域控制器修复过程
域控制器修复过程
域控制器修复过程第一步，通过重新安装还原DC ，清除操作，例如从Active Directory中删除出现故障的DC对象通过重新安装进行恢复的步骤和创建新DC的步骤相同。
要通过重新安装进行还原，在目标域中必须至少有一台工作正常的DC。
理想情况下，此DC应该和要复制的DC新的DC位于同一Active Directory站点中；清理操作如下所述。
步骤2和步骤3是在阅读本文时假设您已具备的知识。
有关提升过程的更多信息，可以在Windows 2000 Server Resource Kit的Distributed Systems Guide中获得。
清除操作与新DC的名称是否与故障计算机的名称相同有关。
如果新DC的名称与故障DC的名称相同，则必须删除故障DC中的ntdsDSA对象：1.在命令行中，键入ntdsutil。
2.在ntdsutil:提示符下键入metadata cleanup，然后按Enter键。
3.现在，需要连接到现有的域控制器，以便在上面删除故障DC中的ntdsDSA对象。
4.在metadata cleanup提示符下键入connections，然后按Enter键。
5.键入connect to server <服务器名>，然后按Enter键。
其中<服务器名>是从其上清除元数据的DC（同一域中的任何工作正常的DC）。
6.键入quit，然后按Enter键。
将返回元数据清除菜单。
7.键入select operation target，然后按Enter键。
8.键入list domains，然后按Enter键。
将列出目录林中所有的域，其中每一个域都和一个编号相关联。
9.键入select domain <编号>，然后按Enter键，其中<编号>是与故障服务器所在的域对应的编号。
10.键入list sites，然后按Enter键。
11.键入select site <编号>，然后按Enter键，其中<编号> 是指该DC 所在站点的编号。
域控制器AD备份和恢复
域控制器AD备份和恢复通过我前几篇文章的介绍，我想大家对活动目录的配置以及域控制器在网络中的作用已经有了一个大致的了解了。
当然，我写的都是一些关于操作上的文章，至于原理性的东西建议大家自己到网上搜一下或者到书店里去买几本微软的官方教材看一下，因为原理性的东西实在是没什么好写的，要写也是抄书，会被别人以为我在骗稿费的。
:)OK，那么现在大家应该知道在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复分成两种情况:1、整个网络中有且仅有一台域控制器;首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。
而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。
那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。
点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面:点击我用箭头指出的“高级模式”:再点击用红框标出的“备份向导(高级)”，这时会出现一个备份向导:在这里请大家注意，直接点“取消”，这样可以进入备份工具控制器，以便有更多的可以自定义的项目:在这里，需要提醒大家的是，如果你只是想备份活动目录的话，那么你只需要备份一下系统状态就可以了。
但本人强烈建议:最好再做一个整个C盘的备份!以防止丢失一些其它的数据。
Windows域控制器的灾难恢复
Windows域控制器的灾难恢复作者：胡磊来源：《科学与财富》2010年第05期一、概述安徽人民广播电台Link2000音频工作站系统就是建立在网络平台上的。
为了保证安全播出在这个网络中的公用光纤磁盘阵列柜(以下简称磁盘阵列)使用了2台安装了Windows2000 Advance Server操作系统的HP GL570服务器(Server1和Server2)。
两台服务器都可以成为主、备用服务器。
当其中一台服务器出现故障的时候,另一台服务器能够在最短时间内接管磁盘阵列。
保证整个音频工作站系统的正常运行并且有足够的时间来处理服务器故障。
两台服务器是基于Microsoft Cluster(群集)的结构,保证了系统的正常运作。
为了防止两台服务器同时出现故障以及磁盘阵列故障,在设计系统时我们还做了一台PC机和IDE磁盘柜作为出现故障时可以备用的第三备用,及时从光纤磁盘阵列复制数据库文件和必要的音频文件到IDE磁盘柜。
二、环境分析因为网络中所有的服务器和用户计算机都处在的域中。
主域控制器是SERVER1,SERVER2、SERVERBACK都是额外域控制器,其他用户计算机都是域成员。
逻辑图形如下:活动目录是构建Windows2000域的前提条件。
也就是说区别于NT网络只能构建单域模式,Windows2000支持域都是建立在活动目录上的。
所有域控制器之间都要互相传递活动目录信息,我台使用的是单域网络,所以域控制器之间复制的信息也可以称为域信息。
在域中SERVER1是主域控制器,其他控制器都是额外域控制器。
而构架主机、域命名主机、RID主机、主域控制器模拟器、基础结构主机这些主机角色一般都安放在主域控制器中,也就是这里所说的SERVER1中。
三、故障现象当时我们遇到的情况是这样的:SERVER1作为主域控制器和全局编录GC。
机器中构成RAID0的两块硬盘出现故障,其中日常引导的硬盘出现硬件故障不能引导机器,导致作为主域控制器河全局编录GC的SERVER1无法启动;而作为镜像的硬盘也被写入坏数据不能引导,启动时总是出现蓝屏。
主域控制器损坏后,额外域控制器强占 FSMO 测试过程和结果.
