2007年1月4日测试在额外域控制器上夺取FSMO笔记_自我的风采

 

. 环境说明：

公司Test.com（虚拟）有一台主域控制器imss.test.com(系统为windows2003 server)，还有一台额外域控制器server.test.com(系统为windows 2000 server)。现主域控制器（imss.test.com）由于硬件故障突然损坏，事先又没有imss.test.com的系统状态备份，没办法通过备份修复主域控制器（imss.test.com），我们怎么让额外域控制器（server.test.com）替代主域控制器，使Acitvie Directory继续正常运行.

2.从AD中清除主域控制器imss.test.com对象,操作如下：

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files\support tools
C:\Program Files\Support Tools>ntdsutil
ntdsutil:
ntdsutil: meta cle
metadata cleanup:
metadata cleanup: sel op ta
select operation target:
select operation target: con
server connections:
server connections: con to dom test.com
绑定到 \\server.test.com ...
用本登录的用户的凭证连接 \\server.test.com
server connections:
server connections: quit
select operation target:
select operation target: list sites
找到 1 站点
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
select operation target: sel sit 0
站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
没有当前域
没有当前服务器
当前的命名上下文
select operation target: list dom in sit
找到 1 域
0 - DC=test,DC=com
select operation target: sel dom 0
站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - DC=test,DC=com
没有当前服务器
当前的命名上下文
select operation target: list ser in site
找到 2 服务器
0 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=t
est,DC=com
1 - CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC
=test,DC=com
select operation target: sel ser 0
站点 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - DC=test,DC=com
服务器 - CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration
,DC=test,DC=com
         DSA 对象 - CN=NTDS Settings,CN=IMSS,CN=Servers,CN=Default-First-Site-Nam
e,CN=Sites,CN=Configuration,DC=test,DC=com
         DNS 主机名称 - IMSS.test.com
         计算机对象 - CN=IMSS,OU=Domain Controllers,DC=test,DC=com
当前的命名上下文
select operation target:
select operation target: quit
metadata cleanup:
metadata cleanup: rem sel ser
“CN=IMSS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=tes
t,DC=com”删除了，从服务器“\\server.test.com”
metadata cleanup:
metadata cleanup: quit
ntdsutil: ?
ntdsutil: quit
从 \\server.test.com 断开...
C:\Program Files\Support Tools>
删除之前的信息后，下面我们来进行夺取五个FSMO，方面如下：
Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files\support tools
C:\Program Files\Support Tools>ntdsutil
ntdsutil:
ntdsutil: roles
fsmo maintenance: ?
?                              - 打印这个帮助信息
Connections                    - 连接到一个特定域控制器
Help                           - 打印这个帮助信息
Quit                           - 返回到上一个菜单
Seize domain naming master     - 在已连接的服务器上改写域角色
Seize infrastructure master    - 在已连接的服务器上改写结构角色
Seize PDC                      - 在已连接的服务器上改写 PDC 角色
Seize RID master               - 在已连接的服务器上改写 RID 角色
Seize schema master            - 在已连接的服务器上改写架构角色
Select operation target        - 选择的站点，服务器，域，角色和命名上下文
Transfer domain naming master - 将已连接的服务器定为域命名主机
Transfer infrastructure master - 将已连接的服务器定为结构主机
Transfer PDC                   - 将已连接的服务器定为 PDC
Transfer RID master            - 将已连接的服务器定为 RID 主机
Transfer schema master         - 将已连接的服务器定为架构主机
fsmo maintenance: con
server connections:
server connections: connect to domain test.com
绑定到 \\server.test.com ...
用本登录的用户的凭证连接 \\server.test.com
server connections:
server connections: quit
fsmo maintenance:
fsmo maintenance: seize domain naming master
在索取之前尝试安全传送 domain naming FSMO。
ldap_modify_sW 错误 0x34(52 (没有).
Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。)
)
根据错误编码这可能表示连接
ldap, 或角色传送错误。
domain naming FSMO 的传送失败，用索取继续 ...
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize domain naming master
在索取之前尝试安全传送 domain naming FSMO。
FSMO 传送成功 - 不需要索取。
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize infrastructure master
在索取之前尝试安全传送 infrastructure FSMO。
ldap_modify_sW 错误 0x34(52 (没有).
Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILAB
), data 8
返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。)
)
根据错误编码这可能表示连接
ldap, 或角色传送错误。
infrastructure FSMO 的传送失败，用索取继续 ...
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize infrastructure master
在索取之前尝试安全传送 infrastructure FSMO。
FSMO 传送成功 - 不需要索取。
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize pdc
删除操作
fsmo maintenance: seize pdc
在索取之前尝试安全传送 PDC FSMO。
ldap_modify_sW 错误 0x34(52 (没有).
Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-032103C0, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。)
)
根据错误编码这可能表示连接
ldap, 或角色传送错误。
PDC FSMO 的传送失败，用索取继续 ...
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize pdc
在索取之前尝试安全传送 PDC FSMO。
FSMO 传送成功 - 不需要索取。
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:
fsmo maintenance: seize rid master
在索取之前尝试安全传送 RID FSMO。
ldap_modify_sW 错误 0x34(52 (没有).
Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-0321066E, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。)
)
根据错误编码这可能表示连接
ldap, 或角色传送错误。
RID FSMO 的传送失败，用索取继续 ...
ldap_search 属性 objectGuid 失败，错误为 0x20(32 (无此对象).
Ldap 扩展的错误消息为 0000208D: NameErr: DSID-031001BD, problem 2001 (NO_OBJECT
, data 0, best match of:
         'CN=NTDS Settings\
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25,CN=IMSS,CN=Servers,CN=Default-First-Si
e-Name,CN=Sites,CN=Configuration,DC=test,DC=com'
返回的 Win32 错误为 0x208d(没有找到目录对象。)
无法读取上一个 RID 管理器的 GUID
将服务器 \\server.test.com 与其邻居同步
这个操作要花几分钟 ....失败。
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN="NTDS Settings
DEL:3bd2f630-e9c1-4fa2-8c10-5f87f5ebcf25",CN=IMSS,CN=Servers,CN=Default-First-S
te-Name,CN=Sites,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance:  
fsmo maintenance: seize schema master
在索取之前尝试安全传送 schema FSMO。
ldap_modify_sW 错误 0x34(52 (没有).
Ldap 扩展的错误消息为 000020AF: SvcErr: DSID-03210211, problem 5002 (UNAVAILABL
), data 8
返回的 Win32 错误为 0x20af(请求的 FSMO 操作失败。不能连接当前的 FSMO 盒。)
)
根据错误编码这可能表示连接
ldap, 或角色传送错误。
schema FSMO 的传送失败，用索取继续 ...
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: seize schema master
在索取之前尝试安全传送 schema FSMO。
FSMO 传送成功 - 不需要索取。
服务器 "\\server.test.com" 知道有关 5 作用
架构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
域 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,
N=Configuration,DC=test,DC=com
PDC - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
RID - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites
CN=Configuration,DC=test,DC=com
结构 - CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Site
,CN=Configuration,DC=test,DC=com
fsmo maintenance: quit
ntdsutil: quit
从 \\server.test.com 断开...
C:\Program Files\Support Tools>

