转移域控角色的两种方式
域控服务器迁移步骤(精)
域控服务器迁移步骤假设主域控制器的IP为192.168.1.10，额外域控制器的IP为192.168.1.20第一步：主域迁移之前的备份：1. 备份主域服务器的系统状态2. 备份主域服务器的系统镜像3. 备份额外域服务器的系统状态4. 备份额外域服务器的系统镜像第二步：主域控制迁移：1.在主域控服务器（192.168.1.10）上查看FSMO（五种主控角色）的owner(拥有者)，安装Windows Server 2003系统光盘中的Support目录下的support tools 工具，然后打开提示符输入：netdom query fsmo查看域控主机的五种角色是不是都在主域服务器上，当然也有可能在备份域控服务器上。
2.将域控角色转移到备份域服务器（192.168.1.20)在主域控服务器（192.168.1.10）执行以下命令：2.1 进入命令提示符窗口，在命令提示符下输入：ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server 192.168.1.20 （连接到额外域控制器）提示绑定成功后，输入q退出。
2.2 依次输入以下命令：Transfer domain naming masterTransfer infrastructure masterTransfer PDCTransfer RID masterTransfer schema master以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YES，完成后按Q退出界面。
2.3 五个步骤完成以后，进入192.168.1.20，检查一下是否全部转移到备份服务器192.168.1.20上，打开提示符输入：netdom query fsmo再次查看域控制器的5个角色是不是都在192.168.1.20上面。
3. 转移全局编录：3.1 打开“活动目录站点和服务”，展开site->default-first-site-name->servers,展开192.168.1.20，右击【NTDS Settings】点【属性】，勾上全局编录前面的勾。
win2003 exchange2003 域控 同域迁移到 win2008r2 exchange2010 域控
win2003+exchange2003同域迁移到win2008r2+exchange2010目的是将原来部署在win2003上的exchange2003服务器中的用户和邮件全部迁移到新建立的win2008r2服务器上的exchange2010中。
按照安装win2008r2---加入域---取代原来的win2003域控---IIS---证书服务器---证书认证---部署exchange2010---迁移用户的步骤执行。
旧服务器已经运行了3年，因为近期陆续出现严重错误，最后决定进行迁移。
决定首先使用Acronis Backup & Recovery 10 Server for Windows将旧服务器整体制作成为一个vm虚拟机并运行，然后再在虚拟机环境下安装一个win2008r2新服务器加入旧服务器域，迁移域控后删除旧服务器的域控，在新服务器中部署IIS、证书服务器、exchange2010，然后将所有用户和邮箱迁移到新服务器中，删除旧服务器的exchange2003，最后用Acronis Backup & Recovery 10 Server for Windows将建成的新服务器win2008r2+exchange2010制作成映像文件，裸机还原到一个新硬盘上，将硬盘安装到真实服务器，投入使用。
部署环境：旧服务器：omoserver，win2003sp2，本身为域控AD（），已经部署有exchange2003，ip 地址为192.168.1.91管理员administrator 密码omoxxxx0）新服务器：omoserver2，win2008r2，将成为新域控AD（），最后准备部署exchange2010,ip 地址为192.168.1.61管理员administrator 密码xitongguanliyuanxxxx0）部署环境为vmware7虚拟机。
安装过程中的存档都是指虚拟机快照。
域控迁移方法
域控迁移方法Migrating domain controllers can be a challenging task for any organization. 域控迁移可能对任何组织来说都是一个具有挑战性的任务。
There are several methods that can be used to migrate domain controllers while minimizing the impact on users and maintaining a stable network environment. 有几种方法可以用来迁移域控制器，同时最大限度地减少对用户的影响，并保持稳定的网络环境。
One of the most common methods is to add new domain controllers to the existing domain, which allows for a gradual transfer of services and roles. 最常见的方法之一是向现有域添加新的域控制器，这样可以逐步转移服务和角色。
This approach ensures that there is no disruption to the network, as both old and new domain controllers can coexist during the migration process. 这种方法可以确保网络没有中断，因为在迁移过程中旧的和新的域控制器都可以共存。
Another method for domain controller migration is to use the Active Directory Migration Tool (ADMT) provided by Microsoft. 域控制器迁移的另一种方法是使用微软提供的Active Directory迁移工具（ADMT）。
AD2003升级到AD2008测试报告
AD2003升级到AD2008测试报告一、升级目的：Windows Server 2008 R2 是Microsoft 比较新的Windows Server 操作系统，其旨在帮助组织降低运营成本和提高生产效率，提供对整个企业资源的增强的管理控制。
其设计目的是通过降低电源消耗和减少管理费用，提供更高的能源效率和性能。
它还有助于提高分支机构的效率和新的远程体验。
二、测试环境：计算机名：test2003adIp Address ：192.168.0.1操作系统：windows 2003 Enterprise Edition r2提供服务：AD、DNS角色：主域控计算机名：test2008adIp Address ：192.168.0.2操作系统：windows 2008 Enterprise Edition r2提供服务：AD、DNS角色：辅域控计算机名：ex2010Ip Address ：192.168.0.6操作系统：windows 2008 Enterprise Edition r2提供服务：Exchange2010角色：邮件服务三、拓扑结构：四、升级步骤：1、备份win2003AD 服务器，防止升级失败可以有恢复的备份;2、升级2003 AD Schema 林架构; adprep32.exe /forestprep3、升级2003 AD Schema 域架构; adprep32.exe /domainprep4、更新组策略对象权限; adprep32.exe /domainprep /gpprep5、更新AD 对RODC 只读域控器的支持; adprep32.exe /rodcprep6、把win2008服务器提升为额外域控制器;7、把FSMO 主机角色传递给windows 2008 AD服务器;8、对原Windows 2003 AD 主机进行降级;9、提升Windows 2008 AD 域功能级别;10、提升Windows 2008 AD 林功能级别;五、实施过程：1、在使用域管理员登录的新服务器(win2008AD)中，运行---cmd---输入netdom query fsmo，检查fmso。
ad域主域控制器故障修复
