Utilizar Ntdsutil.exe para asumir o transferir las funciones de FSMO a un controlador de dominio

Se aplica a: Windows Server, version 1903Windows Server 2019, all versionsWindows Server version 1803

Resumen


En este artículo se describe cómo usar la utilidad Ntdsutil.exe para transferir o asumir los roles de operaciones de maestro único flexible (FSMO, o Flexible Single Master Operations). 

Más información


Algunas operaciones de nivel de dominio y de empresa que no son adecuadas para actualizaciones de varios maestros las realiza un solo controlador de dominio en un dominio o bosque de Active Directory. Los controladores de dominio designados para realizar estas operaciones exclusivas se denominan maestros de operaciones o titulares de la función FSMO.

En la lista siguiente se describen las 5 funciones FSMO exclusivas de un bosque de Active Directory, así como las operaciones dependientes que realizan:
  • Maestro de esquema: afecta a todo el bosque y hay una para cada bosque. Este rol es necesario para expandir el esquema de un bosque de Active Directory o para ejecutar el comando adprep /forestprep.
  • Maestro de nombres de dominio: afecta a todo el bosque y hay una para cada bosque. Esta función es necesaria para agregar o eliminar dominios o particiones de aplicaciones en un bosque.
  • Maestro RID: afecta a todo el dominio y hay una para cada dominio. Esta función es necesaria para asignar el grupo de RID con objeto de que los controladores de dominio nuevos o existentes puedan crear cuentas de usuario y de equipo, así como grupos de seguridad.
  • Emulador de PDC: afecta a todo el dominio y hay una para cada dominio. Esta función es necesaria para el controlador de dominio que envía actualizaciones de base de datos a los controladores de dominio de reserva de Windows NT. El controlador de dominio propietario de esta función es también el objetivo de ciertas herramientas de administración y actualizaciones de contraseñas de cuentas de usuario y de equipo.
  • Maestro de infraestructuras: afecta a todo el dominio y hay una para cada dominio. Este rol es necesario para que los controladores de dominio puedan ejecutar correctamente el comando adprep /forestprep, así como para actualizar los atributos SID y de nombre completo para los objetos a los que se hace referencia entre varios dominios.
El Asistente para instalación de Active Directory (Dcpromo.exe) asigna las 5 funciones FSMO al primer controlador de dominio del dominio raíz del bosque. Las tres funciones específicas del dominio se asignan al primer controlador de dominio de cada nuevo dominio secundario o de árbol. Los controladores de dominio siguen siendo los propietarios de las funciones FSMO hasta que se reasignen utilizando uno de los métodos siguientes:
  • Para reasignar la función, el administrador debe utilizar una herramienta administrativa GUI.
  • Para realizar esta operación, debe usar el comando ntdsutil /roles.
  • El administrador debe utilizar el Asistente de instalación de Active Directory para degradar correctamente un controlador de dominio contenedor de funciones. Este asistente reasigna las funciones contenidas localmente a un controlador de dominio existente del bosque. Las operaciones de degradación realizadas mediante el comando dcpromo /forceremoval dejan los roles FSMO en un estado no válido hasta que un administrador los reasigne.
Se recomienda transferir los roles FSMO en los escenarios siguientes:
  • El titular de la función actual está operativo y el nuevo propietario de FSMO puede acceder a él en la red.
  • Está degradando correctamente un controlador de dominio que actualmente posee funciones FSMO que desea asignar a un controlador de dominio específico de su bosque de Active Directory.
  • El controlador de dominio que actualmente posee funciones FSMO se está desconectando para su mantenimiento periódico y es necesario que se asignen funciones FSMO específicas a un controlador de dominio "activo". Esto puede ser necesario para realizar operaciones que se conectan con el propietario de FSMO. Esto sería especialmente cierto para la función de emulador PDC, pero no tanto para las funciones de maestro RID, de maestro de nombres de dominio y de maestro de esquema.
Se recomienda que asuma las funciones FSMO en los escenarios siguientes:
  • El titular de la función actual está experimentando un error operativo que impide que una operación dependiente de FSMO termine correctamente y dicha función no se puede transferir.
     
  • Para degradar por la fuerza a un controlador de dominio que posee un rol FSMO, se utiliza el comando dcpromo /forceremoval.
     
