如何使额外域控制器接替它的工作,使Active Directory正常运行
主域故障无法启动,额外域提升Active Directory
主域故障无法启动，额外域提升Active Directory灾难恢复本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行.目录Active Directory操作主机角色概述环境分析从AD中清除主域控制器 对象在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作设置额外域控制器为ＧＣ（全局编录）一、环境分析公司（虚拟）有一台主域控制器，还有一台额外域控制器。
现主域控制器（）由于硬件故障突然损坏，事先又没有的系统状态备份，没办法通过备份修复主域控制器（），我们怎么让额外域控制器（）替代主域控制器，使Acitvie Directory继续正常运行.如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC操作步骤:1. 从AD中清除主域控制器对象在额外域控制器(上通过ntdsutil.exe工具把主域控制器(从ＡＤ中删除；出现对话框以及FSMO角色转换，点确定2. 使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中T1服务器对象，ADSI EDIT是Windows 2003 support tools中的工具，你需要安装Windows 2003 support tool，安装程序在windows 2003光盘中的support\tools目录下。
打开ADSI EDIT工具，展开Domain NC[]，展开OU=Domain controllers，右击CN=DC-01，然后选择Delete，把T1服务器对象删除，如图：3.3 在Active Directory Sites and Service中删除T1服务器对象,打开Administrative tools中的Active Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右击T1，选择Delete，单击Yes按钮，如图：3. 设置额外控制(为ＧＣ（全局编录）打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开(额外控制器，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。
ActiveDirectory域控制器安装手册
ActiveDirectory域控制器安装⼿册Active Directory域控制器安装指南1.1Active Directory介绍1.1.1功能介绍Active Directory提供了⼀种⽅式，⽤于管理组成组织⽹络的标识和关系。
Active Directory与Windows Server 2008 R2的集成，为我们带来了开箱即⽤的功能，通过这些功能我们可以集中配置和管理系统、⽤户和应⽤程序设置。
Active Directory域服务（AD DS，Active Directory Domain Services）存储⽬录数据，管理⽤户和域之间的通信，包括⽤户登录过程、⾝份验证，以及⽬录搜索。
此外还集成其它⾓⾊，为我们带来了标识和访问控制特性和技术，这些特性提供了⼀种集中管理⾝份信息的⽅式，以及只允许合法⽤户访问设备、程序和数据的技术。
1.1.2Active Directory域服务AD DS是配置信息、⾝份验证请求和森林中所有对象信息的集中存储位置。
利⽤Active Directory，我们可以在⼀个安全集中的位置中，⾼效地管理⽤户、计算机、组、打印机、应⽤程序以及其它⽀持⽬录的对象。
*审查。
对Active Directory对象的修改可以记录下来，这样我们就可以知道这个对象做了哪些修改，以及被修改属性的历史值和当前值。
*粒度更细的密码。
密码策略可以针对域中单独的组进⾏配置。
不需要每个帐户都使⽤域中相同的密码策略了。
*只读的域控制器。
当域控制器的安全⽆法得到保障时，我们可以部署⼀台只有只读版本Active Directory数据库的域控制器，例如在分⽀办公室，这种环境下域控制器的物理安全都是个问题，⼜如承载了其他⾓⾊的域控制器，其他⽤户也需要登录和管理这台服务器。
只读域控制器（RODC，Read-Only Domain Controllers）的使⽤，可以防⽌在分⽀机构对它潜在的意外修改，然后通过复制导致AD森林数据的损坏。
2003主域损坏后辅域升级为主域并清理
主域控崩溃，恢复活动目录当网络中的Windows Server 2003的Active Directory主域控制器完全损坏并且不能恢复时，为了保证业务的正常运转，需要将网络中的额外域控制器升级到主域控制器角色。
我们的网络拓扑如下，单域dc01为所有主机角色和GC,DC01和DC02均已安装DNS，并且互为复制。
我们将通过NTDSUTIL工具来占用dc01的操作主机角色，并且设置DC02为全局编录.这里将dc01.hisense.local离线来模拟主域控制崩溃。
1.占用操作主机角色（1）在开始-所有程序-Windows Support Tools-命令提示符（2）输入ntdsutil（3）输入roles（4）输入connections（5）输入connect to server dc02.hisense.local（6）输入quit（7）占用域命名主机角色，输入seize domain naming master ，回车，出现对话框，点是从上图可以看出先进行主机角色的传送，当传送不能成功时进行占用。
（8）占用基础架构主机角色，输入seize infrastructure master（9）占用PDC,输入seize pdc（10）占用RID角色，输入seize RID master（11)占用架构主机角色，输入seize schema master（12）输入2次quit，退出ntdsutil，输入netdom query fsmo，查看操作主机角色至此，所有操作主机角色已经到了DC02.hisense.local上了。
2.在DC02上设置全局编录（1）开始-管理工具-Active Directory 站点和服务（2）单击sites-“default-first-site-name”-servers，选择dc02，右键单击NTDS Sites，选择属性（3）在查询策略中，选择default query policy，并选中全局编录。
主域控损坏Active Directory转移