----提升额外域控制器为全局编录服务器
----安装DNS集成区域
主域控制器两种故障恢复的处理方式简单易行，希望能够对读者有所帮助。
--转移PDC主机角色
A、在[操作主机]属性对话框，单击[PDC]选项卡，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机角色到下列计算机，请单击“更改”，单击[更改]按钮，将更改PDC主机角色到下面列出的额外域控制器的计算机上，单击[更改]，在更改过程中弹出的对话框，单击是
额外域控BookBDC 192.168.0.2
在原有额外域控制器上
A、安装windows server 2003的管理工具support tools
B、[管理工具]-[AD站点和服务]程序，单击[s、Sites->Default-First-Site-Name->Servers],选中BookBDC，右击单击[NTDS Settings],选择菜单中[属性]
在弹出的确认对话框中单击是，更改结构主机命令完成，返回到fsmo maintenance提示符
D、占用域命名主机角色，在提示符后输入：seize domain naming master
在弹出的确认对话框中单击是，更改域命名主机命令完成，返回到fsmo maintenance提示符
E、占用架构主机角色，在提示符后输入：seize schema master
A、在[管理工具]中运行[AD域和信任关系]
B、右键单击[AD域和信任关系]，从菜单中选择[连接到域控制器]，将弹出[连接到域控制器]对话框，选中[原额外域控制器的计算机名称]单击确定。
C、右键单击[AD域和信任关系]，选择[操作主机]，在弹出的[更改操作主机]对话框，选择[更改]单击是确认转移。
把Windows 2008 R2域服务升级和迁移到Windows Server 2012 R2上
把Windows 2008 R2域服务升级和迁移到Windows Server 2012 R2上• (一)windows Server 2012 R2 中增加了不少功能，在AD角色中就增加了如下新特性：Workplace Join：支持设备在不加入域的情况下，通过第二因子认证和单点登录通过web应用代理访问内部应用:外部设备可以直接通过Web应用代理来访问内部应用和服务，如：ADFS、Applications。
通过规则以决定访问ADFS资源的用户权限，权限有三种：允许所有用户访问、输入凭据访问、拒绝用户访问迁移工作可以有多种方式，常见的就是在不同设备上进行迁移，这样安全可靠。
还有一种是就地升级的迁移，这种方式只限于能直接升级到Windows Server 2012 R2 的系统，升级前做好系统备份工作。
1.新安装一台Windows server 2012 R2服务器，打开添加角色和功能对话框。
2.在安装类型页面点击下一步3.在服务器选择页面，点击下一步4.在服务器角色页面，选择AD域服务角色，点击下一步5.在功能页面，点击下一步7.点击下一步8.勾选“如果需要，自动重新启动服务器”，点击安装9.安装完成后点击“将此服务器升级为域控制器”10.在部署配置页面，选择将域控制器添加到现有域，具体配置如图所示，点击下一步11.输入目录还原密码，然后点击下一步12.点击下一步13.复制自选择主域控制器，然后点击下一步14.在路径页面，点击下一步15.点击下一步16.点击下一步17.先决条件检查通过后，点击安装18.安装完成后，点击关闭19.在AD管理中心中看到，windows server 2012 R2 服务器已经成为域控制器。
（二）将域的五个角色转移到Windows server 2012 R2AD域环境中的五大主机角色在Win Server多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。
ADDS概述
ADDS概述统一管理用户、计算机、网络资源授权（Authorization）ADDS 由物理组件和逻辑组件物理组件：1、数据存储：NTDS.DITA、AD数据库：AD对象B、日志文件：ADDB改变数据C、S/SVOL文件夹：组策略相关的数据2、域控制器3、全局编录服务器（GC）：提供信息资源的查找，GC数据库存储在DC中4、只读域控制器（RODC）：DC不一定是GC，但是GC一定是DCExchange中的通讯簿是从GC中来a)只读不可写b)只做入站复制，不做出战复制c)只能在2008和2008 R2中实现d)域功能级别必须在2003或者以上才能实施RODCe)认证缓存f)RODC不做任何用户名和密码的身份验证但是通过认证缓存保存用户信息到RODC中g)角色分离逻辑组件：1、分区2、架构：ADSI编辑器3、域4、域树由一个或多个域组成5、林6、站点进行数据库的复制7、组织单元（OUS）应用组策略AD架构：在一个林中架构是唯一的AD是一种网络架构，来进行统一管理，和工作组对立A域信任B域1.B可以访问A资源2.A是信任域，B是受信任域3.A是资源域，B是账户域4.A传出信任，B传入信任5.A外传，B内传信任的传递性（只能从上到下）信任的类型：1、父子信任2、林信任3、根域信任4、快捷方式信任5、外部信任6、领域信任（和非Windows系统之间的信任）UPN就是电子邮件账户在林中是唯一的站点：一、域控制器安装方法：1.在服务器管理器上面添加角色ADDS————〉运行dcpromo2.直接在开始运行里面输入dcpromo有标准模式和高级模式（创建子域、额外域控、第二个域树时使用dcpromo /adv）两种模式二、应答文件Cmd——〉dcpromo /unattend：”C:\应答文件”三、验证安装1、services2、检查DNS3、事件查看器4、DCdiag /v5、net share查看netlogon和sysvol有没有共享备份ADDS数据库信息1、netsutil2、activate instance ntds3、ifm4、create full（RODC）C：\NDTS离线加域命令：DJOIN条件：1、必须是ws2008R2的DC+win7的Client2、创建的计算机名称和即将要加域的计算机名称必须一致修改域控的计算机名称Netdom来实现修改域控制器的计算机名称dom computername （oldname）/add：newnamedom computername （oldname）/makeprimary：newname3.重启域控dom computername （newname）/remove：oldname5.做相关DNS名称的修改RODC的安装方式有2种1、委派安装----创建预安装RODC，然后再server执行安装在cmd中运行dcpromo.Exe /UseExistingAccount：attach2、直接在server上安装创建子域创建林中第二个域树为这个域树选择适当的DNS架构1、能够通过DNS找到林中的域命名主机2、不同的DNSA、使用条件转发B、辅助区域作用：保证让一个域内的用户和计算机能够找到另外一个域内的用户和计算机（包括DC）创建林中的第二个域树，一定得是用高级安装创建模式Dcpromo /adv修改GC是在ADDS的站点和服务中修改2008 R2中有活动目录管理中心Client来管理ADUC操作主机一共有五种：林级别：架构主机域命名主机架构主机和域命名主机每个林内只有一台域级别：PDC模拟器RID主机基础结构主机PDC主DCBDC辅DCFSMO操作主机操作主机Netdom query fsmo架构主机（Schema）Regsvr32 schmmgmt.dll——〉MMC——〉添加删除管理单元——〉添加AD架构、域命名主机作用：添加删除域查找域命名主机：右键AD域和信任关系——〉域命名主机RID主机颁发RID主机给域内所有DC查找RID主机：管理工具——〉活动目录——〉ADUC——〉右键域名操作主机——〉RID主机PDC仿真器主机为2000之前的旧客户机更新密码最小化用户的密码跟新延迟同步域中域控制器的时间基础结构主机角色查找：管理工具——〉活动目录——〉ADUC——〉右键域名操作主机——〉基础结构主机转移DC角色有两种方式：1、图形化界面2、命令行界面传送角色Ntdsutil——〉roles——〉connections——〉connections to server ——〉quit ——〉transfer夺取角色：命令行：Ntdsutil——〉roles——〉connections——〉connections to server ——〉quit ——〉Seize