02升级为域控制器
主域控制器损坏后,额外域控制器强占 FSMO 测试过程和结果.
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果....关于AD灾难恢复，最终测试..关于AD灾难恢复有很多非常好技术文章可以参考，在狗狗搜索NNN编，但为何还是要写这篇呢，‘听不如看，看不如做，做不如写’嘿嘿，反正写写没多难，最紧要入脑袋！！其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～本贴说明：....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！AD、DC说明：.域名：..主域：DC-ISA-NLB-1..副域：DC-ISA-NLB-2.系统：2003企业版故障情况：（真实环境跑完全过程..）..主域崩溃，副域无法正常工作，如：....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；....AD管理项目均报错，组策略.....等；....域用户无法登录；解决方法：（以上是在副域上操作）..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；..使用命令：ntdsutil.....AD工具..过程：（大概6-8分钟）C:\Documents and Settings\Administrator.LH>ntdsutilntdsutil: metadata cleanupmetadata cleanup: connectionsserver connections: connect to server dc-isa-nlb-2绑定到 dc-isa-nlb-2 ...用本登录的用户的凭证连接 dc-isa-nlb-2。
server connections: qmetadata cleanup: qntdsutil: rolesfsmo maintenance:Seize domain naming master ‘点OK’fsmo maintenance:Seize infrastructure master ‘点OK’fsmo maintenance:Seize PDC ‘点OK’fsmo maintenance:Seize RID master ‘点O K’fsmo maintenance:Seize schema master ‘点OK’‘关闭CMD窗口’...～～以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧：..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’；.....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’；..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’.....1.点击‘DC-ISA－NLB-1’；...........a.选中分支‘NTDS Settings’；...........b.点击‘删除’，对话框‘选择第三项’；.....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’；.....3.点击‘DC-ISA－NLB-2’...........a.选中分支‘NTDS Settings’...........b.点击右键选择‘属性’，全局编录前打上勾；完工....以上搞点后，余下就可以慢慢修复你的主域了。
解决Windows域管理的几个经典问题
解决Windows域管理的几个经典问题2008-05-30 10:57近日在为公司配置域管理架构的时候，遇到了一些问题，上网google发现这些问题的提问者众多，堪称“经典”问题。
Windows域管理已经不是什么新鲜玩意儿了，可网上各类答案很多驴唇不对马嘴，互相抄来抄去，让提问者不得要领。
特撰此文，将我实际解决问题的小小经历记录下来与大家分享，避免大家遇到相同问题的时候走弯路。
我公司的网络结构采用VLAN划分部门，服务器单独一个VLAN，通过在核心交换机上配置路由和ACL实现各部门之间不可互访，通过访问服务器进行数据交换。
服务器是Win2003企业版，不记得用什么光盘装的了，反正网上下的，装完后打过SP2补丁，安装的Win2000域控制器模式（有Win2000的服务器）。
域名：binhu.local主域控制器：192.168.0.6/24 192.168.0.254/24（双网卡）这个网段只有网管部门可访问，本来是调试用的，还没有正式迁移到服务器网段，不过可以和服务器网段建立通信。
额外域控制器：192.168.2.254/24 服务器网段DNS：192.168.2.254DHCP ：192.168.2.254 已经通过交换机的UDPHelp把各个VLAN的DHCP网段都做好了，只配置了IP、网关、DNS。