  • El sistema operativo del equipo que poseía originalmente una función específica ya no existe o se ha reinstalado.
Mientras se produce la replicación, los controladores de dominio que no son FSMO del dominio o del bosque son plenamente conscientes de los cambios realizados por los controladores de dominio que son titulares de funciones FSMO. Si debe transferir una función, el controlador de dominio más idóneo es aquel que está en el dominio apropiado que ha realizado la replicación entrante por última vez, o la ha realizado recientemente, de una copia modificable de la "partición FSMO" desde el titular de la función existente. Por ejemplo, el titular de la función de maestro de esquema tiene la ruta de acceso completa CN=schema,CN=configuration,dc=<forest root domain>, y esto significa que las funciones están ubicadas en y se replican como parte de la partición CN=schema. Si el controlador de dominio que tiene la función de maestro de esquema experimenta un fallo de hardware o de software, un buen candidato para ser titular de las funciones sería un controlador de dominio del dominio raíz y del mismo sitio Active Directory que el propietario actual. Los controladores de dominio del mismo sitio Active Directory realizan la replicación entrante cada 5 minutos o cada 15 segundos.


La partición para cada función FSMO está en la lista siguiente:
 
Función FSMO Partición
Esquema CN=Schema,CN=configuration,DC=<forest root domain>
Maestro de nombres de dominio CN=configuration,DC=<forest root domain>
PDC DC=<domain>
RID DC=<domain>
Infraestructura DC=<domain>



Un controlador de dominio cuyas funciones FSMO se han asumido no debería poder comunicarse con los controladores de dominio existentes en el bosque.

En este escenario, debería formatear el disco duro y reinstalar el sistema operativo en dichos controladores de dominio o forzar la degradación de estos en una red privada y luego eliminar sus metadatos en un controlador de dominio superviviente en el bosque utilizando el comando ntdsutil /metadata cleanup. El riesgo de introducir un antiguo titular de función FSMO cuya función se ha asumido en el bosque es que el titular original de la función puede seguir funcionando como antes hasta que replique de forma entrante el conocimiento de la toma de control de la función. Los riesgos conocidos de dos controladores de dominio que posean las mismas funciones FSMO incluyen la creación de principales de seguridad con grupos RID superpuestos, así como otros problemas.

Recuperación de bosque de AD- aprovechando un rol de maestro de operaciones

Colocación del rol maestro de operaciones de planificación

Transferir roles FSMO

Para transferir los roles FSMO mediante la utilidad Ntdsutil, siga estos pasos:
  1. Inicie una sesión en un equipo o controlador de dominio basado en Windows 2000 Server o Windows Server 2003 que se encuentre en el bosque donde se están transfiriendo los roles FSMO. Se recomienda que inicie sesión en el controlador de dominio al que esté asignando las funciones FSMO. El usuario que ha iniciado la sesión debería ser miembro del grupo de administradores de organización para poder transferir las funciones de maestro de esquema o de maestro de nombres de dominio, o miembro del grupo de administradores de dominio del dominio donde se van a transferir las funciones de emulador de PDC, maestro RID y maestro de infraestructura.
  2. Haga clic en Inicio y en Ejecutar, escriba ntdsutil en el cuadro Abrir y luego haga clic en Aceptar.
  3. Escriba roles y presione ENTRAR.


    Nota: Para ver una lista de comandos disponibles en cualquiera de los símbolos del sistema de la utilidad Ntdsutil, escriba ? y luego presione ENTRAR.
  4. Escriba connections y luego presione ENTRAR.
  5. Escriba connect to server servername, y a continuación, presione ENTRAR, donde servername es el nombre del controlador de dominio al que desea asignar la función FSMO.
  6. Escriba q en el símbolo del sistema server connections y luego presione ENTRAR.
  7. Escriba transfer rol, donde rol es el rol que desea transferir. Si desea consultar la lista de roles que puede transferir, escriba ? en el símbolo del sistema fsmo maintenance y luego presione ENTRAR, o vea la lista de roles incluidas al principio de este artículo. Por ejemplo, para transferir el rol de maestro RID, escriba transfer rid master. La única excepción es para el rol de emulador de PDC, cuya sintaxis es transfer pdc, no transfer pdc emulator.
  8. Escriba q en el símbolo del sistema fsmo maintenance y luego presione ENTRAR para obtener acceso al símbolo del sistema de ntdsutil. Escriba q y luego presione ENTRAR para salir de la utilidad Ntdsutil.