PDC如何将WS2003的DC迁移到WS2008R21、备份系统NTbackup2、考虑应用服务3、功能级别要2003或者以上4、扩展AD架构成为2008R2（需要插入WS2008R2的光盘）5、扩展步骤：1）cmd命令进入光盘的盘符然后cd \support\adprep然后运行adprep /forestprep（准备林）如果win2003是32位系统运行adprep32 /forestprep2）之后按C+Enter继续3）adprep /domainprep（准备域）《如果2003是32位系统则adprep后都要加32》4）adprep /rodcprep（准备RODC）6、将WS2008R2的工作组计算机变成额外域控运行dcpromo7、等待2台DC的所有信息都同步8、角色转移（将2003DC的角色转移到2008R2上）——〉将2008R2的域控变成主域控9、微软建议最好保证03DC和08R2DC一起运行一个月左右的时间10、将2003DC降级—dcpromoDcpromo /forceremoval 强制降级11、修改DNS1）DNS地址保留原有的2）DNS地址使用最新的配置域名服务支持活动目录服务LADP是对象信息查找ADDS对象的类型1、用户账户2、计算机账户3、组账户4、InetOrgPerson5、组织单位6、打印机7、共享文件夹用户登录域计算机的方式：1、UPN登录，整个林内这个名称是唯一的。
活动目录5种操作主机角色转移详解
活动⽬录5种操作主机⾓⾊转移详解如何将server 2008 R2作为server 2003域中的额外域控 ?⼀、迁移前的准备如果要将允许Windows Server 2008 R2的域控制器添加到Windows Server 2003的Active Directory环境中，⾸先需要更新Active Directory的架构，并且该更新需要在架构主机上进⾏操作，同时进⾏操作的域⽤户需要时Enterprise Admins、Schema Admins 和Domain Admins组的成员才可以。
1、更新林架构在server A中插⼊Windows server 2008 R2 的安装光盘，导航到\support\adprep⽬录下，运⾏adprep32.exe /forestprep，在警告窗⼝中键⼊C，确认所有windows 2000域控制器都是sp4或更⾼版本，即开始⾃动更新⽬录林架构。
2、更新域架构在相同⽬录下，运⾏adprep /domainprep，活动⽬录森令就为加⼊windows server 2008 R2域控制器做好了准备。
注意：如果当前域的功能级别⾮Windows 2000纯模式以上，将会出现如下提⽰：此时只要在Active Directory 域和信任关系中，将功能级别提升到Windows 2000纯模式即可。
3、更新AD对RODC只读域控制器的⽀持，adprep32.exe /rodcprep;⼆、在林中加⼊Windows server 2008 R2的域控制器1、安装AD DS⾓⾊Windows server 2008 R2使⽤⼀个基于⾓⾊的模型。
所以，要使⽤⼀个Windows 2008服务器成为⼀个域控制器，需要先添加Active Directory Domain services⾓⾊。
打开【服务器管理器】，选择【⾓⾊】节点，点击【添加⾓⾊】，选中【Active Directory域服务】，在弹出的向导中，点击【添加必需的功能】，添加.NET Framwork 3.5.1功能。
windows2003更改主域控主机操作步骤
当生产环境当中的主域控出现故障，需要把域控的组织架构、策略、用户账号信息迁移到新域控，首先是搭建一台辅助域控然后提升主机模式到2003纯模式，最后迁移主域控的五个操作主机即可。
Active Directory内总共定义了五个操作主机角色：架构主机（schema master）域命名主机(domain naming master)RID主机(relative identifier master)PDC模拟主机(PDC emulator master)基础结构主机(infrastructure master)每个操作主机的主要功能如下：1、架构主机：负责更新与修改schema内的对象与属性数据，只有有Schema Admin组内的成员才有权利修改schema内的数据。
如果架构主机出现故障或离线，可能会影响某些软件的运作，例如某些服务器级的软件在安装时，会在schema 内添加对象，如果架构主机出现故障或离线，将无法安装这些软件。
2、域命名主机：负责管理林内域的添加与删除工作。
如果域命名主机出现故障或离线，将无法在林内添加或删除域。
3、R ID主机：a、发放RID RID主机负责发放RID（relativeID）给其域内的所有域控制器。
当域控制器内添加一个用户、组或者计算机对象时，域控制器必须指派一个惟一的安全识别码（SID）给这个对象，此对象的SID是由域的SID与RID所组成的，也就是说“对象的SID=域的SID+RID”，而RID并不是由每一台域控制器自己产生的，它是由“RID操作主机”来统一发放给其域内的所有域控制器的。
每一台域控制器需要RID时，它会向“RID主机”索取一些RID，用完后再向“RID操作主机”索取；b、移动对象无论目前所连接的域控制器是哪台，当要将某个对象传送到另外一个域时，系统会移动位于“RID主机”内的对象，然后通知其他域控制器该对象已被转移。
这种做法可以避免位于不同域控制器的同一对象被重复传送到不同域的情况发生。
Windows域控管理
Windows域控管理说明：1.本文档没有目录，本文档在发布时为pdf文档，有章节书签，可以下载到本地来查看，点击书签进入相应的章节。
2.蓝色的字为配置命令，绿色的字为命令的注释，有时命令太密集时，就不用蓝色标出了。
3.注意：本文档的所有操作请先在在虚拟机里进行实践，请不要直接在真实的服务器中操作！作者：李茂福日期：2019年12月24日Windows域Windows中的域（domain）是一套统一的身份验证系统，是企业应用的基础。
组策略通过用户身份验证和域绑定得比较紧密。
域树：由多个域组成，这些域共享同一个存储结构和配置，形成一个连续的名字空间，有相同的DNS后缀。
域林：由一个或多个没有形成连续名字空间的域树组成，构成域林的各个域树之间没有形成连续的名字空间，没有相同的DNS后缀。
但域林中的所有域树仍共享同一个存储结构、配置和全局目录。
根域：网络中创建的第一个域，一个域林中只能有一个根域（Root Domain）。
DC>get-ADforest//查看根域部署第一台域控制器1.以管理员帐号Administrator登录服务器2.更改计算机名3.设置静态IP4.首选DNS配置为本机IP5.添加角色和功能：打开“服务器管理器”→添加角色和功能→基于角色或基于功能的安装→...→Active Directory域服务→....→安装进度（结果）→点击“将此服务器提升为域控制器→添加新林一般第一台域控制器同时也是“集成区域DNS服务器”>net accounts//查看计算机角色，第一台域控的角色为Primary>net share//查看系统共享卷，以下为安装DC功能后添加的NETLOGON C:\Windows\SYSVOL\sysvol\\SCRIPTS Logon server share SYSVOL C:\Windows\SYSVOL\sysvol Logon server shareFSMO操作主机角色Flexible Single Master Operation>netdom query fsmo//查看5种操作主机角色所在的域控制器1.架构主机Schema Master域林中只有一个架构主机，作用是定义所有域的对象属性（定义数据库字段及存储方式）2.域命名主机Domain Naming Master域林中只有一个域命名主机，负责控制域林内域的添加或删除3.PDC主机PDC Emulator Master每个域中只有一个PDC主机，作用：兼容低版本的DCPDC主机角色所在的DC优先成为主域浏览器，用>net accounts查看的那个Primary 活动目录数据库的优先复制权时间同步防止重复套用组策略，使用组策略时，组策略编辑器默认连到PDC主机4.RID主机Relative Identifier Master每个域中只有一个RID主机作用是在域中创建对象时保证每个对象有一个唯一的SID，跨域访问、迁移域对象时，通过RID主机确认域对象的唯一性5.