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果....关于AD灾难恢复，最终测试..关于AD灾难恢复有很多非常好技术文章可以参考，在狗狗搜索NNN编，但为何还是要写这篇呢，‘听不如看，看不如做，做不如写’嘿嘿，反正写写没多难，最紧要入脑袋！！其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～本贴说明：....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！AD、DC说明：.域名：..主域：DC-ISA-NLB-1..副域：DC-ISA-NLB-2.系统：2003企业版故障情况：（真实环境跑完全过程..）..主域崩溃，副域无法正常工作，如：....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；....AD管理项目均报错，组策略.....等；....域用户无法登录；解决方法：（以上是在副域上操作）..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；..使用命令：ntdsutil.....AD工具..过程：（大概6-8分钟）C:\Documents and Settings\Administrator.LH>ntdsutilntdsutil: metadata cleanupmetadata cleanup: connectionsserver connections: connect to server dc-isa-nlb-2绑定到 dc-isa-nlb-2 ...用本登录的用户的凭证连接 dc-isa-nlb-2。
server connections: qmetadata cleanup: qntdsutil: rolesfsmo maintenance:Seize domain naming master ‘点OK’fsmo maintenance:Seize infrastructure master ‘点OK’fsmo maintenance:Seize PDC ‘点OK’fsmo maintenance:Seize RID master ‘点O K’fsmo maintenance:Seize schema master ‘点OK’‘关闭CMD窗口’...～～以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧：..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’；.....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’；..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’.....1.点击‘DC-ISA－NLB-1’；...........a.选中分支‘NTDS Settings’；...........b.点击‘删除’，对话框‘选择第三项’；.....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’；.....3.点击‘DC-ISA－NLB-2’...........a.选中分支‘NTDS Settings’...........b.点击右键选择‘属性’，全局编录前打上勾；完工....以上搞点后，余下就可以慢慢修复你的主域了。
域的备份与还原
域控制器的好处是可以帮助网络管理员轻松地管理网络中的电脑和用户，防止用户进行非法操作。
当一台域控制器崩溃后，如果说网络中的电脑和用户不多，那么还可以通过重新配置的方法来处理。
如果网络中有上百台电脑怎么办，你难道可以记得原来的所有配置吗？那么唯一的方法是在对域控制器进行每次配置后，都做一次备份。
下面就告诉大家如何进行域控制器的备份和还原。
域控制器的备份步骤在域控制器的：开始-运行当中输入“Ntbcakup”命令敲回车，我们可以看到系统的备份还原向导界面，如下图所示：在这里单击“备份向导”按钮，弹出备份系统的界面，这里选择“system state”文件进行备份，单击“浏览”按钮指定备份的文件夹路径，如图所示；单击“开始备份”按钮，这里开始备份的过程，这里时间较长大概在半个小时左右，如图所示：域控制器的还原步骤恢复的过程也非常简单，需要重新启动操作，开机时按F8进入启动项选择菜单，选择“目录服务器还原模式”选项，单击回车进入系统，如图：启动操作系统这里进入登陆对话框，这里需要注意的是这里所说提到的管理员密码不是当前的管理员密码，是当初建立域控制器时的域控制器恢复密码，如图所示：这一步同样在开始-运行中输入“NTBACKUP”命令启动系统备份还原向导，如图：点击“还原向导”按钮弹出还原向导界面，点击“浏览”按钮找到我们备份的活动目录数据库单击选择，在“还原的项目”区域勾选文件，如图所示：单击“下一步”按钮，弹出“完成还原向导”对话框，如图：单击“高级”按钮，弹出“还原位置”对话框，这里选择“原来位置”选项，单击“下一步”按钮，弹出警告对话框点击“确定”按钮，如图：这里选择“替换现有文件”选项，单击“下一步”按钮，如图：这里按默认，单击“下一步”按钮，如图：单击“完成”按钮，还原向导设置完成，如图：这一步大概半个小时会还原完成。
这时可以重新启动系统再次进入“活动目录恢复”模式启动，当Windows 2003出现用户登录窗口时，输入本地管理员账户和密码，登录成功后，就可以进行恢复操作了。
主域控制器损坏后
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果..其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～本贴说明：....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！AD、DC说明：.域名：..主域：DC-ISA-NLB-1..副域：DC-ISA-NLB-2.系统：2003企业版故障情况：（真实环境跑完全过程..）..主域崩溃，副域无法正常工作，如：....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；....AD管理项目均报错，组策略.....等；....域用户无法登录；解决方法：（以上是在副域上操作）..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；..使用命令：ntdsutil.....AD工具..过程：（大概6-8分钟）.登入Windows 2000 Server 或Windows Server 2003 成員電腦或樹系(要抓取FSMO 角色的地方) 中的網域控制站。
建議您登入要指派FSMO 角色的網域控制站。
登入的使用者必須是要傳輸架構主機，或網域命名主機角色的企業系統管理員群組成員；或正要傳輸PDC 模擬器、RID 主機和基礎結構主機等角色，其所在網域的網域系統管理員群組之成員。
.按一下[開始]，按一下[執行]，在[開啟]方塊中輸入ntdsutil，然後按一下[確定]。
.輸入roles，再按下ENTER。
.輸入connections，再按下ENTER。
.輸入connect to server servername，然後按ENTER，其中servername是您要指派FSMO 角色的網域控制站之名稱。
.在server connections提示字元中輸入q，然後按下ENTER。
.輸入seize role，其中role是您要抓取的角色。
Windows Server 2003环境下域控制器挂掉后的处理步骤
Windows Server 2003环境下域控制器挂掉后的处理步骤前提必须是域内有多域控制器，如果没有，还是老老实实地去做全盘备份和恢复吧。
实验环境：●域名：●第一台域控制器：⏹计算机名：⏹IP：192.168.5.1⏹子网掩码：255.255.255.0⏹DNS：192.168.5.1⏹并且FSMO五种角色及GC全部在第一台域控上。
●第二台域控制器：⏹计算机名：⏹IP：192.168.5.2⏹子网掩码：255.255.255.0⏹DNS：192.168.5.2灾难情况第一台域控制器由于硬件原因，导致无法启动。
客户端虽然还可以利用本地缓存进行登陆，但已经无法再利用域资源了。
操作目的让第二台额外域控制器来接替第一台的工作，也就是说把FSMO和GC全部转移到额外域控制器上来。
操作步骤首先，要把第一台域控制器的所有信息从活动目录里面删除。
点击“开始-运行”，输入：“cmd”并回车，在命令提示符下输入：“ntdsutil”，然后回车。
选择“Metadata cleanup ----清理不使用的服务器的对象”然后依次输入下面的命令：显示一下Site中的域：结果找到两个，其中“1”是我建的子域，所以这里要先择“0”：通过上面的信息，我们可以看到两个服务器，其中SERVER是我们要删除的，因为它已经DOWN机了。
所以这里要选择“0”：选中后，按“q”退出到上一层菜单：接下去删除服务器信息，出现提示后点是。
在上图中点击“是”：然后再按2个“q”退出。
再使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中欲删除服务器对象。
打开后，找到如下位置：点击右键，然后选“删除”就可以了。
在“管理工具”里，打开“AD站点和服务”，找到如下位置：把复制连接也删除了：把FSMO角色强行夺取过来。
先要连接到目标服务器上：连接成功后，按“q”退出到上层菜单，并且看一下帮助信息：这里有两种方法分别是Seize和Transfer，如果原来的FSMO角色的拥有者处于离线状态，那么就要用Seize，如果处于联机状态，那么就要用Transfer。
域控制器崩溃的恢复
Successfully created new volume: 48e1f0ec-56446db6-16c3-00114335e798
c:>ntdsutil
ntdsutil: metadata cleanup
metadata cleanup: select operation target
select operation target: connections
server connections: connect to domain
5 service iptables stop
然后给esx添加新的一个storage
root@ITEEST root]# fdisk /dev/sdb
The number of cylinders for this disk is set to 17684.