Asumir los roles FSMO

Para asumir los roles FSMO mediante la utilidad Ntdsutil, siga estos pasos:
  1. Inicie una sesión en un equipo o controlador de dominio basado en Windows 2000 Server o Windows Server 2003 que esté ubicado en el bosque donde se están asumiendo los roles FSMO. Se recomienda que inicie sesión en el controlador de dominio al que esté asignando las funciones FSMO. El usuario que ha iniciado la sesión debería ser miembro del grupo de administradores de organización para poder transferir las funciones de esquema o de maestro de nombres de dominio, o miembro del grupo de administradores de dominio del dominio donde se van a transferir las funciones de emulador de PDC, de maestro RID y de maestro de infraestructura.
  2. Haga clic en Inicio y en Ejecutar, escriba ntdsutil en el cuadro Abrir y luego haga clic en Aceptar.
  3. Escriba roles y presione ENTRAR.
  4. Escriba connections y luego presione ENTRAR.
  5. Escriba connect to server servername, y a continuación, presione ENTRAR, donde servername es el nombre del controlador de dominio al que desea asignar la función FSMO.
  6. Escriba q en el símbolo del sistema server connections y luego presione ENTRAR.
  7. Escriba seize role, donde role es el rol que desea asumir. Si desea consultar la lista de roles que puede asumir, escriba ? en el símbolo del sistema fsmo maintenance y luego presione ENTRAR, o vea la lista de roles incluida al principio de este artículo. Por ejemplo, para asumir el rol de maestro RID, escriba seize rid master. La única excepción es para el rol de emulador de PDC, cuya sintaxis es seize pdc, no seize pdc emulator.
  8. Escriba q en el símbolo del sistema fsmo maintenance y luego presione ENTRAR para obtener acceso al símbolo del sistema de ntdsutil. Escriba q y luego presione ENTRAR para salir de la utilidad Ntdsutil.

    Notas
    • Bajo condiciones normales, los cinco roles se deben asignar a controladores de dominio "activos" del bosque. Si un controlador de dominio que posee un rol FSMO se queda fuera de servicio antes de que se transfieran sus roles, deberá asignar todos a un controlador de dominio apropiado que esté en buenas condiciones. Se recomienda que solamente asuma todas las funciones cuando el otro controlador de dominio no vaya a regresar al dominio. Si es posible, repare el controlador de dominio dañado que tiene asignados los roles FSMO. Debe determinar qué roles deben estar en cada uno de los controladores de dominio restantes para que los cinco roles se asignen a un único controlador de dominio. Para obtener más información acerca de la ubicación de funciones FSMO, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
       
      223346 Ubicación y optimización del FSMO en controladores de dominio Windows
       
    • Si el controlador de dominio que anteriormente tenía roles FSMO no está presente en el dominio y se han asumido sus roles siguiendo los pasos descritos en este artículo, elimínelo de Active Directory realizando el procedimiento detallado en el siguiente artículo de Microsoft Knowledge Base:
      216498 Cómo quitar datos en Active Directory después de una degradación sin éxito de un controlador de dominio
       
    • La eliminación de metadatos del controlador de dominio con la versión de Windows 2000 o de Windows Server 2003, versión 3790 del comando ntdsutil /metadata cleanup no reubica los roles FSMO asignados a controladores de dominio activos. La versión de Windows Server 2003 Service Pack 1 (SP1) de la utilidad Ntdsutil automatiza esta tarea y elimina elementos adicionales de los metadatos del controlador de dominio.
    • Algunos clientes prefieren no restaurar las copias de seguridad del estado del sistema de los titulares de las funciones FSMO en caso de que la función haya sido reasignada desde la realización de la copia de seguridad.
    • No coloque la función de maestro de infraestructura en el mismo controlador de dominio que el servidor de catálogo global. Si el Maestro de infraestructura se ejecuta en un servidor de catálogo global no se actualizará la información de los objetos, pues no contiene referencias a objetos que no alberga. Esta situación se produce porque un servidor de catálogo global contiene una réplica parcial de cada objeto del bosque.
Para probar si un controlador de dominio es también un servidor de catálogo global:
  1. Haga clic en Inicio, seleccione Programas, Herramientas administrativas y luego haga clic en Sitios y servicios de Active Directory.
  2. Haga doble clic en Sitios en el panel izquierdo y luego localice el sitio apropiado o haga clic en Nombre-predeterminado-primer-sitio si no hay ningún otro sitio disponible.
  3. Abra la carpeta Servidores y, a continuación, haga clic en el controlador de dominio.
  4. En la carpeta del controlador de dominio, haga doble clic en Configuración de NTDS.
  5. En el menú Acción haga clic en Propiedades.
  6. En la pestaña General compruebe si está seleccionada la casilla Catálogo global.


 

Artículos relacionados


197132 Roles de FSMO de Active Directory de Windows 2000
223787 Proceso de transferencia y asunción de Flexible Single Master Operation