基础结构主机Infrastructure Master每个域中只有一个基础结构主机，负责对跨域对象的引用进行更新*整个域林中只有一台架构主机和一台域命名主机*每个域中都有自己的PDC主机、RID主机和基础架构主机各一台FSMO角色转移将Primary上的操作主机角色转移到Backup上登录Backup DC>ntdsutilntdsutil:rolesFsmo maintenance:connectionsServer connections:connect to server //连接至Backup DC server connections:quitFsmo maintenance:transfer schema master//转移架构主机角色Fsmo maintenance:transfer naming master//转移域命名主机角色Fsmo maintenance:transfer RID master//转移RID主机角色Fsmo maintenance:transfer PDC//转移PDC主机角色Fsmo maintenance:transfer infrastructure master//转移基础结构主机角色抢占当Primary DC出现故障时，就不能进行转移操作了，只能占用操作主机，操作过程同上，只是把transfer改为seize>get-ADforest//查看域林信息>netdom query fsmo//查看操作主机角色修改域控IP1.直接在网卡配置里修改IP2.命令行里操作：>net stop NETLOGON>net start NETLOGON>ipconfig/registerdns3.打开DNS服务器管理控制台，删除所有和原IP相关的A记录重命名域控制器>netdom computername /enumerate//查看DC的所有FQDN名称>netdom computername /add://添加新名称>netdom computername /makeprimary:重启域控制器>netdom computername /remove://删除原来名字>netdom computername /enumerate//查看删除原来的DNS记录（正向查找区域）允许域用户将计算机加入域的数量*默认每个域用户可将10台计算机加入域，自定义设置：Win+R输入adsiedit.msc//打开ADSI编辑器右击“ADSI编辑器”→连接到→默认命名上下文→右击DC=cof,DC=com→属性→ms-DS-MachineAccountQuota→值为0~65535表示用户可加入域的计算机数*或者单独委派用户加域权限打开Active Directory用户和计算机→右击域名→委派控制→下一步，添加用户→下一步，将计算机加域→完成查看用户修改密码的时间Active Directory用户和计算机→选中用户→双击属性→属性编辑器下边底部→pwdLastSet 即为最近修改密码的时间-LastLogon最后一次登录时间AD域控相关端口号端口号tcp/udp服务53t/u DNS88t/u Kerberos123u NTP135t Rpc Endpoint Master（msrpc）137u NetBIOS Name Service138u NetBIOS Datagram Service139t/u NetBIOS session Service（netbios-ssn）389t/u LDAP445t SMB(CIFS)（microsoft-ds）464Kpasswd5593ncacn_http（msrpc over HTTP1.0）636u/t LDAPS（tcpwrapped Ldap over SSL）2179vmrdp3268t LDAP GC（Global Catalog）3269t LDAPS GC（Global Catalog over SSL）域策略1.允许指定用户远程登录到计算机*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配允许通过终端服务登录：添加远程用户组(Remote Desktop Users和Domain Admins）*计算机→首选项→控制面板选项→本地用户和组组名：Remote Desktop Users(内置)添加远程用户进去2.允许指定用户从本地登录到计算机*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配允许本地登录：添加指定用户或组3.用户密码输错3次锁定5分钟*计算机→策略→Windows设置→安全设置→帐户策略→帐户锁定策略在此后重置帐户锁定计数器5分钟帐户锁定时间5分钟帐户锁定阈值3次无效登录4.十五分钟无操作自动锁屏*用户→策略→管理模板→控制面板→个性化带密码的屏幕保护程序已启用屏幕保护程序超时已启用900秒启用屏幕保护程序已启用5.将指定用户加入到计算机的某个组*计算机→首选项→控制面板设置→本地用户和组组名：xxxx(内置)→本地组→操作为更新→组名xxxx，添加成员6.将登录到计算机的用户添加到该计算机的某个组*用户→首选项→控制面板设置→本地用户和组组名：xxxx(内置)→本地组→操作为更新→组名xxxx7.设置计算机的组策略后台更新时间*计算机→策略→管理模板→系统→组策略设置计算机的组策略刷新间隔15分钟随机时间5分钟设置域控制器的组策略刷新间隔15分钟随机时间5分钟8.映射网络磁盘S盘给指定用户（用户登录后自动挂载共享磁盘）*用户→首选项→Windows设置→驱动器映射S：属性信件S，位置\\dc\sharepool常用→项目级别目标：安全组9.允许ping包入站（icmp echo request入站）*计算机→策略→管理模板→网络→网络连接→Windows防火墙→域配置文件Windows防火墙→允许icmp例外：允许传入回显请求10.禁止用户更改计算机系统时间*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配更改时区空（无用户）更改系统时间空（无用户）11.指定域用户的桌面（墙纸）*用户→策略→管理模板→桌面→Active Desktop启用Active Desktop已启用桌面墙纸\\dc\share\desktop.jpg平铺12.用户登录时运行指定的程序*用户→策略→管理模板→系统→登录在用户登录时运行这些程序添加指定程序13.用户登录时运行指定的脚本*用户→策略→Windows设置→脚本→登录名称：脚本文件名脚本文件位于DC上的：C:\Windows\SYSVOL\sysvol\域名\Policies\{组策略唯一ID}\User\Scripts\Logon里14.受限制的组（只有指定的用户才在该组里）*计算机→策略→Windows设置→安全设置→受限制的组组名BULTIN\Administrators成员：指定的用户15.用户文件夹重定向到D盘或服务器上*用户→策略→Windows设置→文件夹重定向→（选桌面和/或文档）基本（重定向所有人的文件夹到相同位置）路径D:\%username%\desktop或documents16.漫游用户配置文件*计算机→策略→管理模板→系统→用户配置文件为正在登录此计算机的所有用户设置漫游配置文件路径：已启用\\dc\share\%username%17.允许多个用户同时远程登录计算机（加授权）*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→连接限制连接的数量允许的RD最大连接数100将远程桌面服务用户限制到单独的远程桌面服务会话已启用为远程桌面服务用户会话远程控制设置规则已启用不经用户授权完全控制*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→授权设置远程桌面授权模式按用户使用指定的远程桌面许可证服务器//加了域的主机，仅允许网络级别身份验证的远程桌面的计算机连接，所以RDP客户端计算机要求也要在域中，如果不在域中，那么服务端计算机要安装远程桌面服务的“远程桌面会话主机”角色，并指定授权服务器18.无须按下Ctrl+Alt+Del登录*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录已启用：无须按Ctrl+Alt+Del19.不显示最后登录的用户名*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录已启用：不显示最后的用户名20.