手工删除Active Directory 数据三、我们在上一篇博文中已经把实验环境搭建好了，现在万事具备只欠损坏主域控制器，下面我们关掉主域控制器（DENVER）。
如下图所示：先在FIRENZE的Active Directory中把DENVER删除掉，使用“ntdsutil”工具，打开FIRENZE在命令行中输入“ntdsutil”命令后，如果记不清使用什么命令，可以使用？问一下。
使用“metadata cleanup”清理不使用的服务器的对象使用“connections”连接到一个特定域控制器使用“connect to server firenze”连接到自己，使用“quit”退出到上一级菜单中。
使用“select operation target”选择站点使用“list sites”就会显示出所有的站点，我们只有一个站点，这里的站点是用0代表。
使用“select site 0”就是选中站点了。
使用“list domains in site”列出所选站点中的域，只有 一个域，还是用0代表。
使用“select domain 0”选中这个域。
使用“list server for domain in site”列出所选域和站点中的服务器，列出了主域控制器DENVER和额外域控制器FIRENZE，还是用数字0和1代表。
使用“select server 0”就是选中了DENVER，因为我们是在删除主DENVER。
我们想要选的服务器已经选中了，使用“quit”退出到上一个菜单中。
使用“remove selected server”删除所先的对象DENVER，出现了一个确认对话框，选择“是”。
最后使用“quit”命令退出就可以了。
我们打开“Active Directory 站点和服务”下把“DENVER”选中，右击“删除”。
出现一个对话框,选择“是”现在“DENVER”已经没有了，展开site->default-first-site-name->servers，展开FIRENZE，右击“NTDS Settings”点“属性”，勾上全局编录前面的勾，点确定，如图所示：现在把“全局编录”也转到FIRENZE上了。
域控制器管理方案
域控制器管理方案域控制器（Domain Controller，简称DC）是Windows Server操作系统中提供了集中控制和管理的功能，用于管理域中的用户、计算机和其他网络资源。
域控制器管理方案是指如何有效地管理和维护域控制器的策略和技术。
下面将提出一个域控制器管理方案，并进行详细阐述。
一、域控制器规划在设计域控制器管理方案时，首先需要进行域控制器的规划。
域控制器管理方案应该考虑以下几个方面：1.域的架构：确定域的深度和广度，包括域的数量、域之间的信任关系、域控制器的位置等。
2. 域控制器的角色：确定域控制器的角色，包括主要域控制器（Primary Domain Controller）和附属域控制器（Additional Domain Controller）。
3.域控制器的容量规划：根据域中的用户数量、计算机数量和其他网络资源的数量，确定域控制器的硬件配置和容量要求。
4.域控制器的高可用性：确保域控制器的高可用性，采取备份和灾难恢复方案，以保证域控制器的连续运行。
二、域控制器的安装和部署在域控制器管理方案中，安装和部署域控制器是一个重要的环节。
以下是域控制器的安装和部署的步骤：1.配置服务器硬件和操作系统：根据域控制器的容量规划，配置服务器的硬件和安装操作系统，确保满足域控制器的性能要求。
2. 安装和配置Active Directory：使用Windows Server操作系统提供的Active Directory安装向导，安装和配置Active Directory，创建新的域或加入现有的域。
3. 新建域控制器：在活动目录安装向导完成后，使用“服务器管理器”或PowerShell命令行工具，新建域控制器，指定域控制器的角色和其他参数。
4.安装其他域控制器：如果需要在域中添加附属域控制器，可以使用相同的方法安装并配置其他域控制器。
5.连接域控制器：一旦安装和配置域控制器完成，将域控制器与网络连接，确保域控制器可以正常工作。
Microsoft Active Directory 迁移工具说明
1 Microsoft Active Directory迁移工具(ADMT)发行说明本文档提供了补充Microsoft®Active Directory®迁移工具(ADMT) 联机帮助文档的最新修改或其他信息。
本文档中的信息（包括引用的URL 和其他Internet 网站）可能会发生变动，恕不另行通知。
除非另有说明，否则本文档示例中涉及的公司、组织、产品、人物和事件均属虚构，与任何真实的公司、组织、产品、人物或事件无关。
如有雷同，纯属巧合。
用户有责任遵守所有适用的版权法。
在不限制版权所辖权利的前提下，未经MicrosoftCorporation 的明确书面许可，本文档中的任何部分不得被复制、存储或引入检索系统，或者以任何形式、任何方式（电子、机械、复制、录音等）或为任何目的进行传播。
本文档可能涉及Microsoft Corporation 的专利、专利申请、商标、版权或其他知识产权。
除非得到Microsoft 的明确书面许可，否则本文档不授予用户任何使用这些专利、商标、版权或其他知识产权的许可。
© 2003 Microsoft Corporation 保留所有权利。
Microsoft、Active Directory、Windows 和Windows NT 是Microsoft Corporation 在美国和/或其他国家（地区）的注册商标或商标。
本文档所涉及的真实公司和产品名称可能是其各自所有者的商标。
2 Microsoft Active Directory 迁移工具(ADMT) 发行说明目录如何查看本文档安装ADMT 安装密码导出服务器安装ADMT 版本2.0 中的新功能脚本编写和命令行界面密码迁移迁移日志文件迁移操作所需的凭据用于安全性转换的SID 映射文件Windows 2000 特性排除代理凭据忽略成员关系还原停止使用源域已知问题ADMT用户迁移组迁移服务帐户迁移信任迁移计算机迁移用户配置文件迁移密码迁移报告创建重试向导联机帮助Microsoft Active Directory 迁移工具(ADMT) 发行说明3ADMT 远程代理软件ADMT 迁移数据库林内迁移命令行工具脚本编写组件如何查看本文档要了解ADMT 的最新发行说明和其他更新信息，请访问域迁移网站：/windows2000/downloads/tools/admt/default.asp安装ADMT 安装本部分介绍与该版本的ADMT 安装相关的已知问题。
一．手动安装ActiveDirectory：1.单击“开始”按钮，单击“运行”，键..
