Upravljanje FSMO ulogama koristeći Ntdsutil. Active Directory FSMO uloge

01.05.2019 Recenzije

Upravljanje FSMO ulogama pomoću standardnih MMC dodataka nije baš zgodan proces, jer morate koristiti različite dodatke da biste pristupili različitim ulogama, a do nekih od njih nije tako lako doći. Osim toga, MMC dodaci ne dozvoljavaju preuzimanje uloga ako kontroler domene na kojem su locirane ne uspije. Mnogo je prikladnije koristiti uslužni program u ove svrhe ntdsutil, o čemu i razgovaraćemo u ovom članku.

Prije nego što pređemo na praktični dio, prisjetimo se što je to i razmotrimo šta će se tačno dogoditi s ActiveDirectory ako ne uspije. Ukupno postoji pet FSMO uloga, dvije za šumu i tri za domenu.

Uloge na nivou šume postoje u jednoj instanci i, iako su važne, najmanje su kritične za funkcionisanje AD. Šta se dešava ako svaki od njih nije dostupan:

Gospodar šeme- nemoguće je promijeniti šemu. kako god ovu proceduru provodi se svakih nekoliko godina kada se u mrežu uvedu kontroleri na novijem OS ili instaliraju neki drugi serverski proizvodi, poput Exchangea. U praksi, odsustvo vlasnika šeme možda se godinama ne primjećuje.
Vlasnik imenovanja domene- nemoguće je dodati ili izbrisati domenu. Slično, kod vlasnika kruga njegovo odsustvo može proći nezapaženo dosta dugo vremena.

Uloge na nivou domene postoje jedna po domeni i kritičnije su za funkcionisanje AD-a.

Infrastruktura Master- ako postoji nekoliko domena na kontrolerima koji nisu globalni katalozičlanstvo u lokalnim grupama domene može biti narušeno. Ako su svi kontroleri domena globalni direktoriji (danas je to konfiguracija koju preporučuje Microsoft), onda možete sa sigurnošću zaboraviti na postojanje vlasnika infrastrukture, baš kao i sa jednom domenom u šumi.
Host RID- nakon nekog vremena biće nemoguće kreirati novi objekat u AD-u, vreme zavisi od preostalog broja besplatnih SID-ova, koji se izdaju u serijama od 500 praznina. Ako vaš oglas ima mali broj objekata i ne kreirate nove svaki dan, tada će odsustvo vlasnika RID-a dugo ostati neprimijećeno.
PDC emulator- najkritičnija uloga. Ako je nedostupan, odmah će postati nemoguć ulazak u domenu pre-Windows 2000 klijenata (ako još negdje postoje), sinhronizacija vremena će se zaustaviti i neke politike neće stupiti na snagu kada se unese neispravna lozinka. U praksi, odsustvo PDC emulatora će se primijetiti prvi put kada sat nije sinkroniziran duže od 5 minuta, a to se može dogoditi prije nego što biste očekivali.

Istovremeno, kao što vidite, ne postoji nijedna FSMO uloga čiji bi neuspjeh doveo do značajnog gubitka AD funkcionalnosti; čak i ako sve FSMO uloge propadnu, infrastruktura može normalno raditi nekoliko dana, sedmica ili čak mjeseci.

Stoga, ako ćete na neko vrijeme isključiti kontroler koji sadrži neke ili sve uloge (na primjer, za održavanje), onda nema potrebe da ih prenosite; vaš AD će normalno živjeti bez njih.

Prenos uloga je prikladan ako planirate da se povučete ovaj server duže vrijeme nije u funkciji ili ga prebacite u drugi odjel (na primjer, na drugu lokaciju), ili planirane operacije mogu dovesti do njegovog kvara (na primjer, nadogradnja hardvera).

U slučaju kvara kontrolera, nemojte žuriti s preuzimanjem uloga, uvijek ćete imati vremena za to, inače ćete, prilikom vraćanja i povezivanja na mrežu servera koji je prethodno sadržavao FSMO uloge, dobiti mnogo neugodnih trenutaka povezanih s USN Rollback i vraćanje normalnog funkcionisanja domene. Ako su, ipak, uloge bile uhvaćene, a onda ste vratili stari kontroler najbolje rješenjeće ponovo instalirati sistem na njemu i ponovo ući u domenu.

