ntdsutil.exe使用詳解

1． 用ntdsutil來清除無效的DC信息！

假如你的備份域爲abc.mstc.com 主域爲ctu.mstc.com,現在備份域壞了。那麼你在裝有super tools的主控域上執行如下命令：

C:\>ntdsutil

ntdsutil: metadata cleanup - 清理不使用的服務器的對象

metadata cleanup: select operation target - 選擇的站點，服務器，域，角色和命名上下文

select operation target: connections - 連接到一個特定域控制器

server connections: connect to server ctu.mstc.com --綁定到 ctu.

用本登錄的用戶的憑證連接 ctu。

server connections: quit - 返回上一層目錄

select operation target: list site - 在企業中列出站點(找到1個站點，標識爲0)

找到 1 站點

0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com

select operation target: select site 0 - 將標識爲 0 的站點定爲所選站點

站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=mstc,DC=com

沒有當前域

沒有當前服務器

當前的命名上下文

select operation target: list domains - 列出所有包含交叉引用的域

找到 1 域

0 - DC= mstc,DC=com

select operation target: select domain 0 - 將標識爲 0 的域定爲所選域

站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com

域 - DC= mstc,DC=com

沒有當前服務器

當前的命名上下文

select operation target: list servers for domain in site - 列出所選域和站點中的服務器(找到兩個：0-abc.mstc.com；1-ctu. mstc.com)

找到 2 服務器

0 - CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com

1 - CN=ADDDC,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com

select operation target: select server 0 - 將標識爲 0 的服務器（abc）定爲所選服務器——也就是要刪除的DC

站點 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=acme,DC=com

域 - DC= mstc,DC=com

服務器 - CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com

DSA 對象 - CN=NTDS Settings,CN=ADDEMO,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configur

DNS 主機名稱 - abc.mstc.com

計算機對象 - CN=ABC,OU=Domain Controllers,DC=mstc,DC=com

當前的命名上下文

select operation target: quit - 返回上一層目錄

metadata cleanup: remove select server - 從所選服務器上刪除 DS 對象

在彈出的對話提示框上選擇“是”，

“CN=abc,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC= mstc,DC=com”刪除了，從服務器“ctu”

現在，abc.mstc.com這個Dc對象就在你的AD裏消失了.
2．用ntdsutil來轉移fsmo五種角色。

當您運行Dcpromo.exe 程序並安裝 AD 時，將向目錄林中的第一個域控制器授予五個 FSMO 角色。其中有兩個 FSMO 角色是目錄林範圍的，另外三個是域範圍的。如果創建了子域，兩個目錄林範圍的角色將不會更改。一個具有兩個域的目錄林將有八個 FSMO；其中兩個是目錄林範圍的角色，每個域各有三個特定於域的 FSMO 角色。這五個角色是schema master-架構主機，Domain naming master-域命名主機，Rid master-rid主機，pdc master-pdc防真器，Infrastructure Master-結構主機。想要把這幾種角色移動到另一臺計算機上有2種方法，一種是轉移，但必須2臺計算機處於正常運行狀態。如果有其中某臺處於離線狀態 只能用第二種方法，使用ntdsutil工具來強制獲取這些角色。現在如果你的主控壞了這些角色也都在主控上，請在裝有support tools工具新的域控或備份域控上執行如下命令：首先在CMD下運行
netdom query /d:域名 fsmo
查看一下當前哪些角色在哪臺服務器上，
然後在CMD下運行　
"ntdsutil"如果不知道命令怎麼寫，可以輸入？得到幫助提示，
"roles"　
"connections"　
"connect to server 服務器名"　綁定一臺當前在線的DC
當連接成功後輸入 q　退出
回到上一層（roles）準備做角色遷移
"Seize schema master"
"Seize domain naming master"
"Seize RID master"
"Seize PDC"
"Seize infrastructure master"
以上五個命令，分別用作遷移上面所提到的5個角色到我們之前綁定的服務器上。
完成後再次回到CMD下執行"netdom query /d:域名 fsmo"，檢查角色是否已被遷移

在“常規”選項卡上，找到全局編錄複選框以查看其是否選中。如果正常就說明角色轉換已成功。

3．微軟提供了NTDSUtil這個工具可以對AD數據文件進行下線碎片整理操作. 由於微軟已經提供了這整個操作過程的說明,所以在這裏我只稍微重複一下,再加上一些額外的說明以避免大家犯一些不必要的災難性錯誤, 因爲這是一個很關鍵的操作,一旦出錯將是災難性的.

1. 用必要的備份軟件備份你即將要操作的每一架DC,如果沒有專業的備份軟件用NTBackup也可以.