一．手动安装Active Directory：1.单击“开始”按钮，单击“运行”，键入“DCPROMO”，然后单击“确定”。
2.在出现“Active Directory 安装向导”时，单击“下一步”开始安装。
3.阅读“操作系统兼容性”信息后，单击“下一步”。
4.选择“新域的域控制器”（默认），然后单击“下一步”。
5.选择“在新林中的域”（默认），然后单击“下一步”。
6.对于“DNS 全名”，键入“”，然后单击“下一步”。
（这表示一个完全限定的名称。
）7.单击“下一步”，接受将“test”作为默认“域NetBIOS 名”。
（NetBIOS 名称提供向下兼容性。
）8.在“数据库和日志文件文件夹”屏幕上，将Active Directory“日志文件文件夹”指向“L:\Windows\NTDS”，然后单击“下一步”继续。
9.保留“共享的系统卷”的默认文件夹位置，然后单击“下一步”。
10.在“DNS 注册诊断”屏幕上，单击“在这台计算机上安装并配置DNS 服务器”。
单击“下一步”继续。
11.选择“只与Windows 2000 或 Windows Server 2003 操作系统兼容的权限”（默认），然后单击“下一步”。
12.在“还原模式密码”和“确认密码”中，键入密码，然后单击“下一步”继续。
13.单击“下一步”开始安装Active Directory。
14.在“Active Directory 安装向导”完成后，单击“完成”。
15.单击“立即重新启动”以重新启动计算机。
二．创建组织单位和组，创建OU 和安全组1.单击“开始”按钮，指向“所有程序”，指向“管理工具”，然后单击“Active Directory 用户和计算机”。
2.单击“”旁边的“+”号将其展开。
单击“”本身，显示其在右窗格中的内容。
3.在左窗格中，右键单击“”，指向“新建”，然后单击“组织单位”。
4.在名称框中键入“testou1”，然后单击“确定”。
2008 AD 域服务部署配置 额外域控 adprep命令
选择Active Directory 域服务部署配置安装Active Directory 域服务(AD DS) 时，可以选择以下可能的部署配置之一：向域中添加新的域控制器向林中添加新的子域，或作为一个选项添加新的域树注意只有在选中位于Active Directory 域服务安装向导的“欢迎使用Active Directory 域服务安装向导”页上的“使用高级模式安装”复选框时，用于安装新域树的选项才会出现。
创建新的林下列各部分将详细介绍上述的每个部署配置。
向域中添加新的域控制器如果域中已有一个域控制器，则可以向该域添加其他域控制器，以提高网络服务的可用性和可靠性。
通过添加其他域控制器，有助于提供容错，平衡现有域控制器的负载，以及向站点提供其他基础结构支持。
当域中有多个域控制器时，如果某个域控制器出现故障或必须断开连接，该域可继续正常工作。
此外，多个域控制器使客户端在登录网络时可以更方便地连接到域控制器，从而还可以提高性能。
准备现有域向现有的Active Directory 域添加运行Windows Server 2008 R2 的域控制器之前，必须通过运行Adprep.exe 来准备林和域。
请务必运行Windows Server 2008 R2 安装介质随附的Adprep 版本。
此版本的Adprep 可以添加运行Windows Server 2008 R2 的域控制器所需的架构对象和属性，并且可以修改对新对象和现有对象的权限。
根据需要为环境运行以下adprep 参数：添加运行Windows Server 2008 R2 的域控制器之前，请在承载架构操作主机角色（架构主机）的林中的域控制器上运行一次adprep /forestprep。
若要运行此命令，您必须是包括架构主机的域的Enterprise Admins 组、Schema Admins 组和Domain Admins 组的成员。
此外，请在每个计划将运行Windows Server 2008 R2 的域控制器添加到其中的域中，在承载基础结构操作主机角色（基础结构主机）的域控制器上运行一次adprep /domainprep /gpprep。
AD域管理员手册v1.2
AD域管理员手册目录第一章AD域概述 (3)1.1AD的逻辑结构 (4)1.2AD的物理结构 (5)1.3WIN2003AD新特性 (6)第二章AD域的安装和卸载 (7)2.1安装WIN2003AD (7)2.2确认AD的安装 (14)2.2.1 默认容器 (15)2.2.2 Active Directory 数据库 (15)2.2.3 根域验证 (15)2.2.4 DNS (16)2.3自动卸载WIN2003AD (16)2.4手动卸载WIN2003AD (17)第三章基本配置 (23)3.1划分OU (23)3.2站点管理 (25)3.3建立域间信任 (27)3.4防病毒软件排除 (28)3.5客户端计算机加入域 (29)第四章备份与恢复 (32)4.1备份AD (32)4.2AD灾难恢复流程 (34)4.2.1灾难类型 (34)4.2.2恢复方法 (34)4.2.3恢复流程 (35)4.3非权威恢复与权威恢复 (38)4.3.1非权威恢复 (39)4.3.2权威恢复 (39)4.4非权威恢复具体操作 (40)4.5权威恢复恢复具体操作 (41)4.6AD操作主机转移 (41)4.7还原模式密码更改 (46)4.8恢复A CTIVE D IRECTOR (46)4.8.1 环境分析 (46)4.8.2 从AD中清除主域控制器对象 (47)4.8.3 在额外域控制器上通过ntdsutil.exe工具夺取五种ＦＭＳＯ操作 (49)4.8.4 