域用户密码策略*计算机→策略→Windows设置→安全设置→帐户策略→密码策略密码最长期限300天强制密码历史无最短密码期限0天最短密码长度8字符*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录交互式登录提示用户在密码过期之前更改密码10天21.允许指定用户关闭计算机（含重启）*计算机→策略→Windows设置→安全设置→本地策略→用户权限分配关闭系统添加指定的用户从远程系统强制关机添加指定的用户22.用户注销时清除最近打开过的文档记录*用户→策略→管理模板→“开始”菜单和任务栏退出系统时清除最近打开的文档的历史已启用23.计算机启动时自动部署安装软件*计算机→策略→软件设置→软件安装新建数据包使用网络路径//软件包必须为.msi的安装包24.配置防火墙规则*计算机→策略→Windows设置→安全设置→高级安全Windows防火墙出入站规则新建xxx*计算机→策略→管理模板→网络→BranchCache启用BranchCache已启用25.发布通告消息给用户（用户登录界面上显示）*计算机→策略→Windows设置→安全设置→本地策略→安全选项→交互式登录试图登录的用户的消息标题标题内容试图登录的用户的消息文本消息内容26.禁止管理人员修改IP（网络配置）*计算机→策略→Windows设置→安全设置→系统服务选择Network Connections，手动，删除指定用户everyone之类的完全控制权限*用户→策略→管理模板→“开始”菜单和任务栏删除网络图标已启用*用户→策略→管理模板→网络→网络连接禁止访问LAN连接的属性已启用27.禁止用户使用外部存储设备（U盘）*用户→策略→管理模板→系统→可移动存储访问可移动磁盘：拒绝读取权限已启用可移动磁盘：拒绝访问权限已启用//重启生效28.远程桌面会话时间限制*计算机→策略→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→会话时间限制设置活动但空闲的远程桌面服务会话时间限制已启用30分钟（到时断开）设置活动的远程桌面服务会话的时间限制已启用总时间2小时设置已中断会话的时间限制已启用10分钟（到时结束会话默认情况下远程桌面服务允许用户断开会话而不注销和结束会话，会话处于断开状态时，用户运行的程序仍保持活动。
AD迁移之主机角色迁移(图形界面)
AD迁移之主机角色迁移（图形界面）2013-10-25 00:17:27 发表评论随着科技的日新月异，日子的一天一天过去了，老服务器终于到了退休的日子了这意味着需要把旧服务器的数据迁移到新服务器，其中一个重要项目就迁移主机角色迁移之前需要先把新服务器提升为额外域控制器/405708/1120831提升完，就要进行主机角色的迁移了！关于五个角色的知识可以参考这里/405708/920885环境：DC1：win08dc1DC2： win08dc2IP：192.168.1.2 IP:192.168.1.3子网掩码：255.255.255.0 子网掩码：255.255.255.0网关：192.168.1.1 网关：192.168.1.1DNS：192.168.1.2 DNS：192.168.1.3192.168.1.3192.168.1.2首先打开使用netdom query fsmo命令查询一下主机的五个角色的所在我们直接打开DC2中的AD用户和计算机,在域名上右击选择操作主机这里可以看到有RID、PDC、基础架构主机三个角色，直接点击更改变就可以简单的将角色从DC1迁移到DC2上面。
接着打开DC2的AD域和信任关系在AD域和信任关系上右键选择操作主机，而不是在域名上面点击更改同样将域命名操作主机角色迁移到DC2上面最后剩下架构主机了，由于架构主机重要特殊，并没有预先设置的工具必须通过注册动态链接库来打开，在DC2运行regsvr32 schmmgmt.dll来注册动态链接库，并使用MMC工具来添加管理架构主机点击运行输入MMC打开控制台，添加选择AD架构，点确定右击AD架构选择操作主机，这里显示当前架构和可以转移的架构都是DC1 并不像之前的操作主机角色一样可以直接迁移所以我们必须在DC更改所连接目录服务器，点击更改AD域控制器选择DC2点击确定，更改连接的目录服务器接着再点击操作主机会发现，架构主机已经是可以迁移的了！到这里我们的五个操作主机角色就迁移完成了，我们可以在DC1上面在此输入netdom query fsmo进行验证角色所在域控制器命令显示角色已经成功转移到了DC2上面，到这里迁移就结束了！本文出自“紫柒”博客，请务必保留此出处/405708/1122349。
ServerR部署域控、额外域控及FSMO角色转移和夺取
Server2012R2部署域控、额外域控及FSMO角色转移和夺取网络环境：2012R2+DHCP操作系统：WindowsServer2012R2Standard网卡信息：IP：192.168.100.1/242012R2+DHCP操作系统：WindowsServer2012R2Standard网卡信息：IP：192.168.100.2/24DHCP配置如下：网关：无，配置2台服务器为DHCP故障转移一、主域的安装及配置配置网卡信息，如下图打开服务器管理器，点击添加角色和功能如下图选择安装类型：基于角色或基于功能的安装，如下图池中仅一台主机，保持默认（此图是在未更改主机名时截取的，更改后的截图找不到了，拿来顶替），如下图选择AD域服务并添加功能，如下图功能不做添加，不选择直接下一步，跳转到添加ADDS域服务向导，如下图确认安装所选内容，点击安装，如下图正在安装域服务器，如下图安装完毕，点击关闭，如下图点击服务器管理器上方的小旗子查看提示内容，选择将此服务器提示为域控制器，如下图因为这是此域中第一个域，选择添加新林并输入根域名信息，如下图选择域控制器林和域功能级别并设置DSRM密码，如下图出现DNS敬告，因为没有安装DNS，忽略，直接下一步，如下图NETBIOS设置，保持默认，直接下一步，如下图17指定ADDS数据库、日志文件和SYSVOL存放的位置，如下图配置选项查看，可检查是否有问题，有问题点击上一步返回，否则直接下一步，如下图AD域服务器部署前先决条件检查，检查通过后，点击安装，如下图正在配置域服务，配置完成后会自动重启。
如下图重启后，登录AD服务器，配置DNS反向查找区域，没有反向查找区域时，nslookup解析会出现问题，如下图DNS反向查找区域配置向导，如下图在区域类型中选择主要区域，如下图设置传送作用域，如下图设置反向查找IP类型，如下图输入反向查找区域名称，如下图指定反响查找更新类型，如下图完成DNS反向查找区域建立，如下图在DNS反向查找区域中查看记录，如下图二、上面设置已经完成主域的部署，接下来，部署额外域控。
域控的四种角色
如何查找FSMO 角色担任者（服务器）2007-04-10 18:32:53分类：WINDOWS查找：可以直接用以下命令(确定登录的用户是enterprise admin级别):可以运行cmd,然后再console窗口输入“netdom query fsmo”来查询fsmo服务器.本文介绍如何在目录林中查找担任 Flexible Single Master Operation (FSMO) 角色的服务器。
Active Directory 定义了 5 种 FSMO 角色：概要本文介绍如何在目录林中查找担任 Flexible Single Master Operation (FSMO) 角色的服务器。
Active Directory 定义了 5 种 FSMO 角色：架构主机域命名主机RID 主机PDC 主机结构主机架构主机和域命名主机是目录林级的角色。
因此，每个目录林都只有一个架构主机和一个域命名主机。
RID 主机、PDC 主机和结构主机是域级角色。
每个域都有其各自的 RID 主机、PDC 主机和结构主机。
因此，如果目录林中有三个域，则存在三个 RID 主机、三个 PDC 主机和三个结构主机。
返回页首如何确定选定域的 RID、PDC 和结构 FSMO 担任者单击开始，单击运行，键入 dsa.msc，然后单击确定。
在左窗格的顶部右键单击选定的域对象，然后单击操作主机。
单击 PDC 选项卡以查看担任 PDC 主机角色的服务器。
单击结构选项卡以查看担任结构主机角色的服务器。
单击 RID 池选项卡以查看担任 RID 主机角色的服务器。
返回页首如何在目录林中确定架构 FSMO 担任者单击开始，单击运行，键入 mmc，然后单击确定。
