2007年1月4日測試在額外域控制器上奪取FSMO筆記_自我的風采

 

. 環境說明：

公司Test.com（虛擬）有一臺主域控制器imss.test.com(系統爲windows2003 server)，還有一臺額外域控制器server.test.com(系統爲windows 2000 server)。現主域控制器（imss.test.com）由於硬件故障突然損壞，事先又沒有imss.test.com的系統狀態備份，沒辦法通過備份修復主域控制器（imss.test.com），我們怎麼讓額外域控制器（server.test.com）替代主域控制器，使Acitvie Directory繼續正常運行.

2.從AD中清除主域控制器imss.test.com對象,操作如下：

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版權所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files\support tools
C:\Program Files\Support Tools>ntdsutil
ntdsutil:
ntdsutil: meta cle
metadata cleanup:
metadata cleanup: sel op ta
select operation target:
select operation target: con
server connections:
server connections: con to dom test.com
綁定到 \\server.test.com ...
用本登錄的用戶的憑證連接 \\server.test.com
server connections:
server connections: quit
select operation target:
select operation target: list sites
找到 1 站點
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
select operation target: sel sit 0
站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
沒有當前域
沒有當前服務器
當前的命名上下文
select operation target: list dom in sit
找到 1 域
0 - DC=test,DC=com
select operation target: sel dom 0
站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - DC=test,DC=com
沒有當前服務器
當前的命名上下文
select operation target: list ser in site
找到 2 服務器
0 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=t
est,DC=com
1 - CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC
=test,DC=com
select operation target: sel ser 0
站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - DC=test,DC=com
服務器 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration
,DC=test,DC=com
         DSA 對象 - CN=NTDS Settings,CN=IMSS,CN=Servers,CN=Default-First-Site-Nam
e,CN=Sites,CN=Configuration,DC=test,DC=com
         DNS 主機名稱 - IMSS.test.com
         計算機對象 - CN=IMSS,OU=Domain Controllers,DC=test,DC=com
當前的命名上下文
select operation target:
select operation target: quit
metadata cleanup:
metadata cleanup: rem sel ser
“CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tes
t,DC=com”刪除了，從服務器“\\server.test.com”
metadata cleanup:
metadata cleanup: quit
ntdsutil: ?
ntdsutil: quit
從 \\server.test.com 斷開...
C:\Program Files\Support Tools>
刪除之前的信息後，下面我們來進行奪取五個FSMO，方面如下：
Microsoft Windows 2000 [Version 5.00.2195]
(C) 版權所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files\support tools
C:\Program Files\Support Tools>ntdsutil
ntdsutil:
ntdsutil: roles
fsmo maintenance: ?
?                              - 打印這個幫助信息
Connections                    - 連接到一個特定域控制器
Help                           - 打印這個幫助信息
Quit                           - 返回到上一個菜單
Seize domain naming master     - 在已連接的服務器上改寫域角色
Seize infrastructure master    - 在已連接的服務器上改寫結構角色
Seize PDC                      - 在已連接的服務器上改寫 PDC 角色
Seize RID master               - 在已連接的服務器上改寫 RID 角色
Seize schema master            - 在已連接的服務器上改寫架構角色
Select operation target        - 選擇的站點，服務器，域，角色和命名上下文
Transfer domain naming master - 將已連接的服務器定爲域命名主機
Transfer infrastructure master - 將已連接的服務器定爲結構主機
Transfer PDC                   - 將已連接的服務器定爲 PDC
Transfer RID master            - 將已連接的服務器定爲 RID 主機
Transfer schema master         - 將已連接的服務器定爲架構主機
fsmo maintenance: con
server connections:
server connections: connect to domain test.com
綁定到 \\server.test.com ...
用本登錄的用戶的憑證連接 \\server.test.com
server connections:
server connections: quit
fsmo maintenance:
fsmo maintenance: seize domain naming master
在索取之前嘗試安全傳送 domain naming FSMO。
ldap_modify_sW 錯誤 0x34(52 (沒有).
Ldap 擴展的錯誤消息爲 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 錯誤爲 0x20af(請求的 FSMO 操作失敗。不能連接當前的 FSMO 盒。)
)
根據錯誤編碼這可能表示連接
ldap, 或角色傳送錯誤。
domain naming FSMO 的傳送失敗，用索取繼續 ...
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize domain naming master
在索取之前嘗試安全傳送 domain naming FSMO。
FSMO 傳送成功 - 不需要索取。
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize infrastructure master
在索取之前嘗試安全傳送 infrastructure FSMO。
ldap_modify_sW 錯誤 0x34(52 (沒有).
Ldap 擴展的錯誤消息爲 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILAB
), data 8
返回的 Win32 錯誤爲 0x20af(請求的 FSMO 操作失敗。不能連接當前的 FSMO 盒。)
)
根據錯誤編碼這可能表示連接
ldap, 或角色傳送錯誤。
infrastructure FSMO 的傳送失敗，用索取繼續 ...
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize infrastructure master
在索取之前嘗試安全傳送 infrastructure FSMO。
FSMO 傳送成功 - 不需要索取。
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize pdc
刪除操作
fsmo maintenance: seize pdc
在索取之前嘗試安全傳送 PDC FSMO。
ldap_modify_sW 錯誤 0x34(52 (沒有).
Ldap 擴展的錯誤消息爲 000020AF: SvcErr: DSID-032103C0, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 錯誤爲 0x20af(請求的 FSMO 操作失敗。不能連接當前的 FSMO 盒。)
)
根據錯誤編碼這可能表示連接
ldap, 或角色傳送錯誤。
PDC FSMO 的傳送失敗，用索取繼續 ...
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize pdc
在索取之前嘗試安全傳送 PDC FSMO。
FSMO 傳送成功 - 不需要索取。
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize rid master
在索取之前嘗試安全傳送 RID FSMO。
ldap_modify_sW 錯誤 0x34(52 (沒有).
Ldap 擴展的錯誤消息爲 000020AF: SvcErr: DSID-0321066E, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 錯誤爲 0x20af(請求的 FSMO 操作失敗。不能連接當前的 FSMO 盒。)
)
根據錯誤編碼這可能表示連接
ldap, 或角色傳送錯誤。
RID FSMO 的傳送失敗，用索取繼續 ...
ldap_search 屬性 objectGuid 失敗，錯誤爲 0x20(32 (無此對象).
Ldap 擴展的錯誤消息爲 0000208D: NameErr: DSID-031001BD, problem 2001 (NO_OBJECT
, data 0, best match of:
         'CN=NTDS Settings\
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25,CN=IMSS,CN=Servers,CN=Default-First-Si
e-Name,CN=Sites,CN=Configuration,DC=test,DC=com'
返回的 Win32 錯誤爲 0x208d(沒有找到目錄對象。)
無法讀取上一個 RID 管理器的 GUID
將服務器 \\server.test.com 與其鄰居同步
這個操作要花幾分鐘 ....失敗。
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:  
fsmo maintenance: seize schema master
在索取之前嘗試安全傳送 schema FSMO。
ldap_modify_sW 錯誤 0x34(52 (沒有).
Ldap 擴展的錯誤消息爲 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 錯誤爲 0x20af(請求的 FSMO 操作失敗。不能連接當前的 FSMO 盒。)
)
根據錯誤編碼這可能表示連接
ldap, 或角色傳送錯誤。
schema FSMO 的傳送失敗，用索取繼續 ...
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize schema master
在索取之前嘗試安全傳送 schema FSMO。
FSMO 傳送成功 - 不需要索取。
服務器 "\\server.test.com" 知道有關 5 作用
架構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
結構 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: quit
ntdsutil: quit
從 \\server.test.com 斷開...
C:\Program Files\Support Tools>