设置额外控制()为ＧＣ（全局编录） (51)4.8.5 重新安装并恢复损坏主域控制器 (51)4.8备份与恢复DHCP (51)第五章组策略 (52)5.1组策略概念 (52)5.2GPMC (52)5.3常用组策略 (53)5.3.1禁止客户端退出域 (53)5.3.2 修改软件安装的选项 (55)5.3.3修改硬件驱动安装的选项 (56)5.3.4开放WINXP防火墙端口 (57)第六章常用脚本 (58)6.1管理员密码修改脚本 (58)6.2用户导出脚本 (58)6.3用户自动加入域 (59)6.4将密码设置为从不过期 (61)6.5创建1,000个用户帐户 (61)6.6用户帐户属性 (62)6.7用户帐户添加模版 (63)附录 (64)附录一：实施环境准备参考表 (64)第一章AD域概述目录服务是一种分布式数据库，用于存储与网络资源有关的信息，以便于查找和管理。
活动目录Active Directory的安装与配置
4、选择［创建一个新域的域目录林］，单击［下一步］。
5、在［新域DNS全名］中输入要创建的域名，单击［下一步］。
6、安装向导自动将域名控制器的NetBIOS名设置为“jiji”，单击［下一步］。
7、显示数据库、目录文件及Sysvol文件的保存位置，一般不必做做修改，单击［下一步］。
活动目录的应用起源于Windows NT 4.0，在Windows 2003 Server中得到进一步的应用和发展，具有可扩展性和可调整性，并将结构化数据存储作为目录信息逻辑和分层组织的基础。
活动目录的优点在于：1.基于策略的管理；2．扩展性；3．可调整性；4．信息复制；5．与DNS的集成；6．灵活的查询；7．信息安全性。
实验的分析与思考：
Active Directory的优点有与DNS集成，灵活的查询，可扩展性，基于策略的管理，可伸缩性，信息复制，信息安全，互操作性。
实验结论及体会：
通过Active Directory的安装实验，体会到了Active Directory的强大功能，与DNS集成，可以不用单独配置DNS服务了，灵活的查询，可扩展性，基于策略的管理，可伸缩性，信息复制，信息安全，互操作性。尤其是其信息复制，配置成功一个域后可以复制该域，不用重新多次的建立。
13、重新启动计算机是，由于活动目录的存在，启东时间会变长。启动后，用管理员账户登录，选择“开始”“管理工具”“Active Directory用户和计算机”选项，弹出“Active Directory用户和计算机”窗口。确认活动目录是否已经正常。
14、添加用户帐户：
①首先启动Active Directory用户和计算机管理器，单击User容器会看到在安装Active Directory时自动建立的用户帐户；
-如何将额外域控制器提升为主域控制器
将额外域控制器提升为主域控制器由于社会的快速发展，企业的发展空间越来越大，人员越来越多，为了对公司员工的机器更好的控制采用域（AD）来管理。
一般公司部署两台AD server来维持正常运行，一台为主域控制器，另外一台为额外域控制器，如果主ADserver损坏可通过额外的域控制器来维持环境正常运行，这个时候就需要将主AD进行维修，如果之前没有通过备份，同时AD由于硬件设备而导致不能正常工作，这个时候我们就需要将额外的域控制器提升为主AD，具体步骤见以下：当然大企业都通过部署DPM来备份重要server的数据，但是DPM有很大的成本，一般不采用，如果AD由于故障直接影响与AD继承的一些有依赖性的服务器，目前的我的环境有两台机器，具体信息如下：两台机器均运行在windows2008R2环境下Computer name:test-dcaIP Adress:192.168.100.1Dns:192.168.100.1Domain name:该server 为主域控制器DCBComputer name: test-dcbIp address :192.168.100.2Dns ：192.168.100.1Domain name：该server为额外域控制器以下我介绍两种容易及日常的故障《一》、1.当两台DC能正常通信，如何将额外的域控制器提升为主域控制器2.当其中一台主域控制器永久down机，如何将额外的域控制器提升为主域控制器那咱们先说说第一种吧，有人问到，有两台DC都能正常通信为什么要将额外的域控制器提升为主域控制器呢，这不是没事找事吧！哈哈….还真不是，如果主域控制服务器性能不是很好，现在又有一台性能很好的机器，我们可以通过提升来解决这个问题，当然还有其他方法了……遇到这样的问题我们通过更改fsmo角色来进行操作即可；操作分两种，一种图形界面，一种命令行；也许会有人问，有两种有什么区别么，以个人的经验，用图形界面能操作的命令行都能操作，当用命令行能操作的图形不一定能操作，所以呢，命令稍带优势；再说了，之前我升级AD遇到一个问题，在讲fsmo角色传递的时候图形界面就报错了，而通过命令操作一下就过了，所以呢，让大家把两个方式务必记住。
AD域、DNS分离+额外域控制器安装,及主域控制器损坏解决方法
AD域DNS分离+额外域控制器安装及主域控制器损坏解决方法对于域控制器的安装，我们已经知道如何同DNS集成安装，而且集成安装的方法好处有：使DNS也得到AD的安全保护，DNS的区域复制也更安全，并且集成DNS 只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。
当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS服务器，并且即将安装的DC控制器负载预计会很重，如果觉得DC本身的负担太重，可把DNS 另放在一台服务器上以分担单台服务器的负载。
