FSMO Rollerini Başka Bir Etki Alanı Denetleyicisine Aktarma/El Koyma

Bu yazıda, Active Directory'de FSMO rollerine sahip etki alanı denetleyicilerinin nasıl bulunacağını, bir veya daha fazla FSMO rolünün başka bir (ek/ikincil) etki alanı denetleyicisine nasıl aktarılacağını ve alan hatası durumunda FSMO rollerinin nasıl ele geçirileceğini ele alacağız. denetleyici FSMO rol sahibi.

Active Directory Etki Alanındaki FSMO Rollerini Anlamak

Bir Active Directory etki alanındaki FSMO (Esnek Tek Ana İşlem) rolleri nelerdir? Active Directory'deki çoğu standart işlemi (yeni kullanıcı hesapları ve güvenlik grupları oluşturmak veya bir bilgisayarı bir etki alanına katmak gibi) herhangi bir etki alanı denetleyicisinde gerçekleştirebilirsiniz. AD çoğaltma hizmeti, bu değişiklikleri AD dizini boyunca dağıtmaktan sorumludur. Farklı çakışmalar (örneğin, birkaç etki alanı denetleyicisinde bir kullanıcı hesabının aynı anda yeniden adlandırılması), basit bir ilke kullanılarak çözülür - sonuncusu doğrudur. Ancak, çakışmanın kabul edilemez olduğu bazı işlemler vardır (örneğin, yeni bir alt etki alanı/orman oluştururken, AD şemasını değiştirirken, vb.). Benzersizlik gerektiren işlemleri gerçekleştirmek için FSMO rollerine sahip etki alanı denetleyicilerine ihtiyacınız vardır. FSMO rollerinin ana görevi, bu tür çatışmaları önlemektir.

Bir Active Directory etki alanında beş FSMO rolü olabilir.

Bir AD ormanı için iki rol benzersizdir:

  1. Şema yöneticisi, Active Directory şemasında değişiklik yapmaktan sorumludur (örneğin, AD şemasını

    adprep /forestprep

    emretmek;

  2. Alan adlandırma yöneticisi, AD ormanınızda oluşturduğunuz tüm alanlar ve uygulama bölümleri için benzersiz adlar sağlar (bunu yönetmek için "Kurumsal yöneticiler " ayrıcalıklarına ihtiyacınız vardır).

Ve her alan için üç rol vardır (bunları yönetmek için hesabınızın "Domain Admins " grubunun bir üyesi olması gerekir):

  1. PDC emülatörü, Windows ağınızdaki ana tarayıcıdır (Domain Master Browser, ağ ortamındaki bilgisayarları göstermek için kullanılır), yanlış şifreler girildiğinde kullanıcı kilitlenmelerini izler, etki alanınızdaki ana NTP sunucusudur, Windows 2000/NT çalıştıran istemcilerle uyumluluk sağlamak için kullanılır, DFS kök sunucuları tarafından ad alanı bilgilerini güncellemek için kullanılır;

  2. Altyapı Yöneticisi, etki alanları arası nesne bağlantılarının güncellenmesinden sorumludur; ve

    adprep /domainprep

    komut üzerinde çalıştırılır;

  3. RID Anar — sunucu, benzersiz nesne tanımlayıcıları (SID'ler) oluşturmak için RID'leri (500 parçalık paketler halinde) diğer etki alanı denetleyicilerine dağıtır.

Bir Etki Alanındaki FSMO Rol Sahiplerini Nasıl Listeleyebilirim?

Active Directory etki alanınızda hangi etki alanı denetleyicilerinin FSMO rolü sahibi olduğunu nasıl öğrenebilirsiniz?

Etki alanındaki tüm FSMO rol sahiplerini bulmak için şu komutu çalıştırın:

netdom query fsmo

Schema master dc01.test.com
Domain naming master dc01.test.com
PDC dc01.test.com
RID pool manager dc01.test.com
Infrastructure master dc01.test.com

Başka bir etki alanı için FSMO rollerini görüntüleyebilirsiniz:

netdom query fsmo /domain:a-d.site

Bu örnekte, tüm FSMO rollerinin DC01'de bulunduğunu görebilirsiniz. Yeni bir AD ormanı (etki alanı) dağıtırken, tüm FSMO rolleri ilk DC'ye yerleştirilir. RODC dışında herhangi bir etki alanı denetleyicisi, herhangi bir FSMO rolünün sahibi olabilir. Buna göre, etki alanı yöneticisi herhangi bir FSMO rolünü başka bir etki alanı denetleyicisine aktarabilir.

