权限。
域名不应是完全限定域名的形式。
6. 在额外域控制器屏幕上，以完全限定域名的形式键入现有域的完整DNS 名称（例如：）。
7. 数据库位置和日志位置框将填入默认位置(Rootdrive\Winnt\Ntds)。
为获得最佳性能和可恢复性，请将数据库和日志分别存储在不同的硬盘上。
将日志位置值更改为另一硬盘。
8. 单击下一步。
9. 在共享的系统卷屏幕中，只要该卷使用NTFS 文件系统，就可以接受Rootdrive\Winnt\Sysvol 作为默认位置。
这是Sysvol 文件夹所要求的。
10. 单击下一步。
11. 如果没有可用的DNS 服务器，则会出现“向导无法联系到处理名称Domain Name 的DNS 服务器以确定它是否支持动态更新。
请确认DNS 配置，或者在此计算机上安装并配置一个DNS 服务器”这一消息。
12. 单击确定。
13. 在配置DNS 屏幕上，单击“是”，在这台计算机上安装和配置DNS(推荐)”。
14. 单击下一步。
15. 在Windows NT 4.0 RAS 服务器屏幕上，选择是否要允许远程访问服务(RAS) 访问此服务器。
windows server 2003下建立额外域控制器和DNS冗余
windows server 2003下建立额外域控制器和DNS冗余大家看，这是我们的主域控制器。
试着设想一下，如果我们的主域控制器坏掉的话那么我们公司的所有员工都没办法登陆到域并且无法使用内部DNS。
为了避免这种情况，我们要怎么做呢？微软很人性化，给我们推出了额外域这个东东，而且能够实现DNS冗余，如果不懂“冗余”是什么东西的话请到百度百科查询。
首先我们要建立额外域。
大家看，这台计算机是属于“WORKGROUP”工作组，下面我们就要将他变成“”的额外域控制器。
首先，跟安装域一样在运行下输入“dcpromo”。
下一步。
接着下一步。
注意看这里，这里很重要，我们选择“现有域的额外域控制器”，这个不做解释，我相信所有的人都明白这是什么意思。
这里输入管理员帐户和密码以及域的名称，因为我的管理员密码为空，所以不输入管理员密码。
这里是选择您的计算机将要成为哪个域的额外域控制器，输入域的名字（如：）或者点击浏览选择域控制器也可以。
这里不作解释，想知道这里是什么东西请看本人的“windows server 2003下安装与的文章”。
这里不作解释，想知道这里是什么东西请看本人的“windows server 2003下安装与的文章”。
这里不作解释，想知道这里是什么东西请看本人的“windows server 2003下安装与的文章”。
这里不作解释，想知道这里是什么东西请看本人的“windows server 2003下安装与的文章”。
下面电脑将自动将自己变成“”的额外域控制器。
安装完之后点击完成然后冲洗启动计算机你会看到以上的信息，这就表明我们已经成功的将这台计算机变成“”的额外域控制器了。
这样的话，如果主域控制器坏掉的话，员工也能照常登陆到域，而不会影响公司的正常运行。
你可以尝试一下多架设几个额外域控制器。
光这样还是不行的，开头我们说过，还得让DNS不受影响，员工照样能使用内部的DNS，下面我们再做一下DNS冗余其实很简单，在做完额外域之后，我们在这台计算机上架设DNS，纤细步骤如下。
额外域的建立
如果域中只有一台域控制器，一旦出现物理故障，我们即使可以从备份还原AD，也要付出停机等待的代价，这也就意味着公司的业务将出现停滞。
部署额外域控制器，指的是在域中部署第二个甚至更多的域控制器，每个域控制器都拥有一个Active Directory数据库。
使用额外域控制器的好处很多，首先是避免了域控制器损坏所造成的业务停滞，如果一个域控制器损坏了，只要域内其他的域控制器有一个是工作正常的，域用户就可以继续完成用户登录，访问网络资源等一系列工作，基于域的资源分配不会因此停滞。
使用域控制器还可以起到负载平衡的作用，如果公司内只有一个域控制器，而公司用户达到上万人，假设域控制器处理一个用户登录的时间是0.1秒，那最后一个用户登录进入系统肯定要遭遇一定的延迟。
如果有额外域控制器，那么每个额外域控制器都可以处理用户的登录请求，用户就不用等待那么长时间了。