这里我们设计的环境是一台DNS服务器（DNS-srv）+主域控制器（AD-zhu）+额外域控制器（AD-fu点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。
（其中由于服务器特性需要指定AD-zhu、AD-fu、DNS-srv为静态地址）对于DC和DNS分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS。
先安装DC在安装DNS的话，需要注意的就是DC安装完后在安装DNS需要重启DC以使DNS得到DC向DNS注册的SRV记录，Cname记录，NS记录。
那么我们就以先安装DNS为例,对于实现这个环境需要三个大步骤：服务器的安装；主控制器的安装；额外控制器的安装。
接下来我们分步实现······为了更加了解DC和DNS的关系，安装前请先参阅：安装Active Directory 的DNS 要求在成员服务器上安装Active Directory 时，可将成员服务器升级为域控制器。
Active Directory 将DNS 作为域控制器的位置机制，使网络上的计算机可以获取域控制器的IP 地址。
在Active Directory 安装期间，在DNS 中动态注册服务(SRV) 和地址(A) 资源记录，这些记录是域控制器定位程序(Locator) 机制功能成功实现所必需的。
AD域控配置步骤
AD域控配置步骤AD域控（Active Directory Domain Controller）是微软Windows操作系统中的一项重要功能，用于管理和组织网络中的计算机资源和用户。
配置AD域控需要进行一系列的步骤，下面将详细介绍。
第一步：规划和准备在配置AD域控之前，需要进行规划和准备工作。
首先要确定域控制器的硬件需求，如CPU、内存和硬盘空间等。
其次，需要确定域控制器的操作系统，Windows Server版本的选择应根据实际需求和计划。
同时，应确定域名的名称和网络设置，包括IP地址和子网掩码等。
第二步：安装操作系统在确定好硬件和操作系统版本之后，将操作系统安装到域控制器上。
按照操作系统的安装向导进行操作，选择安装类型为“新安装”或“添加/删除 Windows 组件”，然后进行系统的基本配置。
第三步：安装Active Directory域服务角色安装完操作系统后，需要安装Active Directory域服务角色来配置AD域控。
在“服务器管理器”中，单击“角色”右侧的“添加角色”链接，然后在“添加角色向导”中选择“Active Directory 域服务”角色，按照向导的指示完成安装过程。
第四步：创建新的域或加入现有域创建新的域是指在域控制器上创建一个新的域，而加入现有域是指将域控制器连接到一个已经存在的域中。
根据实际需求选择其中一种方式进行操作。
如果选择创建新的域，需要执行以下步骤：1. 打开“服务器管理器”，在左侧导航栏中单击“工具” -> “Active Directory 用户与计算机”。
2.在“活动目录用户和计算机”控制台中，右键单击“域”节点，然后选择“新建域”。
3.在“新建域向导”中，选择“新建林”或“新建树”或“现有林”或“现有树”，然后按照向导完成域的创建。
如果选择加入现有域，需要执行以下步骤：1. 打开“服务器管理器”，在左侧导航栏中单击“工具” -> “Active Directory 用户与计算机”。
Active Directory 设置
Active Directory选择“开始”→“程序”→“管理您的服务器”。
弹出“管理您的服务器”的窗口。
双击“添加或删除角色”，弹出对话框，选择下一步按钮，弹出对话框。
单击“继续”按钮。
选择“域控制器”单击下一步按钮。
弹出对话框。
单击“确定”按钮。
弹出“Active Directory 安装向导”对话框，单击下一步。
一直单击“下一步”，直到弹出如下图所示对话框。
选择“新域的域控制器”复选框，单击“下一步”按钮。
弹出对话框，选择“在新的林中发的域”复选框，单击“下一步”按钮。
在“新域的DNS全名”处键入,单击“一步”按钮。
单击“下一步”按钮。
弹出如下对话框。
单击“完成”按钮即可。
桌面上右键单击“网上邻居”选择“属性”命令，打开“本地连接属性”对话框。
选择“Internet协议”，弹出如下对话框，设置完成，如下图。
桌面上右键单击“我的电脑”选择“属性”命令，打开“系统属性”对话框。
单击“更改”按钮，弹出“计算机名称更改”属性对话框，在“录属于”框中勾选“域”复选框，然后输入“域”的名称。
单击确定按钮。
弹出下图对话框。
在用户名中输入管理员名称，密码不设定，单击“确定”按钮。
弹出“欢迎加入”对话框。
三、选择“开始”→“程序”→“Active Directory 用户和计算机”。
弹出“Active Directory 用户和计算机”的窗口。
在右侧“win2003”菜单上右键单击选择“新建”—“用户”，弹出“新建对象—用户”对话框。
在右侧“win2003”菜单上右键单击选择“新建”—“用户”，弹出“新建对象—用户”对话框。
单击“下一步”按钮，弹出对话框设置密码完成后，单击“下一步”按钮。
弹出如下对话框单击“完成”按钮，用户建立完成。
界面如下图所示。
同理，建立用户“李四”也一样。
在右侧“win2003”菜单上右键单击选择“新建”—“组”，弹出“新建对象—组”对话框。
设置如下图所示，完成后单击“确定”按钮。
双击上图界面“student”，弹出对话框，弹出“student属性”对话框，单击“添加”按钮，弹出对话框。
域控的转移和抢夺操作流程