2. 重啓DC按F8鍵進入目錄服務恢復模式以進行對AD的操作.

3. 如果硬盤還有足夠的空間那麼請再次備份當前的ntds.dit文件,把它拷貝到一個臨時文件夾內作爲備份直到所有的整理工作成功完成.記住,不要重新命名文件,否則整個壓縮過程不可能完成.

4. 在命令行下鍵入以下的命令:

a) Ntdsutil

b) Files

c) Info (記下當前ntds.dit的路徑.)

d) 鍵入 compact to "c:\compact" 以把經過壓縮處理的ntds.dit文件放置到這個文件夾中保存, 如果這個文件不存在,Ntdsutil 會自動建立一個(這個文件夾可以是任意名字).

5. 如果要退出Ntdsutil的界面,請連續兩次鍵入下面的命令:

a) quit

b) quit

6. 用在c:\compact文件夾下已經經過壓縮後的ntds.dit覆蓋當前的ntds.dit.

7. 刪除在AD數據庫文件文件夾下的所有.log文件.

8. 重新正常啓動DC.

9. 再次備份整理後的DC,如果一切正常,你就可以把剛纔複製備份的ntds.dit刪除了.

4. 查找和清理（或刪除）重複的安全標識符 (SID)

如何檢查是否有重複的 SID

1. 在 Ntdsutil 命令提示符下，鍵入 security account management，然後按 ENTER 鍵。

2. 在 Security Account Maintenance 命令提示符下，鍵入 connect to server 服務器的 DNS 名稱，然後按 ENTER 鍵。連接到存儲着您的 SAM 數據庫的服務器。

3. 在 Security Account Maintenance 命令提示符下，鍵入 check duplicate sid，然後按 ENTER 鍵。將顯示重複的 SID。

如何清理重複的 SID

1. 在 Ntdsutil 命令提示符下，鍵入 security account management，然後按 ENTER 鍵。

2. 在 Security Account Maintenance 命令提示符下，鍵入 connect to server 服務器的 DNS 名稱，然後按 ENTER 鍵。連接到存儲着您的 SAM 數據庫的服務器。

3. 在 Security Account Maintenance 命令提示符下，鍵入 cleanup duplicate sid，然後按 ENTER 鍵。Ntdsutil 將確認刪除重複的 SID。

4. 在 Security Account Maintenance 命令提示符下，鍵入 q，然後按 ENTER 鍵。

5. 完成 Ntdsutil 下的操作後，鍵入 q，然後按 ENTER 鍵。

5. 使用 Ntdsutil 實用工具將 IP 地址添加到 IP 拒絕列表.

如何向拒絕列表添加 IP 地址

1. 在 Ntdsutil 命令提示符下，鍵入 IPDeny List，然後按 ENTER 鍵。

2. 在 IP Deny List 命令提示符下，鍵入 connections，然後按 ENTER 鍵。

3. 在 server connections 命令提示符下，鍵入 connect to server 服務器的 dns 名稱，然後按 ENTER 鍵。

備註：請連接到您正在使用的服務器。

4. 在 Server connections 命令提示符下，鍵入 q，然後按 ENTER 鍵返回到先前的菜單。

5. 在 IP Deny List 命令提示符下，鍵入 add IP 地址掩碼，然後按 ENTER 鍵。

如果您正在單節點環境中工作，可將“node”用作掩碼變量。

6. 在 IP Deny List 命令提示符下，鍵入 commit，然後按 ENTER 鍵提交所作的更改。

如何驗證添加的項

1. 在 IP Deny List 命令提示符下，鍵入 Show，然後按 ENTER 鍵。

將顯示所有被拒絕的 IP 地址的列表。

2. 在 IP Deny List 命令提示符下，鍵入 q，然後按 ENTER 鍵。

3. 在 Ntdsutil 命令提示符下，鍵入 q，然後按 ENTER 鍵退出 Ntdsutil。

6. 重設DSRM密碼

1. “開始” - “運行” - “CMD”

2. ntdsutil

3. 在“ntdsutil:”提示符下輸入“set DSRM Password”

4. 在“重置DSRM管理員密碼：”提示符下輸入“Reset Password on server <servername>”，其中<servername>是想修改DSRM管理員密碼的服務器名。

5. 在“請鍵入DS還原模式管理員賬戶的密碼：”提示符下輸入新的密碼。

6. 確認新的密碼。

7. 設置密碼成功，工具回到“重置DSRM管理員密碼：”提示符。

8. 輸入“quit”返回到ntdsutil命令提示符。
9. 如果不需要執行其他ntdsutil操作，再次輸入“quit”退出ntdsutil工具。