尤其是如果域的地理分布跨了广域网，例如域内的计算机有的在北京，有的在上海，有的在广州，那么显然上海用户的登录请求通过低速的广域网提交到北京的域控制器上进行验证不是一个效率高的办法，比较理想的办法是在北京，上海，广州都部署额外域控制器以方便用户就近登录。
域中如果有多个域控制器，那么每个域控制器上都拥有Active Directory数据库，而且域控制器上的Active Directory内容是动态同步的，也就是说，任何一个域控制器修改了Active Directory，其他的域控制器都要把这个修改作用到自己的Active Directory上，这样才能保证Active Directory数据的完整性和唯一性。
否则如果每个域控制器的Active Directory内容不一致，域控制器的权威性就要受到质疑了。
提到这里，顺便说一下主域控制器这个名词，很多朋友喜欢把域内的第一台域控制器称为主域控制器，其他的额外域控制器称为辅域控制器，严格来说这种说法并不严谨。
主域控制器这个术语在NT4的环境下是成立的，因为NT4的域把域控制器分为两类，主域控制器和备份域控制器。
ServerR部署域控、额外域控及FSMO角色转移和夺取
Server2012R2部署域控、额外域控及FSMO角色转移和夺取网络环境：2012R2+DHCP操作系统：WindowsServer2012R2Standard网卡信息：IP：192.168.100.1/242012R2+DHCP操作系统：WindowsServer2012R2Standard网卡信息：IP：192.168.100.2/24DHCP配置如下：网关：无，配置2台服务器为DHCP故障转移一、主域的安装及配置配置网卡信息，如下图打开服务器管理器，点击添加角色和功能如下图选择安装类型：基于角色或基于功能的安装，如下图池中仅一台主机，保持默认（此图是在未更改主机名时截取的，更改后的截图找不到了，拿来顶替），如下图选择AD域服务并添加功能，如下图功能不做添加，不选择直接下一步，跳转到添加ADDS域服务向导，如下图确认安装所选内容，点击安装，如下图正在安装域服务器，如下图安装完毕，点击关闭，如下图点击服务器管理器上方的小旗子查看提示内容，选择将此服务器提示为域控制器，如下图因为这是此域中第一个域，选择添加新林并输入根域名信息，如下图选择域控制器林和域功能级别并设置DSRM密码，如下图出现DNS敬告，因为没有安装DNS，忽略，直接下一步，如下图NETBIOS设置，保持默认，直接下一步，如下图17指定ADDS数据库、日志文件和SYSVOL存放的位置，如下图配置选项查看，可检查是否有问题，有问题点击上一步返回，否则直接下一步，如下图AD域服务器部署前先决条件检查，检查通过后，点击安装，如下图正在配置域服务，配置完成后会自动重启。
如下图重启后，登录AD服务器，配置DNS反向查找区域，没有反向查找区域时，nslookup解析会出现问题，如下图DNS反向查找区域配置向导，如下图在区域类型中选择主要区域，如下图设置传送作用域，如下图设置反向查找IP类型，如下图输入反向查找区域名称，如下图指定反响查找更新类型，如下图完成DNS反向查找区域建立，如下图在DNS反向查找区域中查看记录，如下图二、上面设置已经完成主域的部署，接下来，部署额外域控。
域控制器配置详解
2003双机热备之一系统安装本文所述双机热备是采用微软公司Windows2003 Server操作系统，非第三方管理软件。
硬件需求：1、两台服务器，一台为主域控制器，另一台为额外域控制器；2、每台服务器配置两块网卡，和两块阵列卡（一块做本地服务器磁盘阵列，另一块连接磁盘柜阵列）；3、一台用来共享资源的存储设备（本文为Dell221s磁盘阵列柜）；4、一条点对点的反转网线（充做心跳线）；两条将服务器接入网络的网线。
系统安装：主域控制器和额外域控制器可以分两个时间段来完成，这也是群集的最大特点，可以不停机的进行数据转移。