Active Directory域控和额外域控之间的转移和抢占实验流程本文档将模拟ZESING域主控域与额外域控角色之间的和转移和主域控主机因系统或者物理损坏无法开机，额外域控紧急抢占操作主机的实验流程首先先模拟有两台域控，主域控为ZESINGAD01,额外域控为ZESINGAD02。
系统都为Windows server 2008 R2 X64。
如图：打开命令行，输入如下命令来查看：Dsquery server –hasfsmo rid 查看RID主机Dsquery server –hasfsmopdc 查看PDC仿真主机角色Dsquery server –hasfsmoinfr 查看基础结构主机Dsquery server –hasfsmoname 查看域命名主机Dsquery server –hasfsmoschema 查看构架主机通过图中可看到ZESINGAD01为主域控，所有角色都在ZESINGAD01上。
PART I现在演示把主域控ZESINGAD01转移操作主机角色到ZESINEAD02上首先转移RID主机角色打开“Active Directory 用户和计算机”，在目录树窗格中，右键点击“Active Directory 用户和计算机”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或AD LDS实例”并选择一台即将担任RID主机的域控制器，然后点击“OK”；在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“RID”选项卡中，单击“更改”按钮转移PDC仿真主机角色打开Active Directory 用户和计算机，在目录树窗格中，右键点击“Active Directory 用户和计算”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任PDC仿真主机的域控制器，然后点击“OK”；、在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“PDC”选项卡中，单击“更改”按钮转移基础结构主机角色打开Active Directory 用户和计算机，在目录树窗格中，右键点击“Active Directory 用户和计算机”，点击“更改域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任基础结构主机的域控制器，然后点击“OK”在目录树中右键单击“Active Directory 用户和计算机”，选择“所有任务”—“操作主机”；在“基础结构”选项卡中，单击“更改”按钮转移域命名主机角色打开Active Directory 域和信任关系，在目录树窗格中右键点击“Active Directory 域和信任关系”，点击“更改 Active Directory 域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任域命名主机的域控制器，然后点击“OK”；在目录树中右键单击“Active Directory 域和信任关系”，点击“操作主机”；单击“更改”按钮转移架构主机角色运行打开MMC控制台添加Active Directory构架在MMC控制台中打开Active Directory Schema，在目录树窗格中右键点击“Active Directory Schema”，点击“更改 Active Directory 域控制器”；在“更改目录服务器”对话框中，选中“此域控制器或 AD LDS 实例”并选择一台即将担任架构主机的域控制器，然后点击“OK”；在目录树窗格中右键点击“Active Directory 架构”，点击“操作主机”单击“更改”按钮经过以上步骤已经完成转移操作主机角色，来验证一下，进入命令行输入，见到所有角色都迁移到ZESINGAD02上PART II抢夺操作主机角色实验假设ZESINGAD02主机已经挂掉，我们需要提升ZESINGAD01为主域控，我们需要如下操作：1、抢夺RID主机角色A．打开命令行，输入：ntdsutilB．在ntdsutil提示符下，输入：rolesC．在fsmo maintenance命令提示符下，输入：connectionD．在server connections命令提示符下，输入：connect to server <DomainController> ，这里的<DomainController>是即将担任RID主机的域控制器名称E．在server connection命令提示符下，输入：quitF．在fsmo maintenance命令提示符下，输入：seize rid master，确认窗口中点击“Yes”；2、抢夺PDC仿真主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize pdc，如图（由于另一台域控物理故障，林根域只有一台域控制器，所以无法抢夺，下面的错误请忽略，不影响结果）3、抢夺基础结构主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize naming master，如图4、操作同抢夺RID主机角色，只是更换抢夺命令为seize infrastructure master，如图5 、抢夺架构主机角色操作同抢夺RID主机角色，只是更换抢夺命令为seize schema master，如图打开命令行输入以下命令发现ZESINGAD01已提升为主域控，抢占成功。
解决active directory域服务问题的方法
解决active directory域服务问题的方法全文共四篇示例，供读者参考第一篇示例：Active Directory（AD）是微软Windows操作系统中常用的目录服务，用于管理网络中的用户、计算机和其他资源。
