Transferowanie lub przejmowanie ról FSMO na kontroler domeny za pomocą narzędzia Ntdsutil.exe

Tłumaczenia artykułów Tłumaczenia artykułów
Numer ID artykułu: 255504 - Zobacz jakich produktów dotyczą zawarte w tym artykule porady.
Rozwiń wszystko | Zwiń wszystko

Na tej stronie

Streszczenie

W tym artykule opisano, jak używać narzędzia Ntdsutil.exe w celu transferowania lub przejmowania ról elastycznych operacji wzorca jednokrotnego (FSMO, Flexible Single Master Operations).

Więcej informacji

Pewne operacje obejmujące domenę oraz całe przedsiębiorstwo, których nie można wykonywać w ramach aktualizacji z użyciem wielu wzorców, są wykonywane przez jeden kontroler domeny w domenie lub lesie usługi Active Directory. Kontrolery domeny, które zostały wyznaczone do wykonywania tych unikatowych operacji, są nazywane wzorcami operacji lub posiadaczami ról FSMO.

Na poniższej liście opisano 5 unikatowych ról FSMO w lesie usługi Active Directory oraz odpowiednie operacje wykonywane przez te role:
  • Wzorzec schematu — Wzorzec schematu to rola obejmująca cały las. W każdym lesie występuje tylko jedna taka rola. Rola ta jest wymagana do rozszerzania schematu lasu usługi Active Directory i do uruchamiania polecenia adprep /domainprep.
  • Wzorzec nazw domen — Wzorzec nazw domen to rola obejmująca cały las. W każdym lesie występuje tylko jedna taka rola. Służy ona do dodawania domen lub partycji aplikacji do lasu oraz do usuwania ich z lasu.
  • Wzorzec RID — Wzorzec RID to rola obejmująca całą domenę. W każdej domenie występuje tylko jedna taka rola. Służy ona do przydzielania puli RID, dzięki czemu nowe lub istniejące kontrolery domeny mogą tworzyć konta użytkowników, konta komputerów i grupy zabezpieczeń.
  • Emulator kontrolera PDC — Emulator kontrolera PDC to rola obejmująca całą domenę. W każdej domenie występuje tylko jedna taka rola. Jest ona potrzebna na kontrolerach domeny, które wysyłają aktualizacje baz danych na zapasowe kontrolery domeny systemu Windows NT. Kontroler domeny mający tę rolę podlega także działaniu pewnych narzędzi administracyjnych, a hasła kont komputerów i kont użytkowników przechowywanych na tym komputerze są odpowiednio aktualizowane.
  • Wzorzec infrastruktury — Wzorzec infrastruktury to rola obejmująca całą domenę. W każdej domenie występuje tylko jedna taka rola. Rola ta jest wymagana, aby na kontrolerach domeny można było pomyślnie uruchamiać polecenie adprep /forestprep oraz aktualizować atrybuty SID i atrybuty nazwy wyróżniającej obiektów, do których istnieją odwołania między domenami.
Kreator instalacji usługi Active Directory (Dcpromo.exe) przypisuje wszystkie pięć ról FSMO pierwszemu kontrolerowi domeny w domenie głównej lasu. Do pierwszego kontrolera domeny w każdej nowej domenie podrzędnej lub domenie w drzewie przypisywane są trzy role obejmujące całą domenę. Kontrolery domeny mają role FSMO do czasu zmiany przypisania tych ról przy użyciu jednej z następujących metod:
  • Administrator zmienia przypisanie roli za pomocą narzędzia administracyjnego z graficznym interfejsem użytkownika.
  • Administrator zmienia przypisanie roli za pomocą polecenia ntdsutil /roles.
  • Administrator łagodnie obniża kontroler domeny mający daną rolę za pomocą Kreatora instalacji usługi Active Directory. Kreator ten umożliwia ponowne przypisanie lokalnie przechowywanych ról do istniejącego kontrolera domeny w lesie. Obniżenia wykonuje się za pomocą polecenia dcpromo /forceremoval, które powoduje, że role FSMO mają nieprawidłowy stan do czasu ponownego ich przypisania przez administratora.
Zaleca się, aby transferowanie ról FSMO odbywało się według następujących scenariuszy:
  • Aktualny posiadacz roli działa, a nowy posiadacz wzorca FSMO może uzyskać do niego dostęp przez sieć.
  • Administrator łagodnie obniża kontroler domeny mający aktualnie role FSMO, które mają zostać przypisane do określonego kontrolera domeny w lesie usługi Active Directory.
  • Kontroler domeny, który aktualnie ma role FSMO, jest wyłączany w celu przeprowadzenia zaplanowanej konserwacji, a określone role FSMO należy przypisać do aktywnego kontrolera domeny. Może być konieczne wykonanie operacji obejmujących łączenie się z posiadaczem ról FSMO. Dotyczy to w największym stopniu roli Emulator kontrolera PDC, a w mniejszym stopniu ról Wzorzec RID, Wzorzec nazw domen i Wzorzec schematu.
Zaleca się, aby przejmowanie ról FSMO odbywało się według następujących scenariuszy:
  • Aktualny posiadacz roli napotyka błąd operacyjny, który uniemożliwia pomyślne ukończenie operacji zależnych od wzorca FSMO oraz transfer ról.
  • Kontroler domeny będący posiadaczem wzorca FSMO jest obniżany przez wymuszenie za pomocą polecenia dcpromo /forceremoval.
  • System operacyjny na komputerze, który pierwotnie miał przypisaną określoną rolę, już nie istnieje lub został ponownie zainstalowany.
W chwili wystąpienia replikacji kontrolery domeny, które nie są posiadaczami ról FSMO, znajdujące się w domenie lub lesie, uzyskują pełne informacje o zmianach wprowadzonych przez kontrolery domeny będące posiadaczami ról FSMO. Jeśli konieczne jest przetransferowanie roli, najlepiej będzie ją przetransferować na kontroler znajdujący się w domenie, do której ostatnio lub niedawno dokonano replikacji przeznaczonej do zapisu i odczytu „partycji FSMO” z istniejącego posiadacza roli. Na przykład, posiadacz roli Wzorzec schematu ma ścieżkę nazwy wyróżniającej CN=schema,CN=configuration,dc=<domena główna lasu>, a to oznacza, że role rezydują i są replikowane jako część partycji CN=schema. Jeśli wystąpi błąd sprzętowy lub programowy kontrolera domeny, który ma rolę Wzorzec schematu, dobrym kandydatem na posiadacza roli będzie kontroler domeny znajdujący się w domenie głównej oraz w tej samej lokacji usługi Active Directory co bieżący właściciel. Kontrolery domeny w tej samej lokacji usługi Active Directory wykonują replikacje przychodzące co 5 minut lub 15 sekund.