以下一同描述主域控制器和额外控制器的安装：1、服务器分为主域控制器（主服务器）和额外域控制器（从服务器），这里将主域控制器标名为hrb0，将额外域控制器标名为hrb1；2、将hrb0 的第一块网卡做为外网（局域网）使用的网卡，标明public，第二块网卡做为私网（与hrb1的连接）使用的网卡，标明private；3、在主服务器上安装Windows 2003 Server Enterprise（过程略）；4、配置tcp/ip协议：外网: 掩码：网关：DNS：（把对方服务器IP作为本机的主DNS，本机地址做备用DNS）内网: 掩码：（网关空）DNS: （把对方服务器IP作为本机的主DNS，本机地址做备用DNS）5、安装补丁；6、其它相关配置完成后，关闭服务器，准备连接磁盘阵列；7、将磁盘阵列柜的应用模式调至"群集模式"（在盘柜的背面有滑动开关，调至靠近模块拉手一侧）;由于在"群集模式"下，RAID卡会占用ID15的槽位，所以ID15槽位的磁盘在以后的配置应用过程中不会起到作用，建议将盘柜ID15槽位的硬盘取下,做为以后的备用硬盘。
8、将主域控制器的RAID卡连接线接至磁盘柜的EMM插口，磁盘阵列的另一EMM插口留给额外域控制器，如果服务器上的阵列卡是双通道的，两个服务器连接SCSI线的通道要一致。
额外域控制器
额外域控制器的安装要进行在线额外域控制器安装，首先要把该台成员服务器的DNS指向当前域网络中的DNS 服务器，当然还得连接在域网络中（但可以不事先加入域）。
可以按照上节安装第一台服务器的步骤来安装额外域控制器，但因为这里仅安装域控制器，所以可以直接运行活动目录安装向导来进行，具体步骤如下（同样是以最新的SP2版本为例进行介绍）：（1）在要配置为额外域控制器的Windows Server 2003（也可以是Windows 2000 Server系列）中以本机管理员账户administrator登录，然后在"运行"窗口中执行dcpromo命令，打开活动目录安装向导，如图6-18所示。
（2）单击"下一步"按钮，打开如图6-19所示的对话框。
这里是一个Windows Server 2003域系统的兼容提示，提示你要注意，像Windows 95及以前版本的Windows系统以及一些非（3）单击"下一步"按钮，打开如图6-20所示的对话框。
在这里要选择所安装的域控制器类型，此处创建的是额外域控制器，所以要选择"现有域的额外域控制器"单选项。
（4）单击"下一步"按钮，打开如图6-21所示的对话框。
在这里要求提供在域中有权安装活动目录的用户账户信息。
这里所提供的用户账户必须是目标域的Domain Admins组的成员或者是Enterprise Admins 组的成员，通常是域管理员账户，当然也可以委派其他账户。
域名必须是目标域的完整DNS 名称，不能是NetBIOS域名。
（5）单击"下一步"按钮，打开如图6-22所示的对话框。
在此指定该服务器要成为的额外域控制器的域名。
同样要使用完整的DNS域名格式，不能使用NetBIOS域名。
本示例为lycb.local。
（6）单击"下一步"按钮，打开如图6-23所示的对话框。
额外域控制器及dns
安装步骤：1 安装前，额外域控制器的DNS指向主域控2 安装DNS服务但不设置3 安装额外域控,如果主域控中dns和AD集成，额外域控制器会在安装ad后自动同步dns 记录.4 安装后修改额外域控制器的DNS指向本机(可选)。
一、额外域控制器安装及相关设置在做额外域控的机器上运行DCPROMO，安装额外域控制器。
安装完毕后，重启。
1、在dcserver主域控器DNS管理界面里1）选中正向区域的“_“，点右键属性，确认区域类型: “Active Director 集成区域”；更改区域复制范围为“至Active Directory域中的所有域控制器”确认动态更新为“安全”2）再“名称服务器”标签中，将额外域控制器全域名及IP添加进来3）在“区域复制”标签中，将“允许区域复制”打勾，并点选“只有在“名称服务器”选项卡中列出的服务器”这项。
4）依次在“”和反向查找区域“192.168.1.x. subnet”做以上各步履，在主域DNS服务器设置完成。
2、在额外域控制器上安装DNS服务（升级额外域控时未配置DNS服务）安装完毕，打开DNS管理器界面（相关设定应该自动复制完毕），再将各区域设置为“允许区域复制”。
3、将主域控及额外域控主DNS设为本机IP，备用DNS地址互指。
4、将额外域控制器dcbak本身设为“全局编录”打开“Active Directory站点和服务”，点选DCBAK ->NTDS右击属性，将“全局编录”打勾，点确定退出。
