Windows2003域環(huán)境中五大主機(jī)角色
Windows2003域環(huán)境中五大主機(jī)角色Windows2003 AD域中，F(xiàn)SMO 有五種角色, 分成兩大類:森林級(jí)別(在整個(gè)林中只能有一臺(tái)DC 擁有訪問(wèn)主機(jī)角色)1：架構(gòu)主機(jī) (Schema Ma
Windows2003域環(huán)境中五大主機(jī)角色
Windows2003 AD域中，F(xiàn)SMO 有五種角色, 分成兩大類:
森林級(jí)別(在整個(gè)林中只能有一臺(tái)DC 擁有訪問(wèn)主機(jī)角色)
1：架構(gòu)主機(jī) (Schema Master)
2：域命令主機(jī) (Domain Naming Master)
域級(jí)別(在域中只有一臺(tái)DC 擁有該角色)
3：PDC 模擬器(PDC Emulator)
4：RID 主機(jī) (RID Master)
5：基礎(chǔ)架構(gòu)主機(jī) (Infrastructure Master)
1：架構(gòu)主機(jī)
控制活動(dòng)目錄整個(gè)林中所有對(duì)象和屬性的定義，具有架構(gòu)主機(jī)角色的DC 是可以更新目錄架構(gòu)的唯一 DC。這些架構(gòu)更新會(huì)從架構(gòu)主機(jī)復(fù)制到目錄林中的所有其它域控制器中。 架構(gòu)主機(jī)是基于目錄林的，整個(gè)目錄林中只有一個(gè)架構(gòu)主機(jī)。 2：域命令主機(jī)
向目錄林中添加新域。
從目錄林中刪除現(xiàn)有的域。
添加或刪除描述外部目錄的交叉引用對(duì)象.
3：PDC 模擬器
兼容低級(jí)客戶端和服務(wù)器，擔(dān)任NT 系統(tǒng)中PDC 角色
時(shí)間同步服務(wù)源，作為本域權(quán)威時(shí)間服務(wù)器，為本域中其它DC 以及客戶機(jī)提供時(shí)間同步服務(wù)，林中根域的PDC 模擬器又為其它域PDC 模擬器提供時(shí)間同步!
密碼最終驗(yàn)證服務(wù)器，當(dāng)一用戶在本地DC 登錄，而本地DC 驗(yàn)證本地用戶輸入密碼無(wú)效時(shí)，本地DC 會(huì)查詢PDC 模擬器，詢問(wèn)密碼是否正確。
首選的組策略存放位置，組策略對(duì)象(GPO)由兩部分構(gòu)成：GPT 和GPC ，其中GPC 存放在AD 數(shù)據(jù)庫(kù)中，GPT 默認(rèn)存放PDC 模擬器在windowssysvolsysvol
4：主機(jī)角色：RID 主機(jī)
Win2003環(huán)境中，所有的安全主體都有SID ，SID 由域SID 序列號(hào)組合而成，后者稱為“相對(duì)ID”(Relative ID,RID),在Win2003環(huán)境中，由于任何DC 都可以創(chuàng)建安全主體，為保證整個(gè)域中每個(gè)DC 所創(chuàng)建的安全主體對(duì)應(yīng)的SID 在整個(gè)域范圍唯一性，設(shè)立該主機(jī)角色，負(fù)責(zé)向其它DC 分配RID 池(默認(rèn)一次性分配500個(gè)) ，所有非RID 主機(jī)在創(chuàng)建安全實(shí)體時(shí)，都從分配給的RID 池中分配RID ，以保證SID 不會(huì)發(fā)生沖突! 當(dāng)非RID 主機(jī)中分配的RID 池使用到80時(shí)，會(huì)繼續(xù)RID 主機(jī)，申請(qǐng)分配下一個(gè)RID 地址池!