在控制台菜单上，单击“添加/删除管理单元”，单击添加，双击 Active Directory 架构，单击关闭，然后单击确定。
在左窗格的顶部右键单击 Active Directory 架构，然后单击操作主机以查看担任架构主机角色的服务器。
FSMO角色介绍 迁移 查看
FSMO角色介绍、迁移、查看1.活动目录中域控制器的五种操作主机角色。
Winserver Active Directory和NT域的区别在于不再有主域控制器和辅助域控制器每个林中有五种操作主机角色，一台域控制器可以承担一种或者多种角色，或者不承担任何角色。
比如一个域中有两台域控制器，一台可以是架构主机，域命名主机，主域控制器仿真主机（PDC），相对ID主机（RID），基础结构主机，五种角色，另一台域控制器什么角色也不是，只是一台额外域控制器。
在林范围内有两种角色：架构主机和域命名主机，域范围内有主域控制器仿真主机（PDC)，相对ID主机（RID）和基础结构主机。
这五种角色在林中和域中都是唯一的。
五种角色的作用：架构主机：一个林中只有一台架构主机，控制对林架构的全部更新。
域命名主机：一个林中只有一台域命名主机，控制林中域的新增和删除，防止域名重复。
主域控制器仿真主机（PDC）：一个域只有一台PDC，管理来自客户端的密码更改，最小化密码复制等待时间，同步整个域中所有域控制器的时间。
相对ID（RID)：一个域中只有一台RID，把RID分给域中各个域控制器，每次当DC创建用户、组或计算机对象时，它就给该对象指派一个唯一的安全ID（SID）。
SID包含一个域SID（它与域中创建的所有SID相同）和一个RID（它对域中创建的每个SID是唯一的）。
对象的SID=域SID+RID。
基础结构主机：一个域只有一台基础结构主机，负责更新从它所在的域中的对象到其他域中对象的引用，基础结构主机将其数据与全局编录的数据进行比较,全局编录通过复制操作接受所有域中对象的定期更新,从而使全局编录的数据始终保持更新.如果基础结构主机发现数据已过时时,则它会从全局编录请求更新的数据,然后,基础结构主机再将这些更新的数据复制到域中的其他DC!2.主域控制器FSMO角色的迁移角色迁移目的：若当前主域控制器在线，且因性能不佳或需更换硬件，为了不影响域用户对与服务器及Exchange Server正常使用，需要将主域控制器FSMO迁移至额外域控制器.1、Active Directory 定义了 5 种FSMO 角色：架构主机、域主机、RID 主机、PDC 模拟器、结构主机。
域控的转移和抢夺操作流程
Active Directory域控和额外域控之间的转移和抢占实验流程本文档将模拟ZESING域主控域与额外域控角色之间的和转移和主域控主机因系统或者物理损坏无法开机，额外域控紧急抢占操作主机的实验流程首先先模拟有两台域控，主域控为ZESINGAD01,额外域控为ZESINGAD02。
系统都为Windows server 2008 R2 X64。
如图：打开命令行，输入如下命令来查看：Dsquery server –hasfsmo rid 查看RID主机Dsquery server –hasfsmopdc 查看PDC仿真主机角色Dsquery server –hasfsmoinfr 查看基础结构主机Dsquery server –hasfsmoname 查看域命名主机Dsquery server –hasfsmoschema 查看构架主机通过图中可看到ZESINGAD01为主域控，所有角色都在ZESINGAD01上。
PART I现在演示把主域控ZESINGAD01转移操作主机角色到ZESINEAD02上首先转移RID主机角色打开“Active Directory 用户和计算机”，在目录树窗格中，右键点击“Active Directory 用户和计算机”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或AD LDS实例”并选择一台即将担任RID主机的域控制器，然后点击“OK”；在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“RID”选项卡中，单击“更改”按钮转移PDC仿真主机角色打开Active Directory 用户和计算机，在目录树窗格中，右键点击“Active Directory 用户和计算”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任PDC仿真主机的域控制器，然后点击“OK”；、在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“PDC”选项卡中，单击“更改”按钮转移基础结构主机角色打开Active Directory 用户和计算机，在目录树窗格中，右键点击“Active Directory 用户和计算机”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任基础结构主机的域控制器，然后点击“OK”在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“基础结构”选项卡中，单击“更改”按钮转移域命名主机角色打开Active Directory 域和信任关系，在目录树窗格中右键点击“Active Directory 域和信任关系”，点击“更改 Active Directory 域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任域命名主机的域控制器，然后点击“OK”；在目录树中右键单击“Active Directory 域和信任关系”，点击“操作主机”；单击“更改”按钮转移架构主机角色运行打开MMC控制台添加Active Directory构架在MMC控制台中打开Active Directory Schema，在目录树窗格中右键点击“Active Directory Schema”，点击“更改 Active Directory 域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任架构主机的域控制器，然后点击“OK”；在目录树窗格中右键点击“Active Directory 架构”，点击“操作主机”单击“更改”按钮经过以上步骤已经完成转移操作主机角色，来验证一下，进入命令行输入，见到所有角色都迁移到ZESINGAD02上PART II抢夺操作主机角色实验假设ZESINGAD02主机已经挂掉，我们需要提升ZESINGAD01为主域控，我们需要如下操作：1、抢夺RID主机角色A．打开命令行，输入：ntdsutilB．在ntdsutil提示符下，输入：rolesC．在fsmo maintenance命令提示符下，输入：connectionD．在server connections命令提示符下，输入：connect to server <DomainController> ，这里的<DomainController>是即将担任RID主机的域控制器名称E．在server connection命令提示符下，输入：quitF．在fsmo maintenance命令提示符下，输入：seize rid master，确认窗口中点击“Yes”；2、抢夺PDC仿真主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize pdc，如图（由于另一台域控物理故障，林根域只有一台域控制器，所以无法抢夺，下面的错误请忽略，不影响结果）3、抢夺基础结构主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize naming master，如图4、操作同抢夺RID主机角色，只是更换抢夺命令为seize infrastructure master，如图5 、抢夺架构主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize schema master，如图打开命令行输入以下命令发现ZESINGAD01已提升为主域控，抢占成功。
主域控器与备份域控器之间的角色转换