局域网计算机有Win2k Pro和WinXP Pro，W2k是用自己封装的ghost批量安装的，xp 是用的YlmF_GhostXP_SP3_Y1.0，当然都是会随机产生SID啦，全部采用自动获取IP地址，安装后默认设置不变，XP自带防火墙开启，配置如图1。
（图1）在客户端可以Ping通服务器IP地址以及binhu.local。
总之网络层的互联互通是OK的，下面的问题全都不是由网络配置问题造成的，如果您确定您的网络配置都正确，并且网络结构和我大致相同或比我的还简单，可以继续往下看！问题1：新计算机在添加到域的过程中，按提示输入了域帐户和密码后，系统提示“找不到网络路径”。
域控制器
安装了活动目录的计算机
01 概念
03 组成 05 变化
目录
02 详细释义 04 操作方式
基本信息
域控制器是指在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一 个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
概念
概念
组成
组成
域控制器中包含了这个域的用户账户、密码和属于这个域的电脑等信息构成的数据库。当电脑连入网络时， 域控制器首先要鉴别这台电脑是否是属于这个域，用户使用的登录账号是否存在、密码是否正确。如果以上信息 不正确，域控制器就拒绝该用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，只能 以对等网用户的方式访问Windows共享的资源，这样就一定程度上保护了网络置
以系统管理员身份在已经设置好Active Directory（活动目录）的Windows 2000 Server上登录，选择 “开始”菜单中“程序”选项中的“管理工具”，然后再选择“Active Directory用户和计算机”，之后在程序 界面中右击“Computers”，在弹出的菜单中单击“新建”，然后选择“计算机”，之后填入想要加入域的计算 机名即可。要加入域的计算机名最好为英文，中文计算机名可能会引起一些问题。
客户端设置
首先要确认计算机名称是否正确，然后在桌面“网上邻居”上右击鼠标，点击“属性”出现网络属性设置窗 口，确认“主网络登录”为”Microsoft网络用户”。选中窗口上方的“Microsoft网络用户”（如果没有此项， 说明没有安装，点击“添加”安装“Microsoft网络用户”选项）。点击“属性”按钮，出现“Microsoft网络 用户属性”对话框，选中“登录到Windows NT域”复选框，在“Windows NT域”中输入要登录的域名即可。这 时，如果是Windows 98操作系统的话，系统会提示需要重新启动计算机，重新启动计算机之后，会出现一个登录 对话框。在输入正确的域用户账号、密码以及登录域之后，就可以使用Windows 2000 Server域中的资源了。请 注意，这里的域用户账号和密码，必须是网络管理员为用户建的那个账号和密码，而不是由本机用户自己创建的 账号和密码。如果没有将计算机加入到域中，或者登录的域名、用户名、密码有一项不正确，都会出现错误信息。
计算机网络技术试题集(含答案)五
计算机网络技术考试试题及答案一. 填空(每空0.5分，共10分)1. 计算机网络的主要功能为______共享. ________共享. 用户之间的信息交换。
2. 从局域网媒体访问控制方法的角度可以把局域网划分为________局域网和________局域网两大类。
3. 计算机网络系统由和资源子网组成4. 10BASE-T标准规定的网络拓扑结构是________，网络速率是________，网络所采用的网络介质是________，信号是________。
5. 国内最早的四大网络包括原邮电部的ChinaNet. 原电子部的ChinaGBN. 教育部的___________和中科院的CSTnet。
6. 在TCP/IP中，负责将IP地址映像成所对应的物理地址的协议是_______。
7. DNS服务器(DNS服务器有时也扮演DNS客户端的角色)向另一台DNS 服务器查询IP地址时，可以有3种查询方式：________.________ 和________。
8. Internet采用的协议簇为_______;若将个人电脑通过市话网上Internet 需配置_____。
9. 在计算机的通信子网中，其操作方式有两种，它们是面向连接的和无连接的。
10. 局域网与Internet主机的连接方法有两种，一种是通过，另一种是通过与Internet主机相连。
二. 单选题(每题1分，共30分)1. 以太网媒体访问控制技术CSMA/CD的机制是( )。
A. 争用带宽B. 预约带宽C. 循环使用带宽D. 按优先级分配带宽2. 完成路径选择功能是在OSI模型的( )。
A. 物理层B. 数据链路层C. 网络层D. 运输层3. ATM网络采用固定长度的信元传送数据，信元长度为( )。
A. 1024BB. 53BC. 128BD. 64B4. 在同一个信道上的同一时刻，能够进行双向数据传送的通信方式是( )。
A. 单工B. 半双工C. 全双工D. 上述三种均不是5. 交换机和网桥属于OSI模型的哪一层( )。
汽车域控制器行业发展介绍
汽车域控制器行业发展介绍整车电子电气功能升级，ECU数量不断提升。