5：基礎(chǔ)架構(gòu)主機(jī)
基礎(chǔ)結(jié)構(gòu)主機(jī)的作用是負(fù)責(zé)對(duì)跨域?qū)ο笠眠M(jìn)行更新，以確保所有域間操作對(duì)象的一致性。
基礎(chǔ)架構(gòu)主機(jī)工作機(jī)制是定期會(huì)對(duì)沒(méi)有保存在本機(jī)的引用對(duì)象信息，而對(duì)于GC 來(lái)說(shuō)，會(huì)保存當(dāng)前林中所有對(duì)象信息。如果基礎(chǔ)架構(gòu)主機(jī)與GC 在同一臺(tái)機(jī)，基礎(chǔ)架構(gòu)主機(jī)就不會(huì)更新到任何對(duì)象。所以在多域情況下，強(qiáng)烈建議不要將基礎(chǔ)架構(gòu)主機(jī)設(shè)為GC 。
標(biāo)準(zhǔn)圖形界面查看和更改操作主機(jī)角色的方法
1：查看和更改架構(gòu)主機(jī)角色：
步驟：注冊(cè)：regsvr32 schmmgmt 在MMC 中添加AD 架構(gòu)管理單元打開(kāi)MMC 控制臺(tái)，
選中“Active Directory 架構(gòu)”擊“右鍵”，選擇“操作主機(jī)”
,打開(kāi)更改架構(gòu)頁(yè)面后, 點(diǎn)擊" 更改" 就可以進(jìn)行架構(gòu)主機(jī)角色的更改
2. 查看和更改PDC 模擬器,RID 主機(jī)以及基礎(chǔ)結(jié)構(gòu)主機(jī)
步驟：開(kāi)始-運(yùn)行-dsa.msc-Active Directory用戶和計(jì)算機(jī) 選定當(dāng)前域名，右鍵單擊，選擇“操作主機(jī)”
在打開(kāi)的頁(yè)面中，通過(guò)點(diǎn)擊“更改”按鈕就可以對(duì)RID 主機(jī)，PDC 模擬器以及基礎(chǔ)結(jié)構(gòu)主機(jī)角色進(jìn)行更改
3. 查看和更改域命名主機(jī)角色
步驟：點(diǎn)擊“開(kāi)始--管理工具-Active Directory域和信任關(guān)系”: 選中“Active Directory域和信任關(guān)系”，右鍵單擊，選擇“操作主機(jī)”
在打開(kāi)的窗口中，點(diǎn)擊“更改”按鈕就可以實(shí)現(xiàn)對(duì)域命名主機(jī)角色進(jìn)行更改
使用命令行工具查看和更改操作主機(jī)角色
以Windows2003 Support Tools工具中的netdom 為例，來(lái)查看五大操作主機(jī)
從windows2003的系統(tǒng)盤中提取netdom （X ：supporttoolssupport.cab），放在C ：/下 使用Netdom 工具查看操作主機(jī)角色 Netdom Query FSMO
2：使用Ntdsutil 工具更改操作主機(jī)角色
Ntdsutil 工具的功能非常強(qiáng)大
可以進(jìn)行AD 數(shù)據(jù)庫(kù)維護(hù)，查看和更換操作主機(jī)角色以及刪除無(wú)法通過(guò)圖形界面刪除的DC 遺留的元數(shù)據(jù)。通過(guò)Ntdsutil
工具不但可以清理無(wú)效的DC 信息，也可以使用Transfer 子命令轉(zhuǎn)移操作主機(jī)角色，使用Seize 子命令?yuàn)Z取操作主機(jī)角色。 ransfer 子命令轉(zhuǎn)移操作主機(jī)角色
C:> ntdsutil
Ntdsutil:roles
Fsmo maintenance:connections
Server connections:connect to server dc2.resting.org
Server connections:quit
Server connections:help
Server connections:transfer PDC
在彈出的對(duì)話框中，單擊“是”，即可完成PDC 主機(jī)的轉(zhuǎn)移。