主域控器与备份域控器之间的角色转换平滑过渡：1、在活动目录用户和计算机的域控制器里已经有两台或多台域控制（PDC&BDC）2、再查看一下FSMO（五种主控角色）的owner，安装Windows Server 安装光盘中的Support目录下的support tools工具，3、然后打开提示符输入：netdom query fsmo 以输出FSMO的owner，4、现在登陆PDC（主域控制器），进入命令提示符窗口，在命令提示符下输入：ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server BDC --> （备注：这里的dc-1是指服务器名称），提示绑定成功后，输入q退出。
5、输入？回车可看到以下信息：1.Connections - 连接到一个特定域控制器2.Help - 显示这个帮助信息3.Quit - 返回到上一个菜单4.Seize domain naming master - 在已连接的服务器上覆盖域角色5.Seize infrastructure master - 在已连接的服务器上覆盖结构角色6.Seize PDC - 在已连接的服务器上覆盖 PDC 角色7.Seize RID master - 在已连接的服务器上覆盖 RID 角色8.Seize schema master - 在已连接的服务器上覆盖架构角色9.Select operation target - 选择的站点，服务器，域，角色和命名上下文10.Transfer domain naming master - 将已连接的服务器定为域命名主机11.Transfer infrastructure master - 将已连接的服务器定为结构主机12.Transfer PDC - 将已连接的服务器定为 PDC13.Transfer RID master - 将已连接的服务器定为 RID 主机14.Transfer schema master - 将已连接的服务器定为架构6、然后分别输入：1.Transfer domain naming master 回车2.Transfer infrastructure master 回车3.Transfer PDC 回车4.Transfer RID master 回车5.Transfer schema master 回车以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YES，然后接着一条一条完成既可，完成以上按Q退出界面，7、这五个步骤完成以后，检查一下是否全部转移到备份域控制器上了，打开在第9步时装windows support tools,开始－>程序->windows support tools->command prompt,输入netdom query fsmo,全部转移成功.现在五个角色的owner都是备份域控制器了.8、角色转移成功以后，还要把GC也转移过去，打开活动目录站点和服务，展开site->default-first-site-name->servers,你会看到两台域控制器都在下面。
域控制器迁移以及修改服务器ip
windows server 2003 域控制器转移迁移准备工作:1. 在Windows Server 2003上运行dcpromo命令将其升级为域控制器，并在升级时选择使其成为现有Windows 2003域的额外的域控制器。
2. 在Windows Server 2003上安装DNS服务，确认它已经和原来的Windows 2003DNS服务器上的数据复制同步后，将它的DNS服务器地址指向自己。
3. 将这台Windows Server 2003域控制器设为全局编录（Glocal Catalog）服务器，具体方法请参考下面这篇文档：《How to promote a domain controller to a global catalog server》：</?id=296882>4. 将原来的Windows 2003域控制器上的5个FSMO角色转移到这台Windows Server 2003域控制器上，具体方法请参考下面这篇文档：《如何查看和转移Windows Server 2003 中的FSMO 角色》：</?id=324801>当最后一步转移结构主机角色时可能会提示“当前域控制器是全局编录服务器，不要将结构主机角色转移到该域控制器上”，由于是在单域环境中，直接确认忽略该提示即可。
关于在Windows 2003域控制器上放置FSMO的更多信息，请参考下面这篇文档：《在Windows 2003 域控制器上放置和优化FSMO》：</?id=223346>5. 完成以上操作之后，新的Windows Server 2003域控制器便替代了原来的第一台Windows 2003域控制器的角色，但我们需要等待一段时间使原来的Windows 2003域控制器上的和全局编录及FSMO角色相关的活动目录信息完全复制到WindowsServer 2003域控制器上。
建议您观察一两天时间，并确认新的Windows Server 2003域控制器/DNS服务器一切工作正常后，再将原来的Windows 2003域控制器降级。
将辅助域控升级成主域控
windows 域控制器的迁移(5个FSMO角色)原有一台域控制器（称为A机），新机（称为B机）在 Windows 2000 中，可以通过 MMC 工具转移五个 FSMO 角色。
为使转移成功，双方计算机都必须能够联机访问到。
如果有一个计算机已不存在，则必须取回其角色。
要取回一个角色，必须使用 Ntdsutil实用工具。
现在我两台DC均为可用，所以不必用到Ntdsutil，而通过MMC 来直接操作。
操作步骤写下来，大家看看是否可行：一、转换FSMO角色：1、转移特定于域的角色：RID、PDC 和结构主机（1）单击开始，指向程序，指向管理工具，然后单击“Active Directory 用户和计算机”。
（2）右键单击“Active Directory 用户和计算机”一旁的图标，然后单击“连接到域控制器”。
备注：如果不在要转移其角色的域控制器上（A机），则需要执行此步骤。
如果连接着要转移其角色的那一域控制器（A机），则不必执行此步骤。
（3）单击将成为新的角色担任者的域控制器（B机），然后单击确定。
（4）右键单击“Active Directory 用户和计算机”图标，然后单击操作主机。
（5）在更改操作主机对话框中，单击与要转移的角色对应的选项卡（RID、PDC 或结构）。
（6）单击更改操作主机对话框中的更改。
（7）单击确定以确认想转移的角色（RID、PDC、结构）。
（8）单击确定。
（9）单击取消关闭对话框。
2、转移域命名主机角色（1）单击开始，指向程序，指向管理工具，然后单击“Active Directory 域和信任关系”。
（2）右键单击“Active Directory 域和信任关系”图标，然后单击“连接到域控制器”。
（3）单击将成为新的角色担任者的域控制器（B机），然后单击确定。
（4）右键单击“Active Directory 域和信任关系”，然后单击操作主机。
（5）在更改操作主机对话框中，单击更改。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
转移域控角色的两种方式.txt每个女孩都曾是无泪的天使，当遇到自己喜欢的男孩时，便会流泪一一，于是坠落凡间变为女孩，所以，男孩一定不要辜负女孩，因为女孩为你放弃整个天堂。
朋友,别哭,今夜我如昙花绽放在最美的瞬间凋谢,你的泪水也无法挽回我的枯萎~~~转移域控角色的两种方式当网域崩溃后或者我们买了新服务器，需要将新机器作为主域控制器那么我们需要转移角色，在原主域在线的情况下我们可以使用图形化界面 MMC 控制台来转移角色。
在主域崩溃后我们用副域控制器夺权就需要使用到 ntdsutil 工具来转移角色。
下面我分别介绍两种转移 AD 中 5 大角色的方式，5 大角色相信地球人都知道，HOHO.PS:转移角色需要注意的是：额外域设置为 GC，这样才能将额外域升级为主域，设置 GC 方法如下：打开 AD 站点和服务管理器-sites-Default-First-Site-Name-servers 下面有服务器名称，找到额外域服务器，双击打开服务器，下面有个 NTDS Settings 右键单击属性，在弹出的属性页面勾选“全局编录”然后确定就 OKl 了，等待 5-10 分钟整个网域复写完成刚才的动作。
PS:部分步骤来源于网络,此文为综合以及描述注意点一.使用图形化界面 MMC 来转移域控角色一.转移架构主机角色使用“Active Directory 架构主机”管理单元可以转移架构主机角色。
