http://blog.51cto.com/sxleilong/1382866
在域控制器的系統(tǒng)升級或?yàn)?zāi)難恢復(fù)過程中，涉及到五種FSMO角色，即：結(jié)構(gòu)主機(jī)、PDC模擬器、RID主機(jī)、域命名主機(jī)和架構(gòu)主機(jī)。對這五種角色的成功操作與否，將直接影響域控制器的升級或?yàn)?zāi)難恢復(fù)的成敗。
說明：本實(shí)驗(yàn)中使用的2臺DC分別是AD和AD-FSMO，AD在進(jìn)行遷移前做了快照。
1.一鍵奪取FSMO 5大角色
首先來看這臺即將被奪取FSMO角色的AD，IP地址為192.168.1.1/24，網(wǎng)關(guān)：192.168.1.2
域中有一臺客戶端計(jì)算機(jī)Client，用于測試在域控AD掛掉且轉(zhuǎn)移FSMO后測試Client是否仍可正常工作
可寫域控制器可以看到只有一臺AD，如下所示
本次測試用到的域用戶是Lelon
接下來再準(zhǔn)備一臺DC，我這里是AD-FSMO，用來將原AD上的FSMO角色遷移到該DC上，具體配置如下所示，注意DNS要指向原AD的DNS，我這里AD和DNS位于同一臺服務(wù)器上
安裝AD和DNS角色，下一步
提示安裝成功，點(diǎn)擊“將此服務(wù)器提升為域控制器”
選中“將域控制器添加到現(xiàn)有域”，下一步
勾選“全局編錄（GC）”，選擇站點(diǎn)名稱，輸入DSRM密碼，下一步
下一步
下一步
點(diǎn)擊“安裝”
提示此服務(wù)器已成功配置為域控制器，點(diǎn)擊“關(guān)閉”
可以看到域中的計(jì)算機(jī)帳戶已經(jīng)順利同步到了新安裝的域控AD-FSMO上
域控制器AD-FSMO也是GC
域用戶Lelon也已經(jīng)同步過來了
現(xiàn)在模擬域控制器AD掛掉，將其關(guān)機(jī)
此時(shí)登錄到AD站點(diǎn)和服務(wù)，展開對應(yīng)站點(diǎn)“陜西”下的Servers文件夾，選中并展開模擬掛掉的AD，右擊刪除掉“NTDS Settings”（說明：深圳站點(diǎn)對應(yīng)的是RODC）
點(diǎn)擊“是”
點(diǎn)擊“刪除”
點(diǎn)擊“是”
此時(shí)，會(huì)提示“選定的服務(wù)器當(dāng)前擔(dān)當(dāng)一個(gè)或多個(gè)FSMO主機(jī)角色，為了繼續(xù)進(jìn)行刪除操作，必須將這些角色移動(dòng)到新服務(wù)器上”，此時(shí)可以先不點(diǎn)擊“確定”，以管理員身份打開命令提示符，輸入命令：netdom query fsmo ，可以看到點(diǎn)擊確定之前FSMO角色還在已經(jīng)掛掉的域控AD上
當(dāng)點(diǎn)擊“確定”后，再次進(jìn)行FSMO角色查詢，可以看到FSMO的五個(gè)角色已經(jīng)被成功轉(zhuǎn)移到了新安裝的域控制器AD-FSMO上了
登錄AD用戶和計(jì)算機(jī)，刪除掉原有域控AD
登錄到Client，變更Client DNS服務(wù)器，同時(shí)我們在進(jìn)行ping原有AD，提示目標(biāo)主機(jī)不可達(dá)
本實(shí)驗(yàn)已經(jīng)完成
2.利用圖形界面奪取FSMO 5大角色
說明：此時(shí)實(shí)驗(yàn)用到2臺DC分別是AD和AD-fsmo1，AD我使用上個(gè)實(shí)驗(yàn)前創(chuàng)建的快照。
同樣，需要新安裝一臺域控制器AD-fsmo1，并將其加入到現(xiàn)有域中