Također još jedna neočigledna stvar ako imate nekoliko domena i nisu svi kontroleri globalni katalozi nemojte postavljati master infrastrukture na kontroler s globalnim katalogom. Ovo je jednako njegovom odsustvu.

Možete saznati koji kontroleri imaju FSMO uloge pomoću naredbe:

Netdom upit fsmo

Da upravljate FSMO ulogama, pokrenite uslužni program ntdsutil na bilo kojem kontroleru domene:

Ntdsutil

Zatim prijeđimo na upravljanje ulogama:

Sljedeći korak je povezivanje na kontroler domene na koji ćemo prenijeti uloge; da biste to učinili, idite na podmeni za povezivanje na servere:

Veze

i povežite se na željeni server:

Povežite se na server SERVERNAME

Gdje SERVERNAME- naziv kontrolera domene koji nam je potreban. Zatim izlazimo iz podmenija:

Treba imati na umu da možemo pokrenuti uslužni program na bilo kojem od kontrolera domene i pridružiti se bilo kojem drugom DC-u radi prijenosa ili preuzimanja uloga. U našem primjeru, mi se fizički nalazimo na serveru SRV-DC01 povezan sa serverom WIN2K8R2-SP1 a mi ćemo pokušati da mu damo neku vrstu uloge.

Naredba se koristi za prijenos uloga transferčiji je argument naziv prenesene uloge, za svaku od uloga se koriste sljedeći nazivi:

majstor imenovanja- master imenovanja domena
master infrastrukture- vlasnik infrastrukture
PDC- PDC emulator
RID master- RID vlasnik
schema master- vlasnik kruga

Pažnja! Na sistemima pre Windows Server 2008 R2, za vlasnik naziva domena korišteno ime master imenovanja domena.

Na primjer, za prijenos uloge vlasnik naziva domena pokrenimo naredbu:

Prijenos mastera imenovanja

Pojavit će se dijaloški okvir koji će od nas tražiti da potvrdimo radnju; savjetujemo vam da uvijek pažljivo proučite njen sadržaj.

Nakon što dobije potvrdan odgovor, uslužni program će prenijeti odabranu ulogu na drugi server.

Sada zamislimo da je server WIN2K8R2-SP1 je nepovratno van pogona i moramo preuzeti ulogu majstor imenovanja nazad. Komanda se koristi za preuzimanje uloga uhvatiti, koji ima sličnu sintaksu.

Da uhvatimo ulogu, trčimo ponovo ntdsutil i, nakon povezivanja na kontroler za koji ćemo uhvatiti, izvršimo naredbu:

Uhvatite majstora imenovanja

Nakon što potvrdimo preuzimanje ntdsutilće pokušati izvršiti operaciju prijenosa uloge i samo ako je to nemoguće izvršit će hvatanje.

Ovo se radi kako bi se izbjegla situacija da se uloga oduzme od radnog kontrolora i da će u mreži biti dva vlasnika iste uloge.

Zapamti da nakon snimanja uključi u mrežu kontroler s kojeg je uloga preuzeta zabranjeno je!

Kao što vidite, pomoću uslužnog programa ntdsutil nije nimalo teško i čak praktičnije od upravljanja ulogama pomoću MMC dodataka. Osim toga, mogućnosti ntdsutil nisu ograničeni na upravljačke uloge, ali ćemo o tome govoriti u sljedećim materijalima.

Postoji nekoliko situacija kada morate zapamtiti uloge FSMO- ovo je oporavak nakon neuspjeha, migracija, kao i traženje posla (obično na intervjuima jako vole postavljati pitanja poput „Koje uloge postoje u AD za kontroler domene, zašto su oni potrebni?"). I iako se sve ove situacije događaju izuzetno rijetko, za zajedničko razumevanje rad AD veoma je korisno razumjeti svrhu uloga FSMO.