您必须首先注册Schmmgmt.dll文件，然后才能使用此管理单元。
注册 Schmmgmt.dll单击开始，然后单击运行。
在打开框中，键入 regsvr32 schmmgmt.dll，然后单击确定。
收到操作成功的消息时，单击确定。
1. 依次单击开始和运行，在打开框中键入 mmc，然后单击确定。
2. 在文件菜单上，单击“添加/删除管理单元”。
3. 单击添加。
4. 依次单击 Active Directory 架构、添加、关闭和确定。
5. 在控制台树中，右键单击 Active Directory 架构，然后单击更改域控制器。
6. 单击指定名称，键入将成为新角色持有者的域控制器名称，然后单击确定。
7. 在控制台树中，右键单击 Active Directory 架构，然后单击操作主机。
8. 单击更改。
9. 单击确定以确认您要转移该角色，然后单击关闭。
二.转移域命名主机角色1. 单击开始，指向管理工具，然后单击“Active Directory 域和信任关系”。
2. 右键单击“Active Directory 域和信任关系”，然后单击“连接到域控制器”。
注意：如果您不在要将角色转移到其上的域控制器上，则必须执行此步骤。
如果您已经连接到要转移其角色的域控制器，则不必执行此步骤。
3. 执行下列操作之一： ? 在“输入其他域控制器名称”框中，键入将成为新的角色持有者的域控制器的名称，然后单击确定。
- “或者，选择一个可用的域控制器”列表中，单击将成为新角色持有者的域控制器，然后单击确定。
4. 在控制台树中，右键单击“Active Directory 域和信任关系”，然后单击操作主机。
5. 单击更改。
6. 单击确定以确认您要转移该角色，然后单击关闭。
三.转移 RID 主机角色、PDC 模拟器角色和结构主机角色1. 单击开始，指向管理工具，然后单击“Active Directory 用户和计算机”。
2. 右键单击“Active Directory 用户和计算机”，然后单击“连接到域控制器”。
注意：如果您不在要将角色转移到其上的域控制器上，则必须执行此步骤。
如果您已经连接到要转移其角色的域控制器，则不必执行此步骤。
3. 执行下列操作之一： ? 在“输入其他域控制器名称”框中，键入将成为新的角色持有者的域控制器的名称，然后单击确定。
“或者，选择一个可用的域控制器”列表中，单击将成为新角色持有者的域控制器，然后单击确定。
4. 在控制台树中，右键单击“Active Directory 用户和计算机”，指向所有任务，然后单击操作主机。
5. 单击要转移角色（RID、PDC 或结构）的相应选项卡，然后单击更改。
6. 单击确定以确认您要转移该角色，然后单击关闭二.使用 ntdsutil 工具转移域控角色和清除不存在的域控制器1．用 ntdsutil 来清除无效的 DC 信息假如你的备份域为 主域为 ,现在备份域坏了。
那么你在装有super tools 的主控域上执行如下命令：C:\>ntdsutilntdsutil: metadata cleanup - 清理不使用的服务器的对象metadata cleanup: select operation target - 选择的站点，服务器，域，角色和命名上下文select operation target: connections - 连接到一个特定域控制器server connections: connect to server --绑定到 ctu.用本登录的用户的凭证连接 ctu。
server connections: quit - 返回上一层目录select operation target: list site - 在企业中列出站点(找到 1 个站点，标识为 0)找到 1 站点0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com select operation target: select site 0 - 将标识为 0 的站点定为所选站点站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com没有当前域没有当前服务器当前的命名上下文select operation target: list domains - 列出所有包含交叉引用的域找到 1 域0 - DC= mstc,DC=comselect operation target: select domain 0 - 将标识为 0 的域定为所选域站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com域 - DC= mstc,DC=com 没有当前服务器当前的命名上下文select operation target: list servers for domain in site - 列出所选域和站点中的服务器(找到两个：；1-ctu. )找到 2 服务器0 - CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com1 - CN=ADDDC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=comselect operation target: select server 0 - 将标识为 0 的服务器（abc）定为所选服务器——也就是要删除的 DC站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=acme,DC=com域 - DC= mstc,DC=com服务器 -CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=comDSA 对象 - CN=NTDSSettings,CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=ConfigurDNS 主机名称 - 计算机对象 - CN=ABC,OU=Domain Controllers,DC=mstc,DC=com当前的命名上下文select operation target: quit - 返回上一层目录metadata cleanup: remove select server - 从所选服务器上删除 DS 对象在弹出的对话提示框上选择“是”，“CN=abc,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com”删除了，从服务器“ctu”现在， 这个 Dc 对象就在你的 AD 里消失了.2．用 ntdsutil 来转移 fsmo 五种角色。
当您运行 Dcpromo.exe 程序并安装 AD 时，将向目录林中的第一个域控制器授予五个 FSMO 角色。
其中有两个 FSMO 角色是目录林范围的，另外三个是域范围的。
如果创建了子域，两个目录林范围的角色将不会更改。
一个具有两个域的目录林将有八个 FSMO；其中两个是目录林范围的角色，每个域各有三个特定于域的 FSMO 角色。
这五个角色是 schema master-架构主机，Domain namingmaster-域命名主机，Rid master-rid 主机，pdc master-pdc 防真器，Infrastructure Master-结构主机。
想要把这几种角色移动到另一台计算机上有 2 种方法，一种是转移，但必须 2 台计算机处于正常运行状态。
如果有其中某台处于离线状态只能用第二种方法，使用 ntdsutil 工具来强制获取这些角色。
现在如果你的主控坏了这些角色也都在主控上，请在装有 support tools 工具新的域控或备份域控上执行如下命令：首先在 CMD 下运行netdom query /d:域名 fsmo查看一下当前哪些角色在哪台服务器上，然后在 CMD 下运行"ntdsutil"如果不知道命令怎么写，可以输入？得到帮助提示，"roles""connections""connect to server 服务器名" 绑定一台当前在线的 DC 当连接成功后输入 q 退出回到上一层（roles）准备做角色迁移"Seize schema master""Seize domain naming master""Seize RID master""Seize PDC""Seize infrastructure master"以上五个命令，分别用作迁移上面所提到的 5 个角色到我们之前绑定的服务器上。