随着汽车智能化、网联化的渗透与普及，汽车功能配置日益复杂，汽车电子电气零部件占汽车的比重逐渐提高，对传感器、电子控制器（Electronic Control Unit，ECU）的需求数量大幅增加，如副驾驶娱乐屏幕、HUD抬头显示系统，自动驾驶摄像头、毫米波雷达，ECM模块（控制发动机）、BMS模块（管理新能源汽车电池）、AVM模块（360度环视影像融合计算）等。
同时，电动车时代下“电机+电控+电池”三电系统颠覆原有燃油动力源，电气信号逐步替代机械传动成为车内主要信息传导媒介，为以芯片、电路为基础的控制系统进行全车功能掌控打下扎实基础。
一、发展背景随着汽车电子渗透率持续提升，在传统分布式电子电气架构（Electrical/Electronic Architecture，EEA）下，一辆普通汽车的ECU高达70个，代码量近亿行。
不同ECU之间主要采用CAN/LIN总线进行连接，近年汽车中CAN/LIN总线节点数目不断提升，LIN和CAN总线节点的CAGR分别约为17%、13%。
此外，传统分布式EEA架构与汽车软件、硬件存在强耦合关系，导致车企开发成本及难度不断提升。
在此背景下，集中式电子电气架构、集中式区域控制器（Domain Control Unit，DCU），即域控制器概念应运而生。
智能时代单车功能演进，整车架构有进一步革新。
微控制器在传统的车辆中为分布式架构，增加功能需同时配备对应ECU及线束，易造成整车电子架构的臃肿。
目前，单台高端乘用车的ECU数量已破百且线束长度逾2km，而数目、品种杂多的ECU也不利于系统功能的协同优化，整车扩展性差，软件开发和迭代成本高。
在智能时代下，传统单个处理器亦难以负荷激光雷达等高性能部件，以及自动驾驶高阶功能对于多汽车部件协同的要求。
二、域控制器发展优势基于ECU的分布式存在算力分散、线束成本及重量、通信带宽低以及集成维护困难四大问题，难以适应汽车智能化发展趋势。
WindowsServer2012R2辅域控制器如何升级成主域控制器
WindowsServer2012R2辅域控制器如何升级成主域控制器⼀、实验模拟故障问题： zhuyu公司架设了⼀台主域控制器和⼀台辅域控制器，某⼀天，zhuyu公司的主域控制器系统崩溃，主域控制器系统也进不去。
虽然辅域控制器可以暂时代替主域控制器的普通⼯作，但是特殊的操作辅域控制器是没办法操作的。
经过zhuyu公司领导同意， 决定把主域控制器撤⾛，直接让辅域控制器升级成主域控制器。
⼆、⽹络拓扑图：********** 注意事项 **********1、辅域控若要接管主域控的前提是主域控与辅域控上都要有DNS，并且DNS是与域控是集成的。
2、客户端进⾏域访问时⾸先会联系⾸选DNS，即主域控，但是这时的主域控已经脱离⽹络，⽆法访问。
客户端就会尝试使⽤备⽤DNS，就会联系辅域控，达到正常访问，但是这样做的话，有⼀个很明显的问题，就是访问、验证、登录会⽐以前慢很多，因为要先联系主域控。
3、主域控系统⽹络是断开状态，辅域控若要获取主域控全部权限，辅域控必须通过强夺的⽅式把主域的FSMO的五个⾓⾊从主域控上强夺过来使⽤，通过ntdsutil命令清理死亡的主域控的残留信息(元数据)，最后指定辅域控为GC(全局编录)。
4、修改辅域控的IP为原来主域控的IP，同时重启Netlogon服务，⼿动将主域的DNS记录（包括A记录、NS记录、SRV记录、SOA记录）更改为原主域控的IP地址，把DNS名称服务器(NS)存在的已死亡的主域控删除掉。
5、辅域控重启系统检查DNS和域控是否正常，查看⽇志⽂件是否报错。
三、操作步骤：1、辅域控制器固定IP设置。
2、主域控制器已经脱离⽹络，ping 192.168.10.30已经不通了。
3、因为主域控已经断开连接，所以，辅域控的操作主机显⽰错误。
4、在辅域控DOS命令下运⾏netdom query fsmo 查看当前的FSMO五个⾓⾊的拥有者都是test-zhuAD主域控，所有辅域控test-beiAD采⽤强夺⽅式把主域控test-zhuAD五个⾓⾊强夺过来。
实验3建立域控制器
实验3 建立域控制器1 实验目的1、通过实验掌握Windows Serv er 2008R2中活动目录的安装步骤。
2、通过实验掌握额外域控制器的安装步骤。
3、掌握将客户机加入或脱离域的方法。
4、掌握创建具有父子信任关系的域树的方法。
5、掌握创建具有根信任关系的域林的方法。
2 实验环境1、VMware中两台已经安装Windows Serv er 2008R2的计算机（也可通过clone 实现）（计算机名分别为ser v ier01和serv er02）。
2、1台Windows 7计算机。
3、所有计算机之间能够相互连通。
3 实验原理1、域控制器是用来保存活动目录信息的服务器。
它处于域中顶尖的位置，在构建域网络的过程中需要建立的第一台服务器就是它。
域控制器管理目录信息的变化，并把这些变化复制到同一个域中的其它域控制器上。
域控制器也负责用户的登录过程，以及其它与域有关的操作，如身份认证、目录信息查找等。
2、网络中可以有多台域控制器，以实现容错的能力。
所有域控制器都是平等的。
3、Windows系统的计算机加入域后，便可以访问AD数据库与其它域资源，例如用户可以在这些计算机上使用域用户账户来登录域，并使用此域用户账户来访问域内其它计算机内的资源。