勾選“域名系統(tǒng)（DNS）服務(wù)器和全局編錄（GC）”，選擇站點(diǎn)名稱，并輸入DSRM密碼，下一步
采用默認(rèn)，下一步
提示，此服務(wù)器已成功配置為域控制器
此時(shí)可以看到域控制器只有3臺AD、AD-FSMO1和RODC，RODC本次實(shí)驗(yàn)不用。查詢FSMO角色可以看到5大角色均位于AD域控制器上
以命令dsa.msc打開AD用戶和計(jì)算機(jī)，右擊“Corp.sxleilong.com”域，選擇“操作主機(jī)”
點(diǎn)擊“更改”，此時(shí)會(huì)報(bào)如下所示錯(cuò)誤
右擊“Corp.sxleilong.com”，選擇“更改域控制器”
選中“此域控制器或AD LDS實(shí)例”，選中“AD-fsmo1”，點(diǎn)擊“確定”
此時(shí)，再次點(diǎn)擊“更改”，未見報(bào)錯(cuò)，點(diǎn)擊“是”，注意我們此時(shí)是在RID選項(xiàng)卡，故轉(zhuǎn)移的僅僅是RID角色
提示已經(jīng)成功傳送了操作主機(jī)角色
同理進(jìn)行PDC主機(jī)角色傳送
還有基礎(chǔ)結(jié)構(gòu)主機(jī)角色傳送
以命令domain.msc打開AD域和信任關(guān)系，右擊AD域和信任關(guān)系，選擇“操作主機(jī)”
傳送域命名操作主機(jī)角色
以管理員身份打開命令提示符窗口，查詢FSMO 5大角色遷移狀況，可以看到只剩下架構(gòu)主機(jī)角色未遷移。接下來進(jìn)行架構(gòu)主機(jī)角色遷移。
在遷移前需要首先注冊schmmgmt.dll，輸入命令：regsvr32 schmmgmt.dll，回車后提示注冊成功
運(yùn)行窗口中輸入mmc并回車，打開控制臺1，選擇“文件”下拉菜單中的“添加或刪除管理單元”，選中“Active Directory架構(gòu)”點(diǎn)擊“添加”
選中剛添加的AD架構(gòu)，并右擊，選擇“操作主機(jī)”
點(diǎn)擊“更改”，提示傳送成功
再次進(jìn)行FSMO角色查詢，可以看到5大角色已經(jīng)全部傳送到AD-fsmo1域控制器上了
本實(shí)驗(yàn)結(jié)束
3.利用命令再奪回FSMO 5大角色
以管理員身份打開命令提示符窗口，輸入：ntdsutil，回車，然后再輸入：？，可以查看該工具的具體命令（此時(shí)fsmo 5大角色位于AD-fsmo1上，我們將其奪回到原有AD上）
輸入：roles，進(jìn)入fsmo維護(hù)模式，再次輸入：？，可以查看維護(hù)命令。
說明：Seize奪取，即在主AD已經(jīng)掛了情況下，輔助AD強(qiáng)制奪取5大角色。Transfer傳送，是在原主AD未掛的情況下，傳送5大角色到輔助AD，適合AD升級。
輸入命令：connections回車后，再輸入命令：connect to server ad，當(dāng)綁定到ad時(shí)，退出服務(wù)器連接進(jìn)入fsmo維護(hù)模式，再次打問號：？查看都有哪些命令可以使用。接下來進(jìn)行主機(jī)角色傳遞，Transfer infrastructure master （傳送基礎(chǔ)結(jié)構(gòu)主機(jī)）
同種方式進(jìn)行傳送余下的幾個(gè)主機(jī)角色
接下來需要退出fsmo維護(hù)模式，進(jìn)行fsmo 5種角色的查詢?？梢钥吹?種角色主機(jī)已經(jīng)成功傳送到原有域控制器AD上
實(shí)驗(yàn)結(jié)束。