在做以上操作時，會出現提示對話框，都點擊是即可!使用netdom query fsmo可以看到遷移的結果：如下：
設置額外控制(server.test.com)爲ＧＣ（全局編錄）
打開Administrative Tools中的Active Directory Sites and Services，展開Sites，展開Default-First-Site-Name，展開Servers，展開DC-02.test.com(額外控制器)，右擊NTDS Settings選擇Properties，然後在"Global Catalog"前面打勾，單擊"確定"按鈕，然後重新啓動服務器

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版權所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files
C:\Program Files>cd support tools
C:\Program Files\Support Tools>netdom query fsmo
Schema owner                 server.test.com
Domain role owner            server.test.com
PDC role                     server.test.com
RID pool manager             server.test.com
Infrastructure owner         server.test.com
The command completed successfully.
C:\Program Files\Support Tools>

然後使用ADSI EDIT工具進行清除相關信息，參考如下：(在support tools包裏面)
使用ADSI EDIT工具刪除Active Directory users and computers中的Domain controllers中IMSS服務器對象，打開ADSI EDIT工具，展開Domain NC[server.test.com]，展開OU=Domain controllers，右擊CN=imss，然後選擇Delete，把imss服務器對象刪除;（見下圖）

在Active Directory Sites and Service中刪除imss服務器對象打開Administrative tools中的Active
Directory Sites and Service，展開Sites，展開Default-First-Site-Name，展開Servers，右imss，選擇Delete，單擊Yes按鈕（見下圖）

注：但是有一點不明白，爲什麼我在奪取角色時，第一次都是不成功，再執行一次就成功了。如果各位網

上朋友們，有知道的，請回復，小弟godoha不勝感激！先謝過！