当然，加入域的计算机也可以脱离域。
4、域树由一个或多个域构成，安装时应先创建父域，再创建子域，在域名上应具有连续性。
林由一个或多个域树构成，在建立第2个域树的根域时可以建立与已有域树的根信任关系。
域林中各个域的域名没有关联关系。
5、信任关系是用于确保一个域的用户可以访问和使用另一个域中资源的安全机制。
信任是域之间建立的关系，可以使一个域中的用户由另一个域中的域控制器进行验证。
常用的信任类型包括：（1）父子信任在域林中，父子域之间存在信任关系，称之为父子信任关系。
默认情况下，当现有域树中添加新的子域时，将建立一个新的父子信任。
来自从属域的身份验证请求将通过其父项向上传递到信任域中。
把Windows 2008 R2域服务升级和迁移到Windows Server 2012 R2上
把Windows 2008 R2域服务升级和迁移到Windows Server 2012 R2上• (一)windows Server 2012 R2 中增加了不少功能，在AD角色中就增加了如下新特性：Workplace Join：支持设备在不加入域的情况下，通过第二因子认证和单点登录通过web应用代理访问内部应用:外部设备可以直接通过Web应用代理来访问内部应用和服务，如：ADFS、Applications。
通过规则以决定访问ADFS资源的用户权限，权限有三种：允许所有用户访问、输入凭据访问、拒绝用户访问迁移工作可以有多种方式，常见的就是在不同设备上进行迁移，这样安全可靠。
还有一种是就地升级的迁移，这种方式只限于能直接升级到Windows Server 2012 R2 的系统，升级前做好系统备份工作。
1.新安装一台Windows server 2012 R2服务器，打开添加角色和功能对话框。
2.在安装类型页面点击下一步3.在服务器选择页面，点击下一步4.在服务器角色页面，选择AD域服务角色，点击下一步5.在功能页面，点击下一步7.点击下一步8.勾选“如果需要，自动重新启动服务器”，点击安装9.安装完成后点击“将此服务器升级为域控制器”10.在部署配置页面，选择将域控制器添加到现有域，具体配置如图所示，点击下一步11.输入目录还原密码，然后点击下一步12.点击下一步13.复制自选择主域控制器，然后点击下一步14.在路径页面，点击下一步15.点击下一步16.点击下一步17.先决条件检查通过后，点击安装18.安装完成后，点击关闭19.在AD管理中心中看到，windows server 2012 R2 服务器已经成为域控制器。
（二）将域的五个角色转移到Windows server 2012 R2AD域环境中的五大主机角色在Win Server多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。
-如何将额外域控制器提升为主域控制器
将额外域控制器提升为主域控制器由于社会的快速发展，企业的发展空间越来越大，人员越来越多，为了对公司员工的机器更好的控制采用域（AD）来管理。
一般公司部署两台AD server来维持正常运行，一台为主域控制器，另外一台为额外域控制器，如果主ADserver损坏可通过额外的域控制器来维持环境正常运行，这个时候就需要将主AD进行维修，如果之前没有通过备份，同时AD由于硬件设备而导致不能正常工作，这个时候我们就需要将额外的域控制器提升为主AD，具体步骤见以下：当然大企业都通过部署DPM来备份重要server的数据，但是DPM有很大的成本，一般不采用，如果AD由于故障直接影响与AD继承的一些有依赖性的服务器，目前的我的环境有两台机器，具体信息如下：两台机器均运行在windows2008R2环境下Computer name:test-dcaIP Adress:192.168.100.1Dns:192.168.100.1Domain name:该server 为主域控制器DCBComputer name: test-dcbIp address :192.168.100.2Dns ：192.168.100.1Domain name：该server为额外域控制器以下我介绍两种容易及日常的故障《一》、1.当两台DC能正常通信，如何将额外的域控制器提升为主域控制器2.当其中一台主域控制器永久down机，如何将额外的域控制器提升为主域控制器那咱们先说说第一种吧，有人问到，有两台DC都能正常通信为什么要将额外的域控制器提升为主域控制器呢，这不是没事找事吧！哈哈….还真不是，如果主域控制服务器性能不是很好，现在又有一台性能很好的机器，我们可以通过提升来解决这个问题，当然还有其他方法了……遇到这样的问题我们通过更改fsmo角色来进行操作即可；操作分两种，一种图形界面，一种命令行；也许会有人问，有两种有什么区别么，以个人的经验，用图形界面能操作的命令行都能操作，当用命令行能操作的图形不一定能操作，所以呢，命令稍带优势；再说了，之前我升级AD遇到一个问题，在讲fsmo角色传递的时候图形界面就报错了，而通过命令操作一下就过了，所以呢，让大家把两个方式务必记住。
AD域控制器的配置
排除方法：检查网络连接确保网络畅通；检查域控制器权限设置确保域控制器有权限访问资 源；检查用户账户设置确保账户有权限访问资源。