Na poniższej liście przedstawiono partycje wszystkich ról FSMO:

Zwiń tę tabelęRozwiń tę tabelę
Rola FSMOPartycja
SchematCN=Schema,CN=configuration,DC=<domena główna lasu>
Wzorzec nazw domenCN=configuration,DC=<domena główna lasu>
Kontroler PDCDC=<domena>
RIDDC=<domena>
InfrastrukturaDC=<domena>


Kontroler domeny, którego role FSMO zostały przejęte, nie powinien mieć możliwości komunikowania się z istniejącymi kontrolerami domeny w lesie. W tym scenariuszu należy sformatować dysk twardy i ponownie zainstalować system operacyjny na takich kontrolerach domeny lub wymusić obniżenie tych kontrolerów domeny w sieci prywatnej, a następnie usunąć ich metadane z kontrolera domeny, który pozostał w lesie, używając polecenia ntdsutil /metadata cleanup. Ryzyko wprowadzenia do lasu poprzedniego posiadacza roli FSMO, która została przejęta, polega na tym, że oryginalny posiadacz roli może kontynuować swoje poprzednie działanie do czasu wykonania replikacji przychodzącej zawierającej informację o przejęciu roli. Znane zagrożenia powodowane tym, że dwa kontrolery domeny są właścicielami tych samych ról FSMO, to m.in. tworzenie podmiotów zabezpieczeń mających nakładające się pule RID i inne problemy.

Transferowanie ról FSMO

Aby przetransferować role FSMO za pomocą narzędzia Ntdsutil, wykonaj następujące czynności:
  1. Zaloguj się na komputerze należącym do domeny, na którym jest zainstalowany system Windows 2000 Server lub Windows Server 2003, lub kontrolerze domeny znajdującym się w lesie, w którym mają być transferowane role FSMO. Zaleca się zalogowanie na kontrolerze domeny, do którego zostaną przypisane role FSMO. Zalogowany użytkownik powinien należeć do grupy Administratorzy przedsiębiorstwa, aby mógł przeprowadzić transfer ról Wzorzec schematu i Wzorzec nazw domen, albo do grupy Administratorzy domeny w domenie, w której są transferowane role Emulator kontrolera PDC, Wzorzec RID i Wzorzec infrastruktury.
  2. Kliknij przycisk Start, kliknij polecenie Uruchom, w polu Otwórz wpisz polecenie ntdsutil, a następnie kliknij przycisk OK.
  3. Wpisz polecenie roles, a następnie naciśnij klawisz ENTER.