5、客户端还需要将主备dns地址填上主域控及额外域控的地址（可通过组策略中登陆脚本实现客户端DNS地址添加）至此，主域控与额外域控可负载均衡（应该是这么叫吧），若一个域控损坏，客户端登陆不受影响。
二、主域控制器FSMO角色的迁移目的：若当前主域控制器在线，且因性能不佳或需更换硬件，为了不影响exchange server 正常使用，需要将主域控制器FSMO迁移至额外域控制器.1、Active Directory 定义了5 种FSMO 角色：架构主机、域主机、RID 主机、PDC 模拟器和结构主机。
《添加辅助域控制器》课件
问题三：无法安装活动目录服务
总结词
系统环境问题
详细描述
在添加辅助域控制器的过程中，可能会遇到无法安装活动目录服务的问题。这可能是由于 系统环境问题或活动目录服务配置错误导致的。
VS
详细描述
在安装过程中，您需要选择“添加或删除 角色和功能”选项，然后选择“Active Directory服务器”角色进行安装。安装 完成后，系统将自动配置活动目录服务。
配置活动目录数据库
总结词
配置活动目录数据库是确保域控制器正常运 行的重要步骤，需要指定活动目录数据库的 存储位置和大小。
详细描述
在安装过程中，系统会提示您选择活动目录 数据库的存储位置和大小。您需要根据实际 需求选择合适的存储位置和大小，以确保活 动目录数据库的正常运行。
配置操作主机角色
总结词
配置操作主机角色是确保域控制器能够正确处理操作请求的重要步骤，需要将操作主机 角色分配给域控制器。
详细描述
在安装过程中，系统会提示您选择操作主机角色。您需要选择适当的操作主机角色，并 将其分配给域控制器。这样，域控制器就可以处理相关的操作请求，确保域环境的稳定
解决方案
首先检查网络连接是否正常，确保网络畅通。然后检查DNS服务器的配置，确 保DNS服务器的IP地址正确，并且DNS服务器能够正常响应。如果问题仍然存
在，可以尝试使用其他DNS服务器地址或重新启动DNS服务器。
问题二：无法创建域控制器账户
总结词：权限问题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
这次实验我们准备在域中部署一个额外域控制器，额外域控制器的角色由Firen ze来承担，拓扑如下图所示，DNS服务器仍然是由一台单独的计算机192.16 8.11.1来承担。
首先我们要在Firenze上设置TCP/IP的属性，如下图所示，我们要确保Firen ze使用的DNS服务器是正确的，因为Firenze要依靠DNS服务器来定位域控制器。
Firenze不用先加入域，Firenze是工作组内的一台独立计算机也是可以的。
在Firenze上运行Dcpromo，如下图所示。
出现Active Directory的安装向导，点击下一步继续。
这次我们选择创建现有域的额外域控制器，点击下一步继续。
输入域管理员账号，用以证明自己有权限完成额外域控制器的部署。
Firenze将成为域的额外域控制器。
Active Directory数据库的存储路径使用默认值即可。
Sysvol文件夹的存储路径也可以使用默认值。
输入目录服务还原模式的管理员密码，以后我们从备份还原Active Directory 时可以用到。
确认所有的设置无误，点击下一步继续。
如下图所示，Firenze通过网络从第一个域控制器Florence那里复制Active Directory到本机。
Active Directory安装完毕，点击完成后Firenze会重新启动，至此，额外域控制器部署结束。
Firenze部署完毕后，我们打开Firenze上的Active Directory用户和计算机，如下图所示，我们可以看到Firenze已经把Florence的Active Directory内容复制了过来。
检查DNS服务器，可以看到DNS中已经有了Firneze的SRV记录。
至此，部署Firenze作为额外域控制器成功完成，从过程来看并不复杂。
现在我们请大家考虑一个问题，Florence和Firenze是现在域中的两个域控制器，Florence和Firenze的Active Directory内容应该完全一致，但如果现在Florence和Firenze的Active Directory内容出现了差异
