瑞星卡卡安全论坛

公司Test.com（虚拟）有一台主域控制器DC-01.test.com，还有一台额外域控制器DC-02.test.com。现主域控制器（DC-01.test.com）由于硬件故障突然损坏，事先又没有DC-01.test.com的系统状态备份，没办法通过备份修复主域控制器（DC-01.test.com），我们怎么让额外域控制器（DC-02.test.com）替代主域控制器，使Acitvie Directory继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。



如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC。






--------------------------------------------------------------------------------






三、从AD中清除主域控制器DC-01.test.com对象



3.1在额外域控制器(DC-02.test.com)上通过ntdsutil.exe工具把主域控制器(DC-01.test.com)从ＡＤ中删除；



c:>ntdsutil



ntdsutil: metadata cleanup



metadata cleanup: select operation target



select operation target: connections



server connections: connect to domain test.com



select operation target: list sites



Found 1 site(s)



0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



select operation target: select site 0



Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



No current domain



No current server



No current Naming Context



select operation target: List domains in site



Found 1 domain(s)



0 - DC=test,DC=com



Found 1 domain(s)



0 - DC=test,DC=com



select operation target: select domain 0



Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



Domain - DC=test,DC=com



No current server



No current Naming Context



select operation target: List servers for domain in site



Found 2 server(s)



0 - CN=DC-01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te



st,DC=com



1 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te



st,DC=com



select operation target: select server ０



select operation target: quit



metadata cleanup:Remove selected server






出现对话框，按“确定“删除DC-01主控服务器。



metadata cleanup:quit



ntdsutil: quit






3.2使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中DC-01服务器对象，



ADSI EDIT是Windows 2000 support tools中的工具，你需要安装Windows 2000 support tool，安装程序在windows 2000光盘中的support\tools目录下。打开ADSI EDIT工具，展开Domain NC[DC-02.test.com]，展开OU=Domain controllers，右击CN=DC-01，然后选择Delete，把DC-01服务器对象删除，



3.3 在Active Directory Sites and Service中删除DC-01服务器对象



打开Administrative tools中的Active Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右击DC-01，选择Delete，单击Yes按钮，




--------------------------------------------------------------------------------






四、在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作



c:>ntdsutil



ntdsutil: roles



fsmo maintenance: Select operation target



select operation target: connections



server connections: connect to domain test.com



select operation target: list sites



Found 1 site(s)



0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



select operation target: select site 0



Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



No current domain



No current server



No current Naming Context



select operation target: List domains in site



Found 1 domain(s)



0 - DC=test,DC=com



select operation target: select domain 0



Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com



Domain - DC=test,DC=com



No current server



No current Naming Context



select operation target: List servers for domain in site



Found 1 server(s)



0 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te



st,DC=com



select operation target: select server ０



select operation target: quit



fsmo maintenance:Seize domain naming master



出现对话框，按“确定“



fsmo maintenance:Seize infrastructure master



出现对话框，按“确定“



fsmo maintenance:Seize PDC



出现对话框，按“确定“



fsmo maintenance:Seize RID master



出现对话框，按“确定“



fsmo maintenance:Seize schema master



出现对话框，按“确定“



fsmo maintenance:quit



ntdsutil: quit



（注：Seize是在原FSMO不在线时进行操作，如果原FSMO在线，需要使用Transfer操作）









--------------------------------------------------------------------------------






五、设置额外控制(DC-02.test.com)为ＧＣ（全局编录）



打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC-02.test.com(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。






--------------------------------------------------------------------------------






六、重新安装并恢复损坏主域控制器



修理好DC-01.test.com损坏的硬件之后，在DC-01.test.com服务器重新安装Windows 2000 Server，安装好Windows 2000 Server之后，再运行Dcpromo升成额外的域控制器；如果你需要使DC-01.test.com担任五种FMSO角色，通过ntdsutil工具进行角色转换，进行Transfer操作就行了（注意：不能用Seize）。并通过Active Directory Sites and Services设置DC-01.test.com为GC，取消DC-02.test.com的GC功能。



建议domain naming master不要和RID master在一台DC上，而domain naming master同时必须为GC。
所有权为：veracity　　MSN:wang.hongsong#gmail.com(#=@)