There is nothing wrong with that, but this is larger than 1024,
st,DC=com
select operation target: select server０
select operation target: quit
fsmo maintenance:Seize domain naming master
出现对话框，按“确定“
fsmo maintenance:Seize infrastructure master
出现对话框，按“确定“
fsmo maintenance:Seize PDC
域控制器灾难恢复方法
灾难恢复方法一.目的本文对域控制器的灾难恢复提供指导二．摘要本文讲述了多域控制器环境下由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的功能工作使Active Directory正常运行，并在硬件故障排除后使损坏的主域控制器恢复三．目录Active Directory操作主机角色概述环境分析从AD中清除主域控制器 对象在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作设置额外域控制器为ＧＣ（全局编录）重新安装并恢复损坏主域控制器附:用于检测AD中五种操作主机角色的脚本四．正文1. Active Directory操作主机角色概述Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）：架构主机 schema master、域命名主机 domain naming master相对标识号 (RID) 主机 RID master主域控制器模拟器 (PDCE)基础结构主机 infrastructure master而每种操作主机角色负担不同的工作，具有不同的功能：架构主机具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。
这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。
架构主机是基于目录林的，整个目录林中只有一个架构主机。
域命名主机具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC：向目录林中添加新域。
从目录林中删除现有的域。
添加或删除描述外部目录的交叉引用对象。
相对标识号 (RID) 主机此操作主机负责向其它 DC 分配 RID 池。
只有一个服务器执行此任务。
在创建安全主体（例如用户、组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。
每一个Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。
RID 主机通过分配不同的池来确保这些 ID 在每一个 DC 上都是唯一的。
域控服务器备份和恢复
域控服务器系统备份和恢复说明系统备份与恢复公司局域网中域控服务器担任DNS服务、AD服务2种角色，AD 服务和DNS服务可以通过备份系统状态一起备份。
在安装配置好域控服务器后，备份系统原始状态，包括对C盘分区镜像备份；在客户机加域和调试等工作完成后，备份AD、DNS服务，C盘镜像文件和这2个服务每7天备份一次，备份文件名称加日期，分别存放在2T硬盘下“域控服务器备份”文件夹下的“DC系统状态备份”和“DC镜像文件备份”1 系统原始状态备份1.1、备份方案准备一套GHOST软件，或带GHOST软件的U盘系统原始状态需要备份，第一步备份C盘分区的镜像1.2、备份过程第一步：备份系统分区镜像在域控服务器BOIS中设置从U盘启动，带有GHOST软件的U盘插入服务器usb接口，启动域控服务器，一会进去如下图所示，选择启动GHOST11.2软件，如下图：GHOST软件版权说明页面：备份方式选择Partition—To Image：磁盘分区情况与源分区C盘的选择：源分区C盘选择确认：C盘镜像保存路径选择：镜像保持名字起名规则：系统版本—日期—时间镜像压缩程度选择：备份确认：至次，C盘镜像备份完成。
2 域控服务器恢复2.1、恢复过程恢复分区镜像在域控服务器BOIS中设置从U盘启动，带有GHOST软件的U盘插入服务器usb接口，启动域控服务器，一会进去如下图所示，选择启动GHOST11.2软件，如下图：GHOST软件版权说明页面：恢复方式选择Partition—From Image：要恢复的镜像文件选择路径：选择备份镜像源分区C盘选择确认：目标硬盘路径选择：目标分区路径选择：确认选择：恢复确认：选yes，等待重启至次，C盘镜像恢复完成3 AD服务和DNS服务备份与恢复3.1、备份方案AD 中数据可以分为AD 数据库及相关文件和SYSVOL（系统卷）。
其中AD数据库包括Ntds.dit（数据库）、Edbxxxxx.log（事物日志）、Edb.chk（检查点文件）、Res1.log 和Res2.log（预留的日志文件）；系统卷包括文件系统联接、Net Logon 共享（保存着基于非 Windows 2000/2003/xp 的网络客户端的登录脚本和策略对象）、用户登录脚本（基于 Windows 2000 Professional、Windows xp 的客户端以及运行Windows 95、Windows 98 或 Windows NT 4.0 的客户端）、Windows2000/2003/xp 组策略以及需要在域控制器上可用并需要在域控制器间同步的文件复制服务 (FRS 的分段目录和文件。
域控制器灾难恢复教程
主域控制器突然暴毙之灾难恢复本实验讲述的是在多域控制器的环境下，主域控制器由于硬件故障突然损坏，而事先又没有做好主域控制器的备份，如何使额外域控制器接替它的工作，从而使Active Directory 正常运行，等待硬件修理好之后，在恢复主域控制器的职能。