故障现象：无法修改域控制器设置 排除方法：检查域控制器权限设置确保域控制器有权限修改 设置；检查组策略设置确保组策略允许修改设置；检查用户账户设置确保账户有权限修改设置。
单击添加文本具体内容简明扼要地阐述您的观点。根据需 要可酌情增减文字添加文本
DCDig工具：检测D域控制器配置问题 ***dom工具： 查询D域控制器状态和配置信息
***dom工具：查询D域控制器状态和配置信息
DSI Edit工具：修改D域控制器配置信息
单击添加文本具体内容简明扼要地阐述您的观点。根据需 要可酌情增减文字添加文本
DSI Edit工具：修改D域控制器配置信息
单击添加文本具体内容简明扼要地阐述您的观点。根据需 要可酌情增减文字添加文本
DSI Edit工具：修改D域控制器配置信息
单击添加文本具体内容简明扼要地阐述您的观点。根据需 要可酌情增减文字添加文本
故障现象：无法登录域控制器 排除方法：检查网络连接确保网络畅通；检查DNS设置确保 DNS服务器地址正确；检查域控制器服务状态确保服务正常运行。
,
汇报人：
01 02 03 04 05
06
Prt One
Prt Two
D域控制器是ctive Direcry（活动目录）的核心组件负责管理和维护D域内的用户、计 算机、组等对象。
D域控制器通过LDP协议提供目录服务实现用户身份验证、资源访问控制等功能。
02-域控功能权限夺取操作命令
以下操作模拟的环境为：主域控制器（计算机名称：TEST）损坏，并从网络中断开，在额外域控制器（计算机名称：TEST-BK）上执行命令，使其获取主域控制器的全部权限，并完全接管所有服务。
其中：●红色字体为操作过程中需要手工输入的命令●蓝色字体为输入命令后的返回结果●“//”后面的绿色字体为该条命令、或返回结果的说明，可供参考C:\ntdsutil //输入ntdsutil，进入配置命界面ntdsutil: ? //输入“？”显示可执行的命令行? - 显示这个帮助信息Authoritative restore - 授权还原DIT 数据库Configurable Settings - 管理可配置的设置Domain management - 准备新域创建Files - 管理NTDS 数据库文件Help - 显示这个帮助信息LDAP policies - 管理LDAP 协议策略Metadata clesanup - 清理不使用的服务器的对象Popups %s - 用“on”或“off”启用或禁用弹出Quit - 退出实用工具Roles - 管理NTDS 角色所有者令牌Security account management - 管理安全帐户数据库- 复制SID 清理Semantic database analysis - 语法检查器Set DSRM Password - 重置目录服务还原模式管理员帐户密码ntdsutil: metadata cleanup //输入“metadata cleanup”，进入清除废弃域控制器（即TEST）信息的命令界面metadata cleanup: ? //输入“？”，显示可执行的命令? - 显示这个帮助信息Connections - 连接到一个特定域控制器Help - 显示这个帮助信息Quit - 返回到上一个菜单Remove selected domain - 删除所选域的DS 对象Remove selected Naming Context - 为定的命名上下文删除DS 对象Remove selected server - 从所选服务器上删除DS 对象Remove selected server %s - 从所选服务器上删除DS 对象Remove selected server %s on %s - 从所选服务器上删除DS 对象Select operation target - 选择的站点，服务器，域，角色和命名上下文metadata cleanup: connections //输入“connections”，进入连接信息界面server connections: ? //输入“？”，显示出可执行的命令? - 显示这个帮助信息Clear creds - 清除以前的连接凭据Connect to domain %s - 连接到DNS 域名称Connect to server %s - 连接到服务器、DNS 名称或IP 地址Help - 显示这个帮助信息Info - 显示连接信息Quit - 返回到上一个菜单Set creds %s %s %s - 将连接凭据设置为域、用户、密码。
windows 2000升级2003过程
概述：将Windows 2000 域控制器升级到Windows Server 2003您在Windows Server 2003 介质的\I386 文件夹中运行的Windows Server 2003 adprep命令将准备Windows 2000 林及其域，以添加Windows Server 2003 域控制器。
Windows Server 2003 adprep /forestprep命令添加以下特性：•用于对象类的已改进的默认安全描述符•新的用户和组属性•类似于inetOrgPerson 的新的架构对象和属性adprep实用工具支持两个命令行参数：adprep /forestprep：运行林升级操作。