如下图所示，域中有两个域控制器Florence和Firenze。
现在域中有一个用户张建国，我们在Firenze上对Active Directory已经进行了备份。
现在我们在Florence上不小心把张建国误删除了，显然Firenze会很快把Active Direct ory中的张建国也删除，以便和Florence的Active Directory保持一致。
那么我们应该怎么做才能把张建国给恢复回来呢？
很多朋友会很自然地想到利用Firenze上的Active Directory备份来解决这个问题，既然备份中有张建国，那么把备份还原回来不就OK了吗？这个问题没这么简单，如果域中只有一个域控制器，那么用备份还原是成立的。
但现在域中有两个域控制器，我们就要好好考虑一下了。
Firenze从备份还原后，Florence 和Firenze的Active Directory内容就不一样了，那么Florence和Firenze 的Active Directory哪个优先级更高呢？哦，不对，似乎是Florence的版本号更高一些！那我们就可以从理论上得出结论，Firenze从备份还原之后，Acti ve Directory中已经拥有了张建国的用户账号，但Firenze和Florence比较了Active Directory之后，Firenze认为Florence的Active Directory比自
己的优先级高，因此Firenze会把Florence的Active Directory复制过来，这样一来，刚被还原的张建国肯定会被重新删除掉！
难道我们对此就无能为力了吗？不是的，在Firenze从备份还原Active Direc tory之后，我们可以利用一个工具NTDSUTIL.EXE来修改Active Directory 对象的版本号，让Firenze的版本号大于Florence的版本号，这样我们就可以利用游戏规则顺利地达到目的了。
这种还原方式我们称为授权还原，下面我们通过一个实例为大家演示一下具体过程。
现在的场景是Firenze已经对Active Directory进行了备份，备份中包含了域用户张建国。
在备份之后我们误删除了张建国，现在我们在Firenze上开始利用备份进行主要还原。
首先在Firenze上重启计算机，BIOS自检后按下F8，如下图所示，选择进入目录服务还原模式。
目录服务还原模式可以把Active Di rectory挂起，适合我们从备份还原Active Directory。
进入目录服务还原模式后，我们从附件中启动备份工具，如下图所示，选择下一步继续。
选择还原文件和设置。
选择从备份还原Active Directory。
点击确定开始Active Directory的还原。
如下图所示，还原结束后，千万别选择重启计算机，我们还没有修改Active Di rectory的版本号呢，确保选择“否”。
还原结束后在Firenze的命令提示符下运行NTDSUTIL，如下图所示。
运行了NTDSUTIL后，我们可以输入？来获取当前环境下的可执行命令帮助，如下图所示，我们运行Authoritative restore来修改AD对象的版本号。
如下图所示，我们可以简单地运行restore database，这样整个AD内所有对象的版本号都将加到最大，版本号加到最大是什么含义呢？微软规定，AD对象的版本号每天最多可以增加10万。
在本例中我们不需要把AD中所有对象的版本号都增加到最大，只要修改张建国的版本号就可以了。
因此我们可以使用Re store Object命令只针对张建国的版本号进行修改，那如何在AD中表示张建国呢？按照目录对象的命名规范，张建国隶属于域中的人事部组织单位，那我们描述张建国就应该使用cn＝张建国，ou＝人事部，dc＝adt est，dc＝com。
如下图所示，我们输入修改指令后观察一下运行的效果。
系统询问是否执行授权还原，我们选择“是”。
如下图所示，授权还原成功完成，用quit命令退出NTDSUTIL。
授权还原结束后我们重启Firenze，如下图所示，Firenze的AD中已经重新拥有了用户张建国，修改版本号成功了。