Get-ADDomainController cmdlet'ini kullanarak etki alanınızdaki FSMO rolleri hakkında bilgileri PowerShell aracılığıyla alabilirsiniz (PowerShell için RSAT Active Directory modülü kurulu olmalıdır):

Get-ADDomainController -Filter * | Select-Object Name, Domain, Forest, OperationMasterRoles |Where-Object {$_.OperationMasterRoles}

Veya orman veya etki alanı düzeyindeki FSMO rollerini aşağıdaki gibi görüntüleyebilirsiniz:

Get-ADDomain | Select-Object InfrastructureMaster, RIDMaster, PDCEmulator
Get-ADForest | Select-Object DomainNamingMaster, SchemaMaster

Etki alanında FSMO rolü yerleştirme için genel Microsoft önerileri şunlardır:

  • Aynı anda Global Katalog sunucusu olan kök etki alanına orman düzeyi rolleri (Şema yöneticisi ve Etki alanı adlandırma yöneticisi) yerleştirin;

  • Üç etki alanı FSMO rolünün tümünü uygun performansa sahip tek bir etki alanı denetleyicisine yerleştirin;

  • AD güvenilirliğini ve performansını iyileştirdiği için tüm orman DC'leri Genel Katalog sunucuları olmalıdır. O zaman Altyapı Yöneticisi rolü aslında gerekli değildir. Genel Katalog rolü olmayan bir DC'niz varsa, buna Altyapı Yöneticisi rolü yerleştirin.

  • FSMO rol sahibi DC'lerine başka görevler yerleştirmeyin.

FSMO rollerini Active Directory'de birkaç yöntem kullanarak aktarabilirsiniz: AD MMC grafik ek bileşenlerini kullanarak,

ntdsutil.exe

veya

PowerShell

. AD altyapınızı optimize ederken FSMO rollerini aktarmak önemlidir veya FSMO rolüne sahip bir DC, yıkıcı bir donanım/yazılım hatasına maruz kalmıştır. FSMO rollerini taşımanın iki yolu vardır: aktarma (her iki DC de kullanılabilir olduğunda) veya ele geçirme (FSMO rolüne sahip bir DC mevcut olmadığında veya kırıldığında).

PowerShell ile FSMO Rolleri Nasıl Aktarılır?

Bir etki alanındaki FSMO rollerini aktarmanın en kolay ve hızlı yolu, Move-ADDirectoryServerOperationMasterRole PowerShell cmdlet'ini kullanmaktır.

Belirtilen DC'ye aynı anda bir veya daha fazla FSMO rolü aktarabilirsiniz. Aşağıdaki komut iki rolü DC02'ye taşıyacaktır:

Move-ADDirectoryServerOperationMasterRole -Identity dc03 -OperationMasterRole PDCEmulator, RIDMaster

OperationMasterRole bağımsız değişkeninde, aşağıdaki tabloya göre FSMO rolünün adını veya dizinini belirtebilirsiniz:

PDCEmulator0
RIDMaster1
InfrastructureMaster2
SchemaMaster3
DomainNamingMaster4

Daha kısa formdaki önceki komut şöyle görünür:

Move-ADDirectoryServerOperationMasterRole -Identity dc02 -OperationMasterRole 0,1

Tüm FSMO rollerini tek seferde ek etki alanı denetleyicisine aktarmak için şu komutu çalıştırın:

Move-ADDirectoryServerOperationMasterRole -Identity dc03 -OperationMasterRole 0,1,2,3,4

Active Directory Grafik Ek Bileşenlerini Kullanarak FSMO Rollerini Aktarma

FSMO rollerini taşımak için standart Active Directory grafik ek bileşenlerini kullanabilirsiniz. Transfer işlemi tercihen FSMO rolüne sahip bir DC üzerinde gerçekleştirilir. Sunucu yerel konsolu kullanılamıyorsa, Etki Alanı Denetleyicisini Değiştir seçeneğini kullanın ve MMC ek bileşeninde etki alanı denetleyicisini seçin.

RID Master, PDC Emulator & Infrastructure Master Rolleri Nasıl Aktarılır?

Etki alanı düzeyindeki rolleri (RID, PDC, Infrastructure Master) aktarmak için Active Directory Kullanıcıları ve Bilgisayarları (DSA.msc) konsolu kullanılır.

  1. Active Directory Kullanıcıları ve Bilgisayarları (ADUC) ek bileşenini açın;

  2. Alan adınızı sağ tıklayın ve Operations Master'ı seçin;

  3. Üç sekmeli (RID, PDC, Altyapı) bir pencere görünür. Yeni FSMO sahibini belirterek ve Değiştir düğmesini tıklayarak karşılık gelen rolleri aktarmak için bu sekmeleri kullanın.

Şema Yöneticisi Rolü Nasıl Aktarılır?