adprep /domainprep：运行域升级操作。
adprep /forestprep命令是在林的架构操作主机(FSMO) 上执行的一次性操作。
forestprep操作必须完成并复制到每个域的结构主机上，然后您才能在该域中运行adprep /domainprep。
adprep /domainprep命令是在林中每个将承载新的或升级的Windows Server 2003 域控制器的域的结构操作主机域控制器上运行的一次性操作。
adprep /domainprep命令验证forestprep所做的更改是否已经在域分区中复制，然后对Sysvol 共享中的域分区和组策略进行自己的更改。
除非/forestprep和/domainprep操作已经完成并复制到该域中的所有域控制器中，否则您将无法执行以下任何一项操作：•使用Winnt32.exe 将Windows 2000 域控制器升级到Windows Server 2003 域控制器。
注意：可以随时将Windows 2000 成员服务器和计算机升级到Windows Server 2003 成员计算机。
•使用Dcpromo.exe 将新的Windows Server 2003 域控制器提升到域中。
Windows中提升域控制器或将其降级为独立服务器
本文介绍如安在Windows 2000 中提升域控制器或将其降级为独立办事器。
将办事器提升为域控制器就是在此办事器上安装Active Directory 办事的历程。
将域控制器降级就是删除Active Directory 并切换到使用当地用户帐户系统(UAS)。
在将办事器提升为域控制器之前，必须计划您的结构以便最好地适应组织需要和网络拓扑结构。
在将办事器提升为域控制器时，治理员有以下选项：•在新目录林中安装第一个域控制器•在新域目录树中安装第一个域控制器•在新子域中安装第一个域控制器•在域目录树中安装分外域控制器•从域控制器中删除Active Directory进行名称解析时，域名系统(DNS) 办事是Active Directory 不可缺少的一部门。
DNS 界说了Windows 2000 命名空间，并且非常灵活。
有关DNS 要求和安装的其他信息，请单击下面的文章编号，以检察Microsoft 知识库中相应的文章：设置Active Directory 的域名系统在计划好配置并决定将在提升历程中使用哪一选项后，请按下面相应部门中的步调操纵。
这几部门可指导治理员完成提升历程。
在新目录林中安装第一个域控制器注意：您必须在提升前或在提升历程中在某一位置安装一个DNS 办事器。
在将盘算机提升为域控制器后，它在DNS 中注册办事，这些办事使轻型目录访问协议(LDAP) 查询能够针对此域控制器上的目录执行。
1.单击开始，单击运行，键入dcpromo，然后单击确定。
2.这将启动“Active Directory 安装向导”。
单击下一步。
3.Active Directory 安装向导会询问一系列问题，以确定此办事器将担当的脚色。
因为您要将此办事器安装为目录林中的第一个域控制器，请单击“新域的域控制器”。
4.单击下一步。
5.由于此域控制器还将充当新域目录树中的第一个域控制器，请单击“创建一个新的域目录树”。
6.单击下一步。
从windows 2000 server 域升级到windows 2008 r2 server
从windows 2000 server 域升级到windows 2008 r2 server可以采用3种方式。
（1）通过VirtualBox虚拟软件直接安装windows 2000 server 虚拟机。
由于windows 2000 server存在bug，因此安装windows 2000时将内存设置为128mb，否则安装过程会不断循环，无法安装系统。
安装完毕后再将内存扩大到2g。
（2）重新搭建windows 2008 域。
由于windows 2000的批量导入导出功能无法直接用于windows 2008 r2。
可以先安装windows 2008 尝试然后将用户和密码通过amt的方式导入,然后再升级到windows 2008 r2。
(3)直接从从windows 2000 server 域升级到windows 2008 r2 server一．首先检查windows 2000 server的域运行是否正常，是否存在失效的的域服务器。
所有角色是否在需要升级的域服务器上。
Windows 2000 server 域是否是本机模式执行windows 2008 server r2 光盘的:\support\adprep\adprep32/forestprep命令然后在每个windows 域服务器上执行:\support\adprep\adprep32/domainprep /gpprep) 命令/zh-cn/library/cc731654%28v=ws.10%29.as px参考内容/kb/255504不适合多主机更新的某些域和企业范围的操作由 Active Directory 域或林中的一台域控制器完成。
为执行这些特殊操作而指定的域控制器称为操作主机或FSMO 角色担任者。