在实验之前,我先来介绍FSMO角色,也就是AD定义的五种操作角色架构主机 schema master域命名主机 domain naming master相对标识号主机 RID master主域控制器模拟器（PDCE）基础结构主机 infrastructure master而每种角色负担不同的工作，具有不同的功能：架构主机：更新目录架构，架构主机是基于目录林的，整个目录林中只有一个架构主机域命名主机：向目录林中添加新域，从目录林中删除现有的域,是基于目录林的，整个林中只有一个域命名主机相对标识号主机：负责向其他DC分配RID池，在创建用户、组和添加计算机时，将RID和域标识符结合来创建唯一的安全标识符(SID)，基于域的，目录林中的不同的域都有自己的相对标识号主机PDCE：向后兼容低级客户端和服务器，允许以前版本的域控制器加入到现有域环境中，负担密码的验证工作，时间的同步—确保目录林中的每个域的PDCE都与目录林中根域的PDCE进行同步，PDCE也是基于域的，每个域中都有自己的PDCE基础结构主机：确保所有域间操作对象的一致性，当引用包含该对象的全局唯一标识符(GUID)、安全标识符(SID)和可分辨的名称(DN).如果被引用的对象移动，则在域中担当结构主机角色的DC会负责更新该域中跨域对象引用中的SID和DN。
是基于域的，目录林中每个域都有自己的基础结构主机。
默认这五种FSMO存在于目录林中根域的第一台DC上，而子域中的相对表示号主机、PDCE、基础结构主机存在于子域中的第一台DC上。
接着上一篇域的搭建后，我们来进行主域控制器的灾难恢复.步骤三：FSMO角色的转移步骤四：主域控制器职能的恢复在FSMO角色的转移之前，先让主域控制器损坏，如下图：一从AD中清除主域控制器Florence 对象在Berlin上通过ntdsutil.exe工具把主域控制器Florence从AD中删除命令为：c:>ntdsutilntdsutil: metadata cleanupmetadata cleanup: select operation targetselect operation target: connectionsserver connections: connect to domain server connections:quitselect operation target: list sitesselect operation target: select site 0select operation target: List domains in siteselect operation target: select domain 0select operation target: List servers for domain in site select operation target: select server ０select operation target: quitmetadata cleanup:Remove selected serverremove selected server按回车后，出现下面的对话框点击是即可在berlin 上打开active directory sites and servers中的sites下的default-fir st-site-name-----servers删除florence，如下图所示；二使用ADSI EDIT 工具删除active directory users and computers 中的Do main controllers 中的florence服务器对象。
利用BE12.5对AD域控备份与恢复
利用BE12。
5对AD域控制器备份与恢复环境：Servera BE12.5 192.168.1.200Serverd AD 192.168.1.2031.首先打开Servera 的BE控制台，备份---新建备份作业---选择AD 主机Serverd----系统状态，确认默认子项下都勾选上。
如下图2.资源凭证----针对目标服务器AD主机进行身份骓检测并都要通过成功，不然以下备份会不成功。
图3.目标---设备和介质：选定之前创建的存储目标介质设备。
图：4.设置----常规：输入作业名称，备份方法，这里以完全备份为例，以下故默认即可。
图:5.microsoft AD-----这里启用GRT粒度技术并选择VSS，这在恢复时可以更具体的针对某个项目，用户邮箱，邮件等进行恢复操作。
图:6.完成上面准备操作后，点击执行，下一步运行等待备份作业的成功与否。
图：OK，作业成功完成了。
7．对于AD的备份，已经成功操作完成，以下就针对AD的恢复作业进行操作。
首先在这之前我们给AD创建俩个新的用户账号testc和testd，如图：8．然后进行对AD域控恢复操作，同样的在主机Servera 打开BE控制台，操作恢复作业---创建恢复作业----选择恢复选项列表。
图:(注：AD域控在恢复时一定要重启系统进入“目录恢复服务模式”，方便成功恢复作业操作)9．资源凭证：进行对AD域的检测通过（俩主机要有同样账号和密码），编辑选择一至的账户。
图10．源---设备：选择设备源，之前创建的设备源存储。
图：11．设置---常规：输入作业名称，选择如图中的选择。
图:12．设置---高级：勾选“恢复由文件复制服务管理的文件平…………..第一仲裁磁盘”.以下自定。
图:13．设置---Microsoft AD：选择选项即可，完成操作点执行，下一步运行恢复作业。
图14．等待作业运行状态，好了，作业成功恢复作业操作成功完成，有个警告提示重启AD域控。
域控服务器灾难恢复手册
域控服务器灾难恢复手册Domain Control Server Disaster Recovery Manual该手册用于域控系统的故障恢复。
要使不再使用或故障的域控服务器恢复正常使用，需要执行服务器退出到新建两个过程。
This manual is used for disaster recovery of domain control systems. To make the domain controller that is no longer to use or fail to return to normal, exit to the new server needs to perform two processes.服务器退出有两种情况：There are two situations server exits一种是域控服务器正常情况下，即域控服务当前没有故障，但需要换硬件或者升级版本时，就可以按照此种情况执行；参照以下步骤一、二、四执行；One is the domain control server is normal, that domain control service is currently no fault, but need to change the hardware or upgrade version, you can follow this situation; refer to the following steps one, two, four.二种是域控服务器异常，已不可提供正常服务，就可参照以下步骤三、四执行。