    Uwaga Aby wyświetlić listę dostępnych poleceń w dowolnym wierszu polecenia narzędzia Ntdsutil, wpisz znak ?, a następnie naciśnij klawisz ENTER.
  4. Wpisz polecenie connections, a następnie naciśnij klawisz ENTER.
  5. Wpisz polecenie connect to server nazwa_serwera, a następnie naciśnij klawisz ENTER. Zmienna nazwa_serwera to nazwa kontrolera domeny, do którego ma zostać przypisana rola FSMO.
  6. W wierszu polecenia server connections wpisz polecenie q, a następnie naciśnij klawisz ENTER.
  7. Wpisz polecenie transfer rola, gdzie rola jest rolą, która ma zostać przetransferowana. Aby wyświetlić listę ról, które można przetransferować, wpisz znak ? w wierszu polecenia fsmo maintenance, a następnie naciśnij klawisz ENTER; możesz również skorzystać z listy ról na początku tego artykułu. Na przykład, aby przetransferować rolę Wzorzec RID, wpisz polecenie transfer rid master. Jedynym wyjątkiem jest rola Emulator kontrolera PDC. W tym przypadku należy wpisać polecenie transfer pdc, a nie transfer pdc emulator.
  8. W wierszu polecenia fsmo maintenance wpisz polecenie q, a następnie naciśnij klawisz ENTER, aby uzyskać dostęp do wiersza polecenia ntdsutil. Wpisz polecenie q, a następnie naciśnij klawisz ENTER, aby zamknąć narzędzie Ntdsutil.

Przejmowanie ról FSMO

Aby przejąć role FSMO za pomocą narzędzia Ntdsutil, wykonaj następujące czynności:
  1. Zaloguj się na komputerze należącym do domeny, na którym jest zainstalowany system Windows 2000 Server lub Windows Server 2003, lub kontrolerze domeny znajdującym się w lesie, w którym mają być przejmowane role FSMO. Zaleca się zalogowanie na kontrolerze domeny, do którego zostaną przypisane role FSMO. Zalogowany użytkownik powinien należeć do grupy Administratorzy przedsiębiorstwa, aby mógł przeprowadzić transfer ról Wzorzec schematu i Wzorzec nazw domen, albo do grupy Administratorzy domeny w domenie, w której są transferowane role Emulator kontrolera PDC, Wzorzec RID i Wzorzec infrastruktury.
  2. Kliknij przycisk Start, kliknij polecenie Uruchom, w polu Otwórz wpisz polecenie ntdsutil, a następnie kliknij przycisk OK.
  3. Wpisz polecenie roles, a następnie naciśnij klawisz ENTER.
  4. Wpisz polecenie connections, a następnie naciśnij klawisz ENTER.
  5. Wpisz polecenie connect to server nazwa_serwera, a następnie naciśnij klawisz ENTER. Zmienna nazwa_serwera to nazwa kontrolera domeny, do którego ma zostać przypisana rola FSMO.
  6. W wierszu polecenia server connections wpisz polecenie q, a następnie naciśnij klawisz ENTER.
  7. Wpisz polecenie seize rola, gdzie rola jest rolą, która ma zostać przejęta. Aby wyświetlić listę ról, które można przejąć, wpisz znak ? w wierszu polecenia fsmo maintenance, a następnie naciśnij klawisz ENTER; możesz również skorzystać z listy ról na początku tego artykułu. Na przykład, aby przejąć rolę Wzorzec RID, wpisz polecenie seize rid master. Jedynym wyjątkiem jest rola Emulator kontrolera PDC. W tym przypadku należy wpisać polecenie seize pdc, a nie seize pdc emulator.
  8. W wierszu polecenia fsmo maintenance wpisz polecenie q, a następnie naciśnij klawisz ENTER, aby uzyskać dostęp do wiersza polecenia ntdsutil. Wpisz polecenie q, a następnie naciśnij klawisz ENTER, aby zamknąć narzędzie Ntdsutil.