Orman düzeyindeki Şema Yöneticisi FSMO'yu aktarmak için Active Directory Şeması ek bileşeni kullanılır.

  1. Ek bileşeni başlatmadan önce, schmmgmt.dll kitaplığını çalıştırarak kaydetmeniz gerekir.

    regsvr32 schmmgmt.dll

    komut isteminde;

  2. Komut istemine MMC yazarak MMC konsolunu açın;

  3. Menüden Dosya -> Ek bileşen Ekle/Kaldır 'ı seçin ve Active Directory Şeması konsolunu ekleyin;

  4. Konsol köküne (Active Directory Schema) sağ tıklayın ve Operations Master'ı seçin;

  5. Şema Yöneticisi rolünü aktarmak istediğiniz etki alanı denetleyicisi adını girin, ardından Değiştir'i ve Tamam'ı tıklayın. Düğme kullanılamıyorsa, hesabınızın Schema admins grubunun bir üyesi olduğundan emin olun.

Alan Adlandırma Yöneticisi FSMO Nasıl Aktarılır?

  1. Etki Alanı Adlandırma Yöneticisi FSMO rolünü aktarmak için Active Directory Etki Alanları ve Güvenleri konsolunu açın;

  2. Etki alanınızın adını sağ tıklayın ve İşlem Yöneticisi'ni seçin;

  3. Değiştir'i tıklayın, etki alanı denetleyicisinin adını girin ve Tamam'ı tıklayın.

FSMO Rollerini Komut İsteminden Aktarmak için Ntdsutil.exe'yi Kullanma

Önemli. ntdsutil.exe aracını dikkatli kullanın ve ne yaptığınızı bildiğinizden emin olun, aksi takdirde Active Directory etki alanınızı bozabilirsiniz!

  1. Etki alanı denetleyicinizde komut istemini çalıştırın ve şunu çalıştırın:

    ntdsutil

  2. Bu komutu girin:

    roles

  3. Daha sonra:

    connections

  4. Ardından, FSMO rollerini aktarmak istediğiniz DC'ye bağlanmalısınız. Bunu yapmak için şunu girin:

    connect to server <servername>

  5. Tip

    q

    ve Enter'a basın;

  6. Bir FSMO rolünü aktarmak için şu komutu kullanın:

    transfer <role>

    , burada aktarmak istediğiniz roldür. Örneğin:

    transfer schema master

    ,

    transfer RID

    , vb;

  7. FSMO rol aktarımını onaylayın;

  8. Bittiğinde, basın

    q

    ve ardından ntdsutil.exe'den çıkmak için Enter'a basın;

  9. Etki alanı denetleyicisini yeniden başlatın.

AD FSMO Rollerini Yakalama

FSMO rollerinden birine sahip bir DC bozulduysa (ve kurtarılamazsa) veya uzun süredir kullanılamıyorsa, rollerinden herhangi birini zorla ele geçirebilirsiniz. Ancak, AD ile ilgili herhangi bir yeni sorun istemiyorsanız (daha sonra DC'yi yedekten geri yükleseniz bile), rolü aldığınız sunucunun ağda hiçbir zaman görünmemesi gerektiğinden emin olmanız çok önemlidir. Bozuk DC'yi etki alanına geri döndürmek istiyorsanız, tek doğru yöntem AD'den kopyalayıcı hesabını kaldırmak, yeni bir ana bilgisayar adıyla temiz bir Windows yüklemesi gerçekleştirmek, ADDS rolünü yüklemek ve sunucuyu etki alanı denetleyicisine yükseltmektir.

PowerShell veya NTDSUtil kullanarak FSMO rollerini yakalayabilirsiniz.

Bir FSMO rolünü ele geçirmenin en kolay yolu PowerShell kullanmaktır. Bunu yapmak için aynı Move-ADDirectoryServerOperationMasterRole cmdlet'i kullanılır, ancak buna -Force parametresi eklenir.

Örneğin, PDCEmulator rolünü ele geçirmek ve onu DC02'ye aktarmaya zorlamak için şu komutu çalıştırın:

Move-ADDirectoryServerOperationMasterRole -Identity DC2 -OperationMasterRole PDCEmulator -Force

Ntdsutil.exe'yi kullanarak DC02 sunucunuza FSMO rolleri de alabilirsiniz. Rol ele geçirme, ortak aktarıma benzer. Aşağıdaki komutları kullanın:

ntdsutil
roles
connections
connect to server DC02 (the server you transfer a role to)
quit

Farklı FSMO rollerini ele geçirmek için şu komutları kullanın:

seize schema master
seize naming master
seize rid master
seize pdc
seize infrastructure master
quit

İlgili makaleler