在做以上操作时，会出现提示对话框，都点击是即可!使用netdom query fsmo可以看到迁移的结果：如下：
设置额外控制(server.test.com)为ＧＣ（全局编录）
打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC-02.test.com(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-2000 Microsoft Corp.
C:\Documents and Settings\Administrator.TEST>cd \
C:\>cd c:\program files
C:\Program Files>cd support tools
C:\Program Files\Support Tools>netdom query fsmo
Schema owner                 server.test.com
Domain role owner            server.test.com
PDC role                     server.test.com
RID pool manager             server.test.com
Infrastructure owner         server.test.com
The command completed successfully.
C:\Program Files\Support Tools>

然后使用ADSI EDIT工具进行清除相关信息，参考如下：(在support tools包里面)
使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中IMSS服务器对象，打开ADSI EDIT工具，展开Domain NC[server.test.com]，展开OU=Domain controllers，右击CN=imss，然后选择Delete，把imss服务器对象删除;（见下图）

在Active Directory Sites and Service中删除imss服务器对象打开Administrative tools中的Active
Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右imss，选择Delete，单击Yes按钮（见下图）

注：但是有一点不明白，为什么我在夺取角色时，第一次都是不成功，再执行一次就成功了。如果各位网

上朋友们，有知道的，请回复，小弟godoha不胜感激！先谢过！