Another is the domain control server exception, can not provide normal services, you can refer to the following steps three and four.架构主机、域命名主机、PDC、RID、结构主机5个角色为testdc01，初始状态如下图所示：Schema Master, Domain Naming Master, PDC, RID, Infrastructure master initial to testdc01一、架构主机、域命名主机、PDC、RID、结构主机从testdc01迁移到testdc02Schema master, Domain naming master, PDC, RID, Infrastructure master from testdc01 migrate to testdc021、迁移PDC、RID、结构主机Migrate PDC, RID, Infrastructure master登录域控服务器testdc02，打开Active Directory 用户和计算机，右键——操作主机Login to the domain controller server testdc02, open Active Directory Users andComputers, and right-click the host依次点击“更改”，将PDC、RID、结构主机从testdc01迁移到testdc02Click "Change" to migrate the PDC, RID, Infrastructure master from testdc01 to testdc022、迁移域命名主机Migrate Domain naming master登录域控服务器testdc02，打开Active Directory 域和信任关系，右键——操作主机Login to the domain controller server testdc02, open Active Directory domains and trustrelationships, right-click——operate master点击“更改”，将域命名主机从testdc01迁移到testdc02Click "Change" to migrate the Domain naming master from testdc01 to testdc023、迁移架构主机Migrate the schema master先在testdc02上注册架构域控：regsvr32 C:\WINDOWS\system32\schmmgmt.dll First register the domain control on testdc02：regsvr32 C:\WINDOWS\system32\schmmgmt.dll点击开始菜单——运行——输入“mmc”，打开控制台——添加Active Directory架构管理单元Click Start Menu ——Run ——enter "mmc" to open the console ——add the Active Directory Schema Management unit按以下步骤迁移架构主机Follow these steps to migrate the Schema master使用netdom query fsmo 命令查看5个角色是否全部迁移到testdc02，全部迁移完毕才能继续执行第二步。
AD域、DNS分离+额外域控制器安装,及主域控制器损坏解决方法
A D域、D N S分离+额外域控制器安装,及主域控制器损坏解决方法-CAL-FENGHAI-(2020YEAR-YICAI)_JINGBIANAD域DNS分离+额外域控制器安装及主域控制器损坏解决方法对于域控制器的安装，我们已经知道如何同DNS集成安装，而且集成安装的方法好处有：使DNS也得到AD的安全保护，DNS的区域复制也更安全，并且集成DNS只广播修改的部分，相信更多情况下大家选择集成安装的方式是因为更简洁方便。
当然你也许会遇到这样的情况：客户的局域网络内已经存在一个DNS服务器，并且即将安装的DC控制器负载预计会很重，如果觉得DC本身的负担太重，可把DNS另放在一台服务器上以分担单台服务器的负载。
这里我们设计的环境是一台DNS服务器（DNS-srv）+主域控制器（AD-zhu）+额外域控制器（AD-fu点击查看额外控制器的作用），另外为了检验控制器安装成功与否，是否以担负其作用，我们再安排一台客户端（client-0）用来检测。
（其中由于服务器特性需要指定AD-zhu、AD-fu、DNS-srv为静态地址）huanjing.png对于DC和DNS分离安装，安装顺序没有严格要求，这里我测试的环境是先安装DNS。
先安装DC在安装DNS的话，需要注意的就是DC安装完后在安装DNS需要重启DC以使DNS得到DC向DNS注册的SRV记录，Cname记录，NS记录。
那么我们就以先安装DNS为例,对于实现这个环境需要三个大步骤：1.DNS服务器的安装；2.DC主控制器的安装；3.DC额外控制器的安装。
接下来我们分步实现······为了更加了解DC和DNS的关系，安装前请先参阅：/zh-cn/library/cc739159(v=ws.10)安装 Active Directory 的 DNS 要求在成员服务器上安装 Active Directory 时，可将成员服务器升级为域控制器。
Windows域控制器的灾难恢复
ｓ ｌ ｃ ｏ ｅａ ｉｎ ａ ｇ ｔ ｓ ｌ ｃ ｓ ｒ ｅ ０； ｅ ｅ ｔ ｐ ｒ ｔｏ ｔ ｒ ｅ ： ｅ ｅ ｔ ｅ ｖ ｒ 选择要操作的
服 务器