在使用过程中，有时候会碰到一些问题，如用户无法登录、组策略无效等。
本文将介绍解决这些问题的方法，帮助管理员更好地管理和维护AD域服务。
一、用户无法登录1. 检查网络连接：首先要确保网络连接正常，AD域控制器可以被访问。
可以通过ping命令测试AD服务器的可达性。
2. 检查用户名和密码：确认用户输入的用户名和密码是否正确，如果忘记密码可以重置密码或设置密码策略允许用户自行更改密码。
3. 检查用户帐户是否被锁定：如果用户连续多次输入错误密码，有可能触发帐户锁定策略，解锁用户帐户即可解决登录问题。
4. 检查域控制器日志：查看域控制器的事件日志，可能会有相关登录失败的日志记录，从而找到问题的原因。
二、组策略无效1. 强制更新组策略：可以使用gpupdate /force命令强制更新组策略，使其立即生效。
2. 检查组策略设置：确保组策略设置正确，没有重复或冲突的设置。
可以通过组策略管理工具查看和修改组策略设置。
3. 检查组策略范围：确认组策略应用范围是否覆盖了需要生效的用户或计算机，有时候由于配置错误导致组策略无法正确应用。
4. 重启计算机：有时候组策略更新后需要重新启动计算机才能生效，尝试重启计算机查看是否问题解决。
三、AD域服务异常1. 检查AD域控制器状态：确保AD域控制器正常运行，未出现硬件故障或软件故障，可以通过性能监视器监控AD域控制器的运行状态。
2. 检查AD域服务配置：查看AD域服务的配置是否正确，包括DNS设置、时间同步、网络设置等，这些配置对AD域服务的正常运行至关重要。
3. 检查AD域数据库：如果出现用户丢失或其他异常情况，可能是AD域数据库损坏或存储空间不足，可以尝试修复数据库或清理存储空间。
解决active directory域服务问题的方法
解决active directory域服务问题的方法解决Active Directory域服务问题的方法可以包括以下几个步骤：1.检查网络连接：首先，检查计算机和服务器之间的网络连接是否正常。
可以使用Ping命令来测试连接是否通畅。
如果连接不正常，则需要检查连接设置或修复网络故障。
2.检查网络设置：如果网络连接正常工作，则可能是TCP/IP设置出现了问题。
可以尝试在计算机上使用ipconfig /flushdns命令来刷新DNS缓存，并重新设置网络适配器的设置。
3.检查DNS设置：正确的DNS设置对于Active Directory的正常运行至关重要。
检查网络适配器的DNS设置是否正确，并尝试使用ipconfig /flushdns命令刷新DNS 缓存。
如果DNS问题仍然存在，则可以尝试手动指定DNS服务器的地址以解决问题。
4.检查防火墙设置：如果计算机防火墙被启用，则必须配置以允许Active Directory流量通过。
可以尝试禁用防火墙以查看是否解决了问题。
如果没有解决问题，则需要检查防火墙规则以确保允许Active Directory服务通过。
5.重启服务：可能存在某些服务未启动或已停止导致Active Directory域服务当前不可用的错误。
可以尝试重启Active Directory域服务以解决问题。
此外，对于与打印机相关的问题，需要确保在添加打印机时不要在Word或其他办公软件内添加，而是应该通过控制面板中的设备和打印机选项来添加打印机设备，并确保相关的打印服务（如Print Spooler）已正确配置并启动。
需要注意的是，具体的解决方法可能会因问题的具体情况而有所不同。
主域控器与备份域控器之间的角色转换
主域控器与备份域控器之间的角色转换平滑过渡：1、在活动目录用户和计算机的域控制器里已经有两台或多台域控制（PDC&BDC）2、再查看一下FSMO（五种主控角色）的owner，安装Windows Server 安装光盘中的Support目录下的support tools工具，3、然后打开提示符输入：netdom query fsmo 以输出FSMO的owner，4、现在登陆PDC（主域控制器），进入命令提示符窗口，在命令提示符下输入：ntdsutil 回车，再输入:roles 回车，再输入connections 回车，再输入connect to server BDC --> （备注：这里的dc-1是指服务器名称），提示绑定成功后，输入q退出。
5、输入？回车可看到以下信息：1.Connections - 连接到一个特定域控制器2.Help - 显示这个帮助信息3.Quit - 返回到上一个菜单4.Seize domain naming master - 在已连接的服务器上覆盖域角色5.Seize infrastructure master - 在已连接的服务器上覆盖结构角色6.Seize PDC - 在已连接的服务器上覆盖 PDC 角色7.Seize RID master - 在已连接的服务器上覆盖 RID 角色8.Seize schema master - 在已连接的服务器上覆盖架构角色9.Select operation target - 选择的站点，服务器，域，角色和命名上下文10.Transfer domain naming master - 将已连接的服务器定为域命名主机11.Transfer infrastructure master - 将已连接的服务器定为结构主机12.Transfer PDC - 将已连接的服务器定为 PDC13.Transfer RID master - 将已连接的服务器定为 RID 主机14.Transfer schema master - 将已连接的服务器定为架构6、然后分别输入：1.Transfer domain naming master 回车2.Transfer infrastructure master 回车3.Transfer PDC 回车4.Transfer RID master 回车5.Transfer schema master 回车以上的命令在输入完成一条后都会有提示是否传送角色到新的服务器，选择YES，然后接着一条一条完成既可，完成以上按Q退出界面，7、这五个步骤完成以后，检查一下是否全部转移到备份域控制器上了，打开在第9步时装windows support tools,开始－>程序->windows support tools->command prompt,输入netdom query fsmo,全部转移成功.