以下列表描述了 Active Directory 林中五种唯一的 FSMO 角色类型，以及这些角色执行的相关操作：∙架构主机 (Schema master) －架构主机角色是林范围的角色，每个林一个。
Win 2000域升级到Win 2003域的详细步骤
? 架构主机 - 每个目录林中有一个主机角色担任者。架构主机 FSMO 角色的担任者是负责对目录架构执行更新的域控制器 (DC)。
? 域命名主机 - 每个目录林中有一个主机角色担任者。域命名主机 FSMO 角色的担任者是负责对目录的目录林范围的域名空间进行更改的 DC。
<9. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。单击 Specify Domain Controller（指定域控制器），键入将成为新的角色担任者的域控制器的名称，然后单击确定。
<10. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。右键单击 Active Directory 架构，然后单击操作主机。
<4. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。右键单击“Active Directory 用户和计算机”图标，然后单击操作主机。
<5. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。在更改操作主机对话框中，单击与您要转移的角色对应的选项卡（RID、PDC 或结构）。
<6. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。单击更改操作主机对话框中的更改。
<7. ：如果您不在要转移其角色的域控制器上，则需要执行此步骤。如果您连接着要转移其角色的那一域控制器，则不必执行此步骤。单击确定以确认您想转移的角色。
windows2003 额外域控制升级为主域控制器
额外域控制升级为主域控制器一、实验环境：域名为1、原主域控制器System: windows 20003 ServerFQDN:IP：192.168.50.1Mask:255.255.255.0DNS:192.168.50.12、辅助域控制器System: windows 2003 ServerFQDN：IP：192.168.50.2Mask: 255.255.255.0DNS:192.168.50.13、Exchange 2003 ServerFQDN:IP:192.168.50.3Mask:255.255.255.0DNS:192.168.50.1也许有人会问，做辅域升级要装个Exchange干什么？其实我的目的是为了证明我的升级是否成功，因为Exchange和AD是紧密集成的，如果升级失败的话，Exchange应该就会停止工作。
如果升级成功，对Exch ange应该就没有影响，其实现在我们很多的生产环境中有很多这样的情况。
二、实验目的：在主域控制器(PDC)出现故障的时候通过提升辅域控制器(BDC)为主域控制，从而不影响所有依靠AD的服务。
三、实验步骤1、安装域控制器。
第一台域控制器的安装我这里就不在说明了，但要注意一点的是，两台域控器都要安装DNS组件。
在第一台域控制安装好后,下面开始安装第二台域控制器（BDC），首先将要提升为辅助域控制的计算机的计算机名,IP地址及DNS跟据上面设置好以后,并加入到现有域，加入域后以域管理员的身份登陆，开始进行安装第二台域控制器。
2、在安装辅助域控器前先看一下我们的Exchange Server工作是否正常，到Exchange Server 中建立两个用户test1和test2，并为他们分别建立一个邮箱，下面使用他们相互发送邮件进行测试，如图。
3、我们发现发送邮件测试成功，这证明Exchange是正常的。
下面正式开始安装第二台域控制器。
也是就辅助域控制器（BDC）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
RODC的特征4
• 管理角色分离：您可以使用该特征来允许 一个普通的域用户成为RODC的本地管理员。 这样此用户可以对分支机构的RODC进行管 理操作，例如安装安全更新或者驱动程序。 这个特征好处在于此用用在域中或者任何 可读写的域控制器上没有用户权利。而在 以前都是可读写DC，DC的本地管理员和域 管理员是没有区别的。这使得分支机构用 户可以有效的管理RODC而不会影响整个域 的安全性。
RODC密码复制策略
3、 缓存少数特定的分支机构账户 • 优点： • 保护了密码安全 • 实现了用户离线访问 • 缺点： • 您需要把每个计算机账户和用户账户映射到每 个分支机构，在RODC的属性中可以查看哪些账 户通过RODC进行身份验证，以此来决定有哪些 账户是需要为该分支机构的，需要进行缓存。这 是一个需要管理员交互式操作的过程，所以带来 一定的管理成本增加。
降级域控
删除DC和域
升级现有的域
• 在操作主机上运行升级命令
– Adprep /forestprep – Adprep /domainprep /gpprep
RODC密码复制策略