ｆｍ ｍ ｉ ｔｎ ｎ ｅ Ｓ ｉｅ ｄ ｍ ｉ ｎ ｍ ｎ ｍ ｓ ｅ ；连接的服务 ｓ ｏ ａｎ ｅａ ｃ ：ｅ ｚ ｏ ａ ｎ ａ ｉ ｇ ａ ｔ ｒ
器 上 改 写 域 角色
ｆｍ ｍ ｉ ｔｎ ｎ ｅＳ ｉｅ ｉｆ ａ ｔ ｕ ｔ ｒ ｍ ｓ ｅ ；连接的服务 ｓ ｏ ａｎ ｅ ａｃ ：ｅ ｚ ｎ ｒ ｓ ｒ ｃ ｕ ｅ ａ ｔ ｒ 器上改写结构 角色 ｆｍ ｍ ｉ ｔｎ ｎ ｅ Ｓ ｉｅ Ｐ Ｃ 在 已连接 的服务器上改写 Ｐ Ｃ角色 ｓ ｏ ａｎ ｅａ ｃ ：ｅ ｚ Ｄ ； Ｄ ｆ ｍ ｍ ｉ ｔｎ ｎ ｅＳ ｉｅ Ｉ ｍ ｓ ｅ ； 已连接 的服 务器上 改写 ｓ ｏ ａ ｎ ｅ ａ ｃ ：ｅｚ Ｒ Ｄ ａ ｔ ｒ 在
Ｃ：ｎｔ ｕ ｌ ） ｄｓ ｔｉ
的。为 了保证安全播 出在这个 网络 中的公用 光纤磁盘阵列柜 （ 以下简称磁 盘阵列）使用 了 ２台安装 了 Ｗ ｎ ｏ ｓ ０ ０ ｄ ａ ｃ Ｓ ｒ ｅ ｉｄ ｗ ２ ０ Ａ ｖ ｎ ｅ ｅ ｖ ｒ操作系统 的 ｝） Ｇ ５ ０服务器 （ｅ ｖ ｒ 和 Ｓ ｒ ｅ ２ 两台服务器 都可以成 为主 、 Ⅱ Ｌ７ Ｓｒｅ ｌ ｅｖｒ） 备用 服务器 。当其中一台服 务器 出现 故障的时候 ， 另一台服务器能够在最短 时
一
磊
做法使系统从这样 的灾难 中恢复 。
（ 安徽人民广播 电台）
、
四、 体操作过程 具
４ １故障时系统的状态 ． 这里 的前 提条件是 ：ｅ ｖ ｒ Ｓ ｒ ｅ ｔ出现硬件 故障 ，不 能启动 。Ｓ ｒ ｅ ２和 ｅｖｒ ＳｒｅＢｃ ｅ ｖ ｒ ａ ｋ完全正常， 作为额外域控制器没有 上述 五种 Ｆ Ｍ 。 但 ｓ ０ 要求不影 响 整 个 网 络运 行 的情 况 下恢 复 Ｓ ｒ ｅ １ ｅｖｒ 。 ４ ２从 Ａ ． Ｄ中清除主域控制器 Ｓ ｒｅ １ａ － ａ ｉ． ｒ ｅ ｖｒ ． ｈ ｒ ｄ ｏ ｏ ｇ对象 ｌ 在额外域 控制器 （ ｒ ｅ ２ 上 通过 ｎ ｄ ｕ ｉ ． ｘ 工具把 主域控制 、 Ｓ ｖｒ） ｅ ｔｓｔｌｅｅ 器 （ｅ ｖｒ ） Ａ Ｓ ｒｅ １ 从 Ｄ中删除： ２ 使 用 Ａ Ｓ Ｅ Ｉ 、 Ｄ Ｉ Ｄ Ｔ工 具 删 除 Ａ ｔ ｖ Ｄ ｒ ｃ ｏ ｙ ｕ ｅ ｓ ａ ｄ ｃ ｉｅ ｉｅ ｔ ｒ ｓ ｒ ｎ ｏ ｇｕ ｅ ｓ 中的 Ｄ ｍ ｉｃ ｎ ｒ ｌ ｅ ｓ中 Ｓ ｒ ｅ ｌ ｒ ｐ ｔｒ ｏａｎｏｔｏｌｒ ｅ ｖ ｒ 服务器对象： ３ 在 Ａ ｔ ｖ Ｄ ｒ ｃ ｏ ｙ ｉｅ ａ ｄ ｅ ｖ ｃ 、 ｃ ｉ ｅ ｉ ｅ ｔｒ Ｓ ｔ ｓ ｎ Ｓ ｒ ｉ ｅ中删 除 Ｓ ｒ ｅ ｌ服 ｅｖｒ 务 器对 象 至此我们在 Ａ Ｄ中清除 了主域控制器 Ｓｒ ｅ １ａ － ａ ｉ． ｒ ｅｖ ｒ ． ｈ ｒ ｄ ｏ ｏ ｇ对象 然 而现在的域成了只有额外域控制器 的结构 ， 虽然额外 域控制 器 Ｓ ｒ ｅ２获 ｅｖ ｒ 得 了Ｇ ， 是还没有 Ｆ Ｓ ｃ但 Ｍ Ｏ五种角色， 下面就需要 获得这 五种角色 。 ４ ３在 Ｓ ｒ ｅ２上 夺 取 五 种 Ｆ Ｓ ． ｅｖ ｒ ＭＯ 还 是需要用 ｎ ｄ ｕ ｉ ＿ ｘ ｔｓ ｔ ｌｅ ｅ工具， 操作如下：
域控制器错误及解决方法
域控制器错误及相关解决办法１、用户帐户被意外锁定，并在 Windows Server 2003 中记录的事件 ID 12294事件 ID 12294参考：/kb/887433/zh-cn原因当您的网络上的计算机感染了 W32.Randex.F 蠕虫病毒或与它的变量时，可能会发生此问题。
解决方案若要解决此问题，请使用最新的可用的病毒定义在网络上运行完整的病毒扫描。
若要删除 W32.Randex.F 蠕虫病毒使用扫描。
有关如何执行病毒扫描或如何获取最新的病毒定义的信息，请参阅您的防病毒软件文档或与制造商联系。
2、事件 ID 1699 记录许多次并填充基于 Windows Server 2008 的可写域控制器的目录服务事件日志事件 ID 1699参考：/?scid=kb%3Bzh-cn%3B953392&x=12&y=12原因当 Windows Server 2008 RODC 试图缓存的主要用户的密码时，可写域控制器将执行检查以确定是否允许此操作。
如果不允许此操作，是将返回错误代码。
这是预期的行为。
但是，不正确可能返回错误代码时记录事件 1699解决方案若要解决此问题可用的修补程序。
安装此修补程序后，服务器不会在"原因"部分中提到的情况下记录事件 ID 1699。
在其他的方案中仍被记录该事件。
3、Windows Server 2008 上和 Windows Server 2008 R2 域控制器上的 Net Logon 服务不允许使用旧默认情况下与 Windows NT 4.0 兼容的加密算法事件ID58055722参考：/?scid=kb%3Bzh-cn%3B942564&x=8&y=10原因出现此问题是由于基于 Windows Server 2008 的域控制器上的允许与 Windows NT 4.0 兼容的加密算法策略的默认行为。
若要防止 Windows 操作系统和第三方客户端使用弱加密算法，以建立到基于 Windows Server 2008 的域控制器的NETLOGON 安全通道配置此策略。
域控制器崩溃的恢复
重启后cmd—netdom query fsmo看看5个角色是否已经迁移成功
二、现在备用域控已经成功升级成域控了，但是这么使用还是不很方便，特别是应用比较的情况，我们现在把这个备用域控的主机名和IP改成原来域控的，这样就可以完全复原
1、首先要先把原来域控的SID从域内清除，还是使用ntdsutil.exe
出现对话框，按“确定“
fsmo maintenance:Seize PDC
出现对话框，按“确定“
fsmo maintenance:Seize RID master
出现对话框，按“确定“
fsmo maintenance:Seize schema master
出现对话框，按“确定“
fsmo maintenance:quit
(e.g., DOS FDISK, OS/2 FDISK)
Command (m for help): n
Command action
e extended
p primary partition (1-4)
p
Partition number (1-4): 1