现在五个角色的owner都是备份域控制器了.8、角色转移成功以后，还要把GC也转移过去，打开活动目录站点和服务，展开site->default-first-site-name->servers,你会看到两台域控制器都在下面。
域控制器迁移以及修改服务器ip
windows server 2003 域控制器转移迁移准备工作:1. 在Windows Server 2003上运行dcpromo命令将其升级为域控制器，并在升级时选择使其成为现有Windows 2003域的额外的域控制器。
2. 在Windows Server 2003上安装DNS服务，确认它已经和原来的Windows 2003DNS服务器上的数据复制同步后，将它的DNS服务器地址指向自己。
3. 将这台Windows Server 2003域控制器设为全局编录（Glocal Catalog）服务器，具体方法请参考下面这篇文档：《How to promote a domain controller to a global catalog server》：</?id=296882>4. 将原来的Windows 2003域控制器上的5个FSMO角色转移到这台Windows Server 2003域控制器上，具体方法请参考下面这篇文档：《如何查看和转移Windows Server 2003 中的FSMO 角色》：</?id=324801>当最后一步转移结构主机角色时可能会提示“当前域控制器是全局编录服务器，不要将结构主机角色转移到该域控制器上”，由于是在单域环境中，直接确认忽略该提示即可。
关于在Windows 2003域控制器上放置FSMO的更多信息，请参考下面这篇文档：《在Windows 2003 域控制器上放置和优化FSMO》：</?id=223346>5. 完成以上操作之后，新的Windows Server 2003域控制器便替代了原来的第一台Windows 2003域控制器的角色，但我们需要等待一段时间使原来的Windows 2003域控制器上的和全局编录及FSMO角色相关的活动目录信息完全复制到WindowsServer 2003域控制器上。
建议您观察一两天时间，并确认新的Windows Server 2003域控制器/DNS服务器一切工作正常后，再将原来的Windows 2003域控制器降级。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行.
目录
Active Directory操作主机角色概述
环境分析
从AD中清除主域控制器 对象
在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作
设置额外域控制器为ＧＣ（全局编录）
一、环境分析
公司（虚拟）有一台主域控制器，还有一台额外域控制器。
现主域控制器（）由于硬件故障突然损坏，事先又没有
的系统状态备份，没办法通过备份修复主域控制器（），我们怎么让额外域控制器（）替代主域控制器，使Acitvie Directory继续正常运行.
如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC
操作步骤:
1. 从AD中清除主域控制器对象
在额外域控制器()上通过ntdsutil.exe工具把主域控制器()从ＡＤ中删除；
出现对话框以及FSMO角色转换，点确定
2. 使用ADSI EDIT 工具删除Active Directory users and computers 中的Domain
controllers 中T1服务器对象，
ADSI EDIT 是Windows 2003 support tools 中的工具，你需要安装Windows 2003 support tool ，安装程序在windows 2003光盘中的support\tools 目录下。
打开ADSI EDIT 工具，展开Domain NC[]，展开OU=Domain controllers ，右击CN=DC-01，然后选择Delete ，把T1服务器对象删除，如图： 3.3 在Active Directory Sites and Service 中删除T1服务器对象,打开Administrative tools 中的Active Directory Sites and Service ，展开Sites ，展开
Default-First-Site-Name ，展开Servers ，右击T1，选择Delete ，单击Yes 按钮，如图：
挨踢人物传：职员到CEO的蜕变 | 5•12公开课:软考冲刺攻略+答疑| 工信部弱电项目经理资格认证
[只看他]地板3. 设置额外控制()为ＧＣ（全局编录）
打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。
后续部分换成功转换之后抓图,有不好的地方，请大家指教
记得一定要先安装光盘中TOOLS里面的SUPTOOLS.MSI,在运行SUPPORT.CAB解压里面的Adsiedit.msc
否则会出现以下错误，提示MMC无法创建管理单元。