使用Seize 子命令?yuàn)Z取操作主機(jī)角色
DC 掛掉后，在dc2上做占用操作主機(jī)，模擬dc2無(wú)法ping 通DC （禁用DC 網(wǎng)卡）。以RID 主機(jī)為例： 查看和更改PDC 模擬器,RID 主機(jī)以及基礎(chǔ)結(jié)構(gòu)主機(jī)
步驟：開(kāi)始-運(yùn)行-dsa.msc-Active Directory用戶和計(jì)算機(jī) 選定當(dāng)前域名，右鍵單擊，選擇“操作主機(jī)”
在打開(kāi)的頁(yè)面中，可以看到操作主機(jī)不可用，也就是說(shuō)不能通過(guò)點(diǎn)擊“更改”按鈕就來(lái)對(duì)RID 模擬器主機(jī)角色進(jìn)行更改
C:> ntdsutil
Ntdsutil:roles
Fsmo maintenance:connections
Server connections:connect to server dc2.resting.org
Server connections:quit
Server connections:help
Server connections:Seize RID master
在彈出的對(duì)話框中，單擊“是”，即可完成RID 主機(jī)的占用。
可以通過(guò)開(kāi)始-運(yùn)行-dsa.msc-Active Directory用戶和計(jì)算機(jī) 選定當(dāng)前域名，右鍵單擊，選擇“操作主機(jī)”來(lái)進(jìn)行查看
操作主機(jī)角色放置優(yōu)化配置建議
默認(rèn)情況下，架構(gòu)主機(jī)和域命名主機(jī)角色是在根域的第一臺(tái)DC 上，而PDC 模擬器，RID 主機(jī)和基礎(chǔ)結(jié)構(gòu)主機(jī)默認(rèn)放置在當(dāng)前域的第一臺(tái)DC 上。特別是在單域環(huán)境中，按默認(rèn)安裝，第一臺(tái)DC 會(huì)同時(shí)擁有這五種FSMO 操作主機(jī)角色。萬(wàn)一這臺(tái)DC 損壞，會(huì)對(duì)域環(huán)境造成極大風(fēng)險(xiǎn)!
常見(jiàn)的操作主機(jī)角色放置建議如下：
1：架構(gòu)主機(jī)：擁有架構(gòu)主機(jī)角色的DC 不需要高性能，因?yàn)樵趯?shí)際環(huán)境中不會(huì)經(jīng)常對(duì)Schema 進(jìn)行操作的。
2：域命名主機(jī)：對(duì)占有域命名主機(jī)的DC 也不需要高性能，在實(shí)際環(huán)境中也不會(huì)經(jīng)常在森林里添加或者刪除域的。 建議：由同一臺(tái)DC 承擔(dān)架構(gòu)主機(jī)與域域命名主機(jī)角色，并由GC 放置在同一臺(tái)DC 中。
3：PDC 模擬器：從上述PDC 功能中可以看出，PDC 模擬器是FSMO 五種角色里任務(wù)最重的，必須保持擁有PDC 的DC 有高性能和高可用性。
4：RID 主機(jī)：對(duì)于占有RID Master的域控制器，沒(méi)有必要一定要求高性能，因?yàn)榻o其它DC 分配RID 池的操作不是經(jīng)常性發(fā)生，但要求高可用性，否則在添加用戶時(shí)出錯(cuò)。
5：基礎(chǔ)架構(gòu)主機(jī)：對(duì)于單域環(huán)境，基礎(chǔ)架構(gòu)主機(jī)實(shí)際上不起作用，因?yàn)榛A(chǔ)架構(gòu)主機(jī)主要作用是對(duì)跨域?qū)ο笠眠M(jìn)行更新，對(duì)于單域，不存在跨域?qū)ο蟮母?。基礎(chǔ)架構(gòu)主機(jī)對(duì)性能和可用性方面的要求較低。
建議：將PDC 模擬器，RID 主機(jī)以及基礎(chǔ)結(jié)構(gòu)主機(jī)放置在一臺(tái)性能較好的DC 中，且盡量不要配置成GC 。
