Active Directory Esnek Tek Ana Bilgisayar (FSMO) İş Başında

Bir etki alanı denetleyicisi arızalanırsa ne olur? İşlem Yöneticilerinin, bir Active Directory etki alanındaki Etki Alanı Denetleyicileri tarafından gerçekleştirilmesi gereken özel görevleri vardır. Bir Etki Alanı Denetleyicisinin arızalanması durumunda, bu özel rolün başka bir Etki Alanı Denetleyicisi tarafından devralınması gerekir. Devralma gerçekleşmezse er ya da geç sorunlar ortaya çıkacaktır.

Orman Genelindeki Roller

Alan Adı Adlandırma Yöneticisi

Genel yapıda, Alan adlarını atama olanağına sahip yalnızca bir Etki Alanı Denetleyicisi olabilir.

Şema Yöneticisi

Veritabanı şemasını değiştirmek istiyorsanız şema yöneticisiyle iletişime geçilir. Bu, örneğin bir Exchange Sunucusu yüklediğinizde gerçekleşir. Veya şemayı manuel olarak değiştirirseniz.

Etki Alanı Genelinde Roller

RID Ustası

Bu role sahip sunucu, diğer Etki Alanı Denetleyicilerine (DC başına 500) RID'leri (Güvenlik Tanımlayıcısı) atar. Bu RID'ler diğer DC'ler tarafından Active Directory nesneleri oluşturmak için kullanılabilir. Bu, bir etki alanındaki RID'lerin benzersiz olmasını sağlar. RID'leri takip eden yalnızca bir tane olabilir.

PDC Emülatörü

Parolaların değiştirilmesi doğrudan etki alanının PDC öykünücüsüne kopyalanır. PDC öykünücüsü aynı zamanda etki alanı zaman sunucusudur ve çok daha fazlasıdır. PDC yöneticisindeki bir arıza genellikle çok çabuk fark edilir hale gelir. PDC Master ağır bir iş yüküyle karşı karşıya kalabilir. Bu yüzden bu rolü en iyi donanıma sahip sunucuya yerleştirin. Bu makalenin sonunda FSMO yerleştirme hakkında daha fazla bilgi bulabilirsiniz.

Altyapı Yöneticisi

Altyapı Yöneticisi (ISM), bağlantılı Active Directory nesneleri ile diğer etki alanları arasındaki referans bütünlüğünün sağlanmasından sorumludur. Nesnenin diğer etki alanlarındaki değişikliklerini (örneğin grup üyelikleri) tespit etmek için kendi etki alanının GC'si ile iletişim kurar.

Ara Sonuç

Biraz teorik olan bu konuyu grafiksel olarak gösteren bir ekran görüntüsü hazırladım. Şema Yöneticisini ve Etki Alanı Adlandırma Yöneticisini tutan yalnızca 2 Etki Alanı Denetleyicisi bulunduğunu unutmayın. Ve Etki Alanı başına 3 Etki Alanı Genelinde Rol vardır.

Rolün sahibi kim?

dsa.msc'yi (Active Directory Kullanıcıları ve Bilgisayarları) açın. Alan adınıza sağ tıklayın ve İşlem Yöneticisi'ni seçin… Bu size tüm Alan Adı Genelindeki Rolleri gösterecektir.

domain.msc'yi (Active Directory Etki Alanları ve Güvenleri) açın. Active Directory Etki Alanları ve Güvenleri'ne sağ tıklayın ve İşlem Yöneticisi'ni seçin.

Veya hepsini göstermek için netdom query fsmo'yu kullanın. Windows PowerShell'i açın ve girin

netdom query fsmo

Get-ADForest yalnızca Orman Genelindeki Rolleri gösterir.

Get-ADForest | Select Schema*,Domain*

Get-ADDomain, tüm Etki Alanı Genelinde FSMO Rollerini gösterir.

Get-ADDomain | Select-Object RID*,PDC*,Infra*

FSMO Rollerini Taşıma

Bu amaçla ya Move-ADDirectoryServerOperationmasterRole ya da ntdsutil arkadaşınızdır.

Move-ADDirectoryServerOperationMasterRole -OperationMasterRole RIDMaster -Identity dc01

ntdsutil
roles
connections
connect to server dc01
quit
transfer rid master

FMSO Rollerini Geri Yükleme

FSMO rolüne sahip bir DC artık işlevsel değilse ve geri yüklenemiyorsa, bu rol ormanda veya etki alanında eksiktir. Bu durumda rolün başka bir DC tarafından “şiddetle” üstlenilmesi gerekir. Önemli: Eski DC, etki alanıyla bir daha asla iletişim kurmamalıdır. (aksi takdirde: Orman/Etki Alanında iki kat FSMO rolü, İyi şanslar!). ?

Move-ADDirectoryServerOperationMasterRole -Force bir Rolü taşır.

Move-ADDirectoryServerOperationMasterRole -OperationMasterRole RIDMaster -Identity dc01 -Force

Alternatif olarak ntdsutil kullanılabilir. Aktarmak yerine ele geçirmeyi kullanın.

ntdsutil
roles
connect to server dc01
quit
seize rid master

FSMO Rollerine Derin Bakış

Get-ADObject veya dsquery ile şema yöneticisini ve şema sürümünü görüntüleyin.

Şema Yöneticisini Görüntüle

Get-ADObject "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -Properties * | Select-Object FSMO*

Şema Sürümünü Görüntüle

Get-ADObject "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -Properties * | Select-Object Objectversion | Format-List

dsquery * "cn=Schema,cn=Configuration,dc=sid-500,dc=com" -scope base -attr objectversion -s dc01

RID Havuzunu Göster

RID Master'da RID Havuzunu sorgulayın.

dcdiag /TEST:RidManager /v | find /i "Available RID Pool for the Domain"

Etki Alanının Zaman Sunucusunu Göster (PDC Master)

w32tm /monitor ile PDC Master'ı bulun.

w32tm /monitor