FSMO, ili Fleksibilne operacije jednog majstora(single-executor operations) su operacije koje obavljaju kontrolori domena Aktivni direktorij(AD), koji zahtijevaju obaveznu jedinstvenost servera za svaku operaciju. U zavisnosti od vrste operacije, jedinstvenost FSMO znači unutar jednog domena ili šume domena. Razne vrste FSMO može se izvršiti na jednom ili više domenskih kontrolera. Performanse FSMO zove server uloga serveri, a sami serveri su gospodari operacija.

Većina operacija u AD može se obaviti na bilo kojem kontroleru domene. Usluga replikacije ADće kopirati promjene na druge kontrolere domena, osiguravajući identitet baze podataka AD na svim kontrolerima istog domena. Rješavanje konflikata se događa na sljedeći način - u pravu je onaj koji je napravio posljednje promjene.

Međutim, postoji nekoliko radnji (na primjer promjena šeme AD), u kojima su sukobi neprihvatljivi. Zato postoje serveri sa ulogama FSMO. Njihov zadatak — spriječiti takve sukobe. Dakle, značenje uloga FSMO u nastavku - svaka uloga može biti izvršena samo na jednom serveru u isto vrijeme. A ako je potrebno, može se prenijeti na drugi kontroler domene u bilo kojem trenutku.

U šumi postoji pet uloga FSMO. Za početak ću ih ukratko opisati. :

Vlasnik šeme ( Schema Master ) - odgovoran za unošenje promjena u šemu Aktivni direktorij. Može postojati samo jedan za cijelu šumu domena.
Master imenovanja domena ( Master imenovanja domena) - odgovoran je za jedinstvenost imena kreiranih domena i sekcija aplikacija u šumi. Može postojati samo jedan za cijelu šumu domena.
Vlasnik infrastrukture ( Infrastruktura Master) - pohranjuje podatke o korisnicima sa drugih domena koji su članovi lokalnih grupa svoje domene. Može postojati po jedan za svaki domen u šumi.
Gospodaru RID (RID Master) - odgovoran je za izolaciju jedinstvenih relativnih identifikatora ( RID) potrebno prilikom kreiranja naloga domene. Može postojati po jedan za svaki domen u šumi.
Emulator PDC (PDC emulator) - odgovoran za kompatibilnost domena NT4 a klijenti da Windows 2000. Može postojati po jedan za svaki domen u šumi.

Sada pogledajmo pobliže svaku ulogu i saznajmo koliko su one važne za funkcioniranje Aktivni direktorij.

Schema Master

Schema Master— odgovoran je za unošenje promjena u šemu, gdje se nalaze opisi svih klasa i atributa Aktivni direktorij. Šema se mijenja izuzetno rijetko, na primjer prilikom promjene nivoa domene, instalacije Razmjena a ponekad i druge aplikacije. Ova uloga može se nalaziti na bilo kojem kontroleru domene unutar šume. Ako nije dostupno Schema Master promenite šemu AD biće nemoguće.

Master imenovanja domena

Master imenovanja domena odgovoran za operacije vezane za nazive domena A.D. međutim, spisak njegovih obaveza je nešto duži :

Dodavanje i uklanjanje domena unutar šume. Samo kontroleru sa ulogom je dozvoljeno da dodaje i uklanja domene Master imenovanja domena. Osigurava da je domena koja se dodaje jedinstvena unutar šume NETBIOS-Ime. Ako Majstor imenovanja nije dostupan, nemoguće je dodati ili izbrisati domenu u šumi.
Kreiranje i brisanje particija. Počevši od Windows 2003 postalo je moguće kreirati zasebne sekcije - Particije direktorija aplikacija, koji se koriste za skladištenje u AD proizvoljni podaci. Kao primjer, pohranjivanje podataka za DNS-serveri u sekcijama ForestDnsZones I DomainDnsZones. Upravljanje particijama kada nisu dostupne Master imenovanja domena nemoguće.
Kreiranje i brisanje unakrsnih referenci. Unakrsno referenciranje se koristi za pretraživanje direktorija ako server na koji je klijent povezan ne sadrži željenu kopiju direktorija, a možete se pozivati i na domene izvan šume, pod uvjetom da su dostupne. Unakrsne reference se pohranjuju ( crossRef) u kontejneru Particije odjeljak Konfiguracija, ali samo Master imenovanja domena ima pravo na promjenu sadržaja ovog kontejnera. Ako nije dostupno Master imenovanja domena Neće biti moguće kreirati novu unakrsnu referencu ili izbrisati nepotrebnu.
Odobrenje preimenovanja domene. Da biste preimenovali domenu, koristite uslužni program rendom.exe. Ona piše skriptu sa instrukcijama koje će morati da se izvrše tokom procesa preimenovanja. Ova skripta je smeštena u kontejner Particije odjeljak Konfiguracija. Pošto samo kontrolor sa ulogom ima pravo da menja sadržaj ovog kontejnera Master imenovanja domena, tada je odgovoran za provjeru instrukcija i atributa snimanja.