    Uwagi
    • W typowych warunkach wszystkie pięć ról należy przypisać do aktywnych kontrolerów domeny w lesie. Jeśli kontroler domeny będący posiadaczem roli FSMO stanie się nieaktywny przed przetransferowaniem jego roli, należy przejąć wszystkie role na odpowiednim i działającym kontrolerze domeny. Firma Microsoft zaleca, aby wszystkie role przejmować tylko wtedy, gdy dany kontroler domeny nie powraca do domeny. Jeśli jest to możliwe, należy naprawić uszkodzony kontroler domeny, do którego są przypisane role FSMO. Należy ustalić, które z pozostałych kontrolerów domeny mogą pełnić które role, tak aby wszystkie pięć ról można było przypisać do jednego kontrolera domeny. Aby uzyskać więcej informacji dotyczących umieszczania ról FSMO, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Microsoft Knowledge Base:
      223346 FSMO placement and optimization on Windows 2000 domain controllers
    • Jeśli kontroler domeny, który uprzednio miał dowolną rolę FSMO, jest nieobecny w domenie, a jego role zostały przejęte w wyniku wykonania kroków opisanych w tym artykule, należy go usunąć z usługi Active Directory, wykonując procedurę opisaną w następującym artykule z bazy wiedzy Microsoft Knowledge Base:
      216498 Jak usunąć dane w usłudze Active Directory po niepomyślnym obniżaniu poziomu kontrolera domeny
    • Usunięcie metadanych kontrolera domeny za pomocą polecenia ntdsutil /metadata cleanup w systemie Windows 2000 lub Windows Server 2003 kompilacja 3790 nie spowoduje przeniesienia ról FSMO, które są przypisane do aktywnych kontrolerów domeny . Narzędzie Ntdsutil z dodatku Service Pack 1 (SP1) dla systemu Windows Server 2003 umożliwia automatyzację tego zadania i usunięcie dodatkowych elementów metadanych kontrolera domeny.
    • Niektórzy klienci wolą nie przywracać kopii zapasowych stanu systemu posiadaczy ról FSMO w przypadku, gdy rola została ponownie przypisana przed wykonaniem kopii zapasowej.
    • Nie należy przypisywać roli Wzorzec infrastruktury temu samemu kontrolerowi domeny, który jest serwerem wykazu globalnego. Jeśli rola Wzorzec infrastruktury zostanie uruchomiona na serwerze wykazu globalnego, serwer ten przestanie aktualizować informacje o obiektach, ponieważ ta rola nie zawiera żadnych odwołań do obiektów, których nie przechowuje. Dzieje się tak dlatego, że serwer wykazu globalnego przechowuje częściową replikę każdego obiektu w lesie.
Aby sprawdzić, czy kontroler domeny jest również serwerem wykazu globalnego:
  1. Kliknij przycisk Start, wskaż polecenie Programy, wskaż polecenie Narzędzia administracyjne, a następnie kliknij polecenie Lokacje i usługi Active Directory.
  2. Kliknij dwukrotnie węzeł Lokacje w lewym okienku, a następnie przejdź do odpowiedniej lokacji lub kliknij lokację nazwa-pierwszej-domyślnej-lokacji, jeśli żadna inna lokacja nie jest dostępna.
  3. Otwórz folder Serwery, a następnie kliknij odpowiedni kontroler domeny.
  4. W folderze kontrolera domeny kliknij dwukrotnie pozycję Ustawienia NTDS.
  5. W menu Akcja kliknij polecenie Właściwości.
  6. Na karcie Ogólne sprawdź, czy jest zaznaczone pole wyboru Wykaz globalny.
Aby uzyskać więcej informacji na temat ról FSMO, kliknij następujące numery artykułów w celu wyświetlenia tych artykułów z bazy wiedzy Microsoft Knowledge Base:
197132 Role FSMO usługi Active Directory w systemie Windows 2000
223787 Proces transferowania i przejmowania ról elastycznych operacji wzorca jednokrotnego

Czynności umożliwiające odtworzenie problemu

Należy uruchomić narzędzie DCPROMO na komputerze z systemem Windows Server 2008, aby przyłączyć komputer do domeny, w którym wzorzec RID jest w trybie offline. Zostanie zwrócone ostrzeżenie, że jest wymagany aktywny wzorzec RID. Zostanie też wyświetlone odwołanie do artykułu 255504 z bazy wiedzy.
Uwaga: Niniejszy artykuł, przeznaczony do „SZYBKIEJ PUBLIKACJI”, został utworzony bezpośrednio przez organizację pomocy technicznej firmy Microsoft. Zawarte w nim informacje są udostępniane „w stanie takim, w jakim są” w odpowiedzi na pojawiające się problemy. W wyniku przyspieszonego trybu udostępniania materiały mogą zawierać błędy typograficzne i mogą zostać poprawione w dowolnym momencie bez uprzedzenia. Więcej informacji można znaleźć w Warunkach użytkowania.

Właściwości

Numer ID artykułu: 255504 - Ostatnia weryfikacja: 8 stycznia 2014 - Weryfikacja: 1.0
Informacje zawarte w tym artykule dotyczą:
  • Microsoft Windows Server 2003, Standard Edition (32-bit x86)
  • Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
  • Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server
  • Windows Server 2008 Datacenter
  • Windows Server 2008 Enterprise
  • Windows Server 2008 Standard
Słowa kluczowe: 
kbhowto KB255504

Przekaż opinię

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com