• 可读写DC是通过密码复制策略来决定账户的密码 是否可以被RODC缓存 1、不缓存账户。这个是默认设置。 优点： • 最高的安全性 • 快速的策略处理 • 缺点： • 任何人都不可以离线访问 • 在另外一个站点一定要有一台可读写DC用于登 陆
RODC密码复制策略
2、 缓存大部分账户 • 优点： • 很容易进行密码管理。我们只需要关注在管理 RODC的安全而不是密码的安全。 • 缺点： • 对于RODC来说，缓存的大部分的密码将是潜 在的安全威胁。
阶段式RODC的安装
• 第一阶段：新建RODC账户。通常在总公司 执行 • 第二阶段：将服务器附加到RODC账户
1、使用windows窗口创建RODC账户
• 在DC容器创建“只读域控制器账户”
– 预定义主机名 – 委派系统用户
2、将服务器附加t:attach • 使用受委派的用户安装
成员计算机加入和脱离域
• 1、在线加域 • 2、离线加域
离线加域
• 从2008R2开始我们已经可以做到让客户端 离线加域了，即客户加域时DC即使离线， 我们照样可以成功完成。 • 实现必要条件：DC是windows2008R2或以 上，客户端是windows7或以上
• 离线加域包括两个步骤
– 1. 在Active Directory创建一个计算机账户， 并将账户信息保存在文件中。 – 2. 将保存的文件导入到要实现离线加域的计 算机中，使用命令模式调用该文件，实现计算 机离线加域。
升级为域控制器
升级方法
• 1、窗口操作 • 2、dcpromo
无人应答安装域
• • • • • • • • • • • • • • • ;第1台域控制器的应答文件 [DCInstall] InstallDNS=yes NewDomain=forest NewDomainDNSName= DomainNetBiosName=ABC ReplicaOrNewDomain=domain ForestLevel=3 DomainLevel=3 CreateDNSDelegation=No DatabasePath=%SystemRoot%\NTDS LogPath=%SystemRoot%\NTDS SYSVOLPath=%SystemRoot%\SYSVOL SafeModeAdminPassword=111aaAA RebootOnCompletion=yes
部署RODC的指南
• 活动目录复制考虑。RODC可以从 Windows Sever 2003域控制器复制架构分 区和配置分区的数据，但是RODC只能从来 自同一域的Windows Server 2008的可读写 域控制器复制域分区的数据更新。因此， 您至少应该在中央站点安装一台Windows Server 2008的域控制器用于RODC复制。
实现RODC的需求
• 至少一台Windows Server 2008的DC。 • 如果只有一台Windows Server 2008 DC， 此DC应该为PDC角色。 • 应该在同一域中实现多台Windows Server 2008 DC,来实现RODC复制的负载平衡。 • 一个域，一个站点只能拥有一台RODC。
RODC的特征2
• 单向复制：RODC对ADDS和DFS执行的 常规的入站复制。因为您不能直接在RODC 上进行写的操作，所以RODC是不支持出站 复制的，所以作为RODC复制伙伴的可读写 DC是不会从RODC接收到数据的。RODC 的单向复制也同样应用到DFS复制
RODC的特征3
• 只读DNS:您可以在RODC上安装DNS服务。 RODC可以复制DNS所使用的所有应用程 序目录分区（Application Directory Partition），包括ForestDNSZones和 DomainDNSZones。如果您在RODC上安 装了DNS，则客户端可以请求RODC进行 名称解析。但是，在RODC上的DNS是不 支持客户端直接进行更新DNS纪录的，因 此RODC不会在它所拥有的活动目录集成区 域里面注册任何NS纪录。
如何提升林和域的功能级别
添加额外的域控制器
• 普通 • RODC
RODC的特征1
• 只读数据：RODC上包含所有ADDS的对象 和属性，但是和可读写的DC不一样的是， 默认情况下，RODC上不包含账户的密码。 在不能保证域控制器的安全性的情况下 （例如分支机构），我们通过RODC实现域 信息的安全性。在分支机构如果有LDAP的 应用程序需要访问活动目录并对活动目录 对象作修改，则该LDAP应用程序可以重定 向到中央站点的可读写DC上
一、在DC上预创建计算机帐户
生成的加入文档（信息已加密）
• 3. 把生成的帐号信息文件拷贝到目标机或 网络上的共享位置。 • 4. 把DC离线（模拟）
二、在win7上实现离线加域
• 1. 登录到win7（用户 身份无所谓）
• 2、离线加域
小结
• 离线加域的两步操作中第一步其实只是在AD数据 库中预先创建一个计算机帐号，并把该计算机帐 号的相关信息保存在一个文件中，第二步便是把 该文件信息利用命令灌入客户机，从而实现离线 加域的目的。必须注意两个问题： • 1. 计算机名必须和第一步创建的计算机名同名。 • 2. 域或林的2008R2功能级别无所谓，只要满足 DC是2008R2，客户端是windows7即可。