First cylinder (1-17684, default 1):
重新启动域控制器
1.重新启动域控制器。
2.在启动菜单中按F8 键，然后单击Directory Services Restore Mode（目录服务还原模式）。
3.如果存在多种安装，请选择适当的一种，然后在登录提示符下以管理员身份登录。
4.启动命令提示，然后键入ntdsutil.exe。
注意：要获取可在Ntdsutil 提示符下使用的命令列表，
请键入?。
5.在Ntdsutil 提示符下，键入files。
6.在“文件维护”提示符下，使用以下两个过程之一或同时使用这两个过程：
o要移动数据，请键入move db to %s，其中%s是要移动的数据库所在的驱动器和文件夹。
o要移动日志文件，请键入move logs to %s，其中%s是要移动的日志文件所在的驱动器和文件夹。
7.要查看日志文件或数据库，请键入info。
要验证位于新位置的数据库的完整性，请键入
integrity。
8.键入quit，然后键入quit以返回到命令提示符。
9.以普通模式重新启动计算机。
注意：移动数据库和日志文件时，必须备份域控制器。
如果您没有及时按F8 键来选择安装方法，则请执行下列操作：
1.以管理员身份登录，在“控制面板”中双击系统，然后单击高级选项卡。
2.单击“启动和故障恢复”，然后验证是否选中Display list of operating systems for XX
seconds（将操作系统列表显示XX 秒钟）复选框。
3.重新启动域控制器，然后按F8 键。
windows2003-域控制器的备份与恢复
windows 2003 域控制器的备份与恢复windows 2003 域控制器的备份与恢复在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复分成两种情况:1、整个网络中有且仅有一台域控制器;首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。
而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。
那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。
点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面:点击我用箭头指出的“高级模式”:再点击用红框标出的“备份向导(高级)”，这时会出现一个备份向导:在这里请大家注意，直接点“取消”，这样可以进入备份工具控制器，以便有更多的可以自定义的项目:在这里，需要提醒大家的是，如果你只是想备份活动目录的话，那么你只需要备份一下系统状态就可以了。
但本人强烈建议:最好再做一个整个C盘的备份!以防止丢失一些其它的数据。
在这里，我为了节省时间，就仅仅备份一下系统数据了:在上图的左下角，“备份媒体或文件名”里可以选择备份的路径，并且支持网络备份的。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
域控制器修复过程第一步，通过重新安装还原DC ，清除操作，例如从Active Directory中删除出现故障的DC对象通过重新安装进行恢复的步骤和创建新DC的步骤相同。
要通过重新安装进行还原，在目标域中必须至少有一台工作正常的DC。
理想情况下，此DC应该和要复制的DC新的DC位于同一Active Directory站点中；清理操作如下所述。
步骤2和步骤3是在阅读本文时假设您已具备的知识。
有关提升过程的更多信息，可以在Windows 2000 Server Resource Kit的Distributed Systems Guide中获得。
清除操作与新DC的名称是否与故障计算机的名称相同有关。
如果新DC的名称与故障DC的名称相同，则必须删除故障DC中的ntdsDSA对象：1.在命令行中，键入ntdsutil。
2.在ntdsutil:提示符下键入metadata cleanup，然后按Enter键。
3.现在，需要连接到现有的域控制器，以便在上面删除故障DC中的ntdsDSA对象。
4.在metadata cleanup提示符下键入connections，然后按Enter键。
5.键入connect to server <服务器名>，然后按Enter键。
其中<服务器名>是从其上清除元数据的DC（同一域中的任何工作正常的DC）。
6.键入quit，然后按Enter键。
将返回元数据清除菜单。
7.键入select operation target，然后按Enter键。
8.键入list domains，然后按Enter键。
将列出目录林中所有的域，其中每一个域都和一个编号相关联。
9.键入select domain <编号>，然后按Enter键，其中<编号>是与故障服务器所在的域对应的编号。
10.键入list sites，然后按Enter键。
11.键入select site <编号>，然后按Enter键，其中<编号> 是指该DC 所在站点的编号。
12.键入list servers in site，然后按Enter键。
将列出该站点中所有的服务器，其中每一个服务器都有一个对应的编号。
13.键入select server <编号>，然后按Enter键，其中<编号> 是指要删除的DC。
14.键入quit，然后按Enter键。
将显示元数据清除菜单。
15.键入remove selected server，然后按Enter键。
此时，应出现一条说明该DC已成功删除的确认信息。
如果接收到一个错误，指出没有找到该对象，则可能该对象已经从Active Directory中删除了。
16.键入quit，然后重复按Enter键，以返回到命令提示符。
注意由于此过程需要修改配置命名上下文，所以此操作需要企业管理员权限。
如果新的DC名称与故障DC的名称不同，则应该执行以下附加步骤：从站点和服务管理单元中删除故障服务器对象：1.打开站点和服务管理单元。
2.选择适当的站点。
3.删除与故障DC 相关联的服务器对象。
从用户和计算机管理单元中删除故障计算机的帐户：4.打开用户和计算机管理单元。
5.选择域控制器容器。
6.删除与故障DC相关联的计算机对象。