Ova uloga može se nalaziti na bilo kojem kontroleru domene unutar šume.

Infrastruktura Master

Ako server nije globalni direktorij ( G.C.), tada njegova baza podataka ne sadrži podatke o korisnicima sa drugih domena. Međutim, možemo dodati korisnike iz drugih domena u lokalne grupe domena. A grupa je u bazi podataka AD moraju fizički imati veze sa svim korisnicima. Ovaj problem je riješen stvaranjem fiktivnog objekta - fantoma ( phantom). Lažni objekti su posebna vrsta internog objekta baze podataka i ne mogu se pregledati kroz njih ADSI ili LDAP. Fantomima se bavi majstor infrastrukture.

Još jedna karakteristika ove uloge je za pravilan rad U okruženju s više domena, kontroler domene koji djeluje kao glavni infrastrukturni master ne bi trebao biti poslužitelj globalnog kataloga. Ako je vlasnik uloge Infrastruktura Master je takođe server G.C., lažni objekti se ne kreiraju niti ažuriraju na ovom kontroleru domene. Ovo se događa jer globalni katalog već sadrži djelomične replike svima objekti u Aktivni direktorij i nema potrebe za fantomima .

RID Master

Svaki nalog u domeni (korisnik, računar, grupa) mora imati jedinstveni sigurnosni identifikator ( SID), koji jedinstveno identifikuje ovaj nalog i služi za razlikovanje prava pristupa. Izgleda kao SID na sljedeći način:

S-1-5-Y1-Y2-Y3-Y4, Gdje

S-1 — SID revizija 1. Trenutno se koristi samo ova revizija.
5 — Označava ko je izdao SID. 5 znači NT Authority. Međutim, takozvani "dobro poznati identifikatori" SID (poznati SID) može imati 0, 1 i neke druge vrijednosti u ovom dijelu.
Y1-Y2-Y3— ID domena kojem nalog pripada. Isto za sve objekte principal sigurnosti unutar jednog domena.
Y4— Relativni identifikator ( Srodnička ID, RID) specifično za određeni račun. Zamijenjeno iz skupa relativnih identifikatora domena u vrijeme kreiranja naloga.

Kontroler domene sa ulogom RID Master odgovoran je za identifikaciju niza jedinstvenih RID svakom kontroleru domena u njegovoj domeni, kao i za ispravnost premeštanja objekata iz jednog domena u drugi. Kontroleri domena imaju zajednički skup relativnih identifikatora ( RID Pool), RID od kojih se svaki kontroler dodjeljuje u porcijama od 500 komada. Kada njihov broj dođe do kraja (postane manji od 100), kontrolor traži novi dio. Po potrebi broj izdatih RID a prag zahtjeva se može promijeniti.

Još jedna oblast odgovornosti RID Master— pomeranje objekata između domena. Upravo RID Master osigurava da se jedan objekt ne može premjestiti na dva različita domena u isto vrijeme. U suprotnom je moguća situacija da u dva domena budu dva objekta sa istim GUID, što je ispunjeno najneočekivanijim posljedicama.

Ako RID Master neće biti dostupan, onda nakon isteka besplatnog RID Postat će nemoguće kreirati novi nalog, a također će biti nemoguće migrirati objekte sa trenutnog domena na drugi.

PDC emulator

U početku glavni zadatak Emulator primarnog kontrolera domene (PDC). kompatibilnost sa prethodnim verzijama je osigurana Windows. U mješovitom okruženju gdje se klijenti susreću Windows NT4.0/ 95/98 i kontroleri domena NT4, PDC emulator obavlja (samo za njih) sljedeće funkcije:

Obrada operacije “promjena lozinke” za korisnike i računare;
Replikacija ažuriranja na BDC (Backup Domain Controller);
Network Explorer (pretraga mrežni resursi).

Počevši od nivoa domena Windows 2000 i postao je stariji od svog posla. Kontroler domene sa ulogom PDC emulator obavlja sljedeće funkcije:

Odgovoran za promjenu lozinki i praćenje zabrana korisnika u slučaju greške u lozinki. Lozinka koju je promijenio bilo koji drugi kontroler domene prvo se replicira na PDC emulator. Ako autentifikacija na bilo kojem drugom kontroleru domene nije uspješna, zahtjev se ponavlja PDC emulator. Ako je račun uspješno autentificiran odmah nakon neuspješnog pokušaja, PDC emulator obavještava se i brojač se resetuje neuspjeli pokusaji na nulu. Važno je napomenuti da u slučaju nedostupnosti PDC emulator informacije o promjeni lozinke i dalje će se širiti po cijeloj domeni, samo će se to dešavati malo sporije.
Editor grupnih politika se podrazumevano povezuje sa serverom PDC emulator, a na njemu se dešavaju promjene politike. Ako PDC emulator nije dostupan, morat ćete reći uređivaču na koji kontroler domene da se poveže.
Podrazumevano jeste PDC emulator je server tačnog vremena u domeni za klijente. PDC emulator root domena u šumi je zadani vremenski server za PDC emulator u podređenim domenima.
Promjene prostora imena Distributed File System (DFS), unose se na kontroler domene sa ulogom PDC emulator. Root serveri DFS periodično zahtijevaju ažurirane metapodatke od njega, pohranjujući ih u svoju memoriju. Nedostupnost PDC emulator može dovesti do nepravilnog rada DFS.
IN Aktivni direktorij Postoje takozvani „ugrađeni sigurnosni učesnici“ ( Dobro poznati principi bezbednosti). Primjeri uključuju račune Svi, Autentificirani korisnici, Sistem, Ja I Kreator Vlasnik. Svima njima upravlja kontrolor domene sa ulogom PDC emulator. Tačnije, sa promjenama u AD PDC emulator provjerava i ažurira sadržaj kontejnera “ CN=Poznati principi sigurnosti, CN=Konfiguracija, DC= >”.

U svakom šumskom domenu Aktivni direktorij postoji vlasnik deskriptora administrativne sigurnosti - AdminSDHolder. Pohranjuje informacije o sigurnosnim postavkama za takozvane zaštićene grupe ( zaštićene grupe). U određenim intervalima, ovaj mehanizam traži listu svih članova ovih grupa i dodeljuje im prava u skladu sa svojom listom kontrole pristupa. Dakle AdminSDHolderŠtiti administrativne grupe od promjena. Izvedeno AdminSDHolder na kontroleru domene s ulogom PDC emulator.

To je vjerovatno sve. Nadam se da sam uspeo malo da razjasnim situaciju sa ulogama FSMO. I sljedeći put ćemo pogledati opcije za prijenos uloga na drugi kontroler domene, kao i prisilno dodjeljivanje (oduzimanje) uloge ako je domenski kontroler koji to obavlja nedostupan.

Usluga Microsoft Windows Active Directory direktorija je centralno spremište za sve objekte preduzeća i njihove odgovarajuće atribute. Ova baza podataka ima hijerarhijsku strukturu, sposobna je podržati više glavnih čvorova i pohraniti milijune objekata. Podrška za više mastera omogućava da se promene baze podataka izvrše sa bilo kog kontrolera domena unutar preduzeća, bez obzira na status njegove mrežne povezanosti.

Windows 2000 Multiple Master Support Model

Multi-master baza podataka (kao što je Active Directory) prihvata promene sa bilo kog kontrolera domena unutar preduzeća, potencijalno izazivajući sukobe kada se podaci repliciraju na druge računare. Jedna od metoda za eliminisanje konfliktnih ažuriranja u Windowsu 2000 je algoritam "posljednji napisan-prvi" koji prihvata vrijednost podataka iz kontrolera domene koji je posljednji modificiran i odbacuje vrijednosti na preostalim kontrolerima domene. Međutim, neki sukobi su toliko složeni da se ne mogu riješiti na ovaj način. Lakše ih je spriječiti nego eliminirati nakon činjenice.

Nekim tipovima promjena u Windows 2000 se rukuje korištenjem metoda koje sprječavaju sukobe ažuriranja Active Directory.

Windows 2000 Single Master Support Model

Kako bi spriječio pojavljivanje konfliktnih ažuriranja, Active Directory izvršava ažuriranja na određenim objektima koristeći model s jednim glavnim. Prema ovom modelu, samo jedan kontroler domene u cijelom direktoriju ima pravo na ažuriranje. Ovaj proces slično ulozi koja je dodijeljena primarnom kontroleru domene (PDC) na početku Windows verzije(na primjer, u Microsoft Windows NT 3.51 i 4.0), gdje je PDC odgovoran za obradu svih ažuriranja u određenom domenu.

Windows 2000 Active Directory proširuje model jednog gospodara koji se koristio u ranijim verzijama Windowsa kako bi uključio podršku za više uloga i mogućnost delegiranja uloga na druge kontrolere unutar poduzeća. Budući da uloga Active Directory nije striktno vezana za jedan kontroler domene, naziva se uloga fleksibilne jedne glavne operacije (FSMO). Postoji pet FSMO uloga u Windows 2000:

gospodar kola

master imenovanja domena

vlasnik RID

PDC emulator

infrastrukturni demon

FSMO uloga “Majstor šeme”

Kontroler domene, koji djeluje kao master sheme, odgovoran je za ažuriranje sheme direktorija (tj. konteksta imenovanja sheme ili LDAP://cn=schema,cn=configuration,dc= ). Samo ovaj kontroler domene može napraviti promjene u šemi direktorija. Nakon što je shema ažurirana, ona se replicira sa mastera sheme na druge kontrolere domene u direktoriju. U direktoriju može postojati samo jedan master sheme.

FSMO uloga “Master imenovanja domena”

Kontroler domene, koji djeluje kao master imenovanja domene, odgovoran je za promjenu imenskog prostora imenika domene unutar šume (tj. particije\konfiguracijski kontekst imenovanja ili LDAP://CN=Partitions, CN=configuration, DC= ). Samo ovaj kontroler ima pravo uklanjanja i dodavanja domena u direktorij. Osim toga, dodaje i uklanja unakrsne reference na domene u vanjskim direktorijima.

FSMO uloga “RID Master”

Kontroler domene, koji djeluje kao RID master, odgovoran je za obradu zahtjeva RID spremišta od drugih kontrolera unutar određene domene i uklanjanje objekata iz domene i njihovo postavljanje u drugu domenu.

Kada kontroler domene kreira primarni objekt sigurnosti (kao što je korisnik ili grupa), on mu dodjeljuje sigurnosni identifikator (SID). Ovaj identifikator se sastoji od domenskog SID-a (jedinstvenog za sve sigurnosne identifikatore kreirane u istoj domeni) i relativnog identifikatora (RID) (jedinstvenog za svakog sigurnosnog principala kreiranog u istoj domeni).

Svaki Windows 2000 kontroler domene u domeni ima skup relativnih identifikatora (RID) koje može dodijeliti sigurnosnim principalima koje kreira. Kada broj RID-ova u grupi kontrolera domene padne ispod praga, on zahtijeva nove ID-ove od RID mastera. RID master preuzima identifikatore iz nedodijeljenog spremišta domene i dodjeljuje ih spremištu kontrolera domene koji je tražio. Postoji samo jedan RID master u svakoj domeni direktorija.

FSMO uloga "PDC emulator"

PDC emulator je neophodan za vremensku sinhronizaciju u celom preduzeću. Windows 2000 uključuje vremensku