警告如果新计算机的名称与故障计算机的名称相同，请不要执行上述附加步骤。
确保问题不是由硬件故障引起的。
如果不更换故障硬件，则通过重新安装进行还原的方法会无济于事。
第二步，从站点和服务管理单元中删除故障服务器对象时，出现无法删除DSA对象处理症状如果您尝试在“Active Directory 用户和计算机”中删除域控制器的计算机帐户，您可能会收到以下错误消息：Error:DSA object cannot be deleted（错误：无法删除DSA对象）如果在您通过在域控制器上运行dcpromo 进程以将其降级之后删除该计算机帐户，就会发生此问题。
原因若UserAccountControl 的值设置为8192，则会发生此问题。
解决方案要解决此问题，请把UserAccountControl 值更改为4096。
备注：只有在下列任一情况属实时才可以使用此解决办法：您已在域控制器上运行dcpromo 工具将其降级。
计算机硬件发生故障，您使用ntdsutil 进程清除了帐户元数据，然后从“Active Directory 站点和服务”中删除了帐户，但您仍不能删除该计算机帐户。
单击开始，指向程序，指向Windows 2000 支持工具，指向工具，然后单击ADSI 编辑。
展开Domain NC，展开dc=domain,dc=com，然后展开ou=domain controllers。
右键单击此计算机域控制器的名称，然后单击属性。
在属性选项卡上，将“Select which properties to view”（选择查看哪些属性）列表框中的两个属性都选中。
在“Select a property to view”（选择一个要查看的属性）列表框中，选择UserAccountControl。
在属性值下，查看其值。
使其值为4096 以向该计算机帐户赋予成员服务器身份，以便能够删除它。
在编辑属性框中键入4096。
单击设置按钮。
单击应用，然后单击确定。
退出“ADSI 编辑”。
注：上述处理后如果还不能删除，就直接用ADSI 编辑器删除相应对象第三步，在另一台服务器上安装全新操作系统，运行DCpromo.exe（AD 安装工具），以将此计算机提升为域控制器角色验证另一台服务器上的DNS 名称解析验证第一个域控制器后，请使用下列步骤来验证第二个服务器上的DNS 名称解析。
1.以“管理员”身份登录另一台服务器。
2.在另一台服务器上打开一个命令提示符。
3.键入nslookup 然后按ENTER 键。
您将看到下面的结果：4.C:\>nslookup 5.Server:swpp-1. 6.Address: xxx.xxx.xxx.xxx7.: 9.Address: xxx.xxx.xxx.xxx如果没有看到成功的名称解析（即响应中的第二个信息集），则请检查另一台服务器上的IP 设置，以确认它的首选DNS 服务器是原域控制器服务器的IP。
Nslookup 首先告诉您哪个服务器在提供Nslookup 响应，然后再提供找到的信息。
通过检查DNS MMC 正向搜索区域中的记录，验证原域控制器服务器的DNS 服务器上的DNS 记录。
直到DNS 能正常运行后，才可继续。
在另一台服务器上运行DCPROMO完成验证DNS 名称解析后，请使用下列步骤，将服务器提升为域控制器：1.单击“开始”、“运行”，键入dcpromo，然后按ENTER 键。
2.单击“下一步”。
3.选择“现存域的其他域控制器”，然后单击“下一步”。
4.输入 域的Enterprise Administrator 凭据，并输入 作为域名，然后单击“下一步”。
5.输入 作为“域名”，然后单击“下一步”。
6.按如果您只有一个物理磁盘，请单击“下一步”以接受数据库和日志文件的默认位置。
否则，请指定想要的文件位置。
7.单击“下一步”以接受默认的SYSVOL 文件夹位置。
8.输入此服务器的“目录服务还原模式管理员密码”，然后单击“下一步”。
9.查看设置，然后单击“下一步”以开始Active Directory 安装向导(Dcpromo.exe) 配置过程。
10.单击“完成”。
11.出现提示后单击“立即重新启动”。
验证另一台服务器名称注册若要验证另一台服务器，请按下列步骤操作：1.重新启动后，请以“管理员”身份登录。
2.单击“开始”、“程序”、“管理工具”、“DNS”。
展开域，并验证新域控制器的记录在“正向搜索区域”中注册的_msdcs、_sites、_tcp、_udp子域中可见。
如果它们在DNS控制台中不可见，重新启动NETLOGON 将启动记录注册。
3.验证“反向搜索区域”已经复制。
将域操作主机角色移到另一台服务器原域控制器服务器是全局编录服务器，建议不要让此服务器上同时具有RID 主机、PDC 模拟器或基础结构主机操作主机角色。
因此，此过程提供将这些角色移到另一台服务器所需的必要步骤。
若要将操作主机角色移到另一台服务器，请按下列步骤操作：1.启动“Active Directory 用户和计算机”。
2.用鼠标右键单击“Active Directory 用户和计算机”树的顶层。
3.选择“连接到域控制器”。
4.从列表上选择“另一台服务器”，然后单击“确定”。
5.用鼠标右键单击域，然后选择“操作主机”。
默认情况下会显示RID主机角色，请选择“更改”。
6.单击“是”以确认转移。
7.单击“确定”。
重复上述步骤，完成PDC 模拟器和基础结构主机操作主机转移。
第四步，在升级域控制器过程中提示“未能修改机器帐户XXXX$ 的必需属性,访问被拒绝。
”处理解决方案要解决该问题，可以使用Administrators 组中的帐户，或者将合适的帐户添加到Administrators 组中。
要将该权利授予其它用户或组：在组策略对象中设置委派权限1.在Active Directory 用户和计算机管理单元中，编辑域控制器组织单元上的默认域控制器策略。
2.双击计算机配置、Windows 设置、安全设置、本地策略，然后是用户权利指派。
3.在使用计算机和用户帐户能够被信任进行委派操作下，添加合适的帐户或组。
4.使用如下某种方法应用策略：∙在提示符下，键入secedit/refreshpolicy machine_policy /enforce。
∙在站点和服务管理单元(Dssite.msc) 中，使用立即复制副本功能，强制在域中执行从更改策略的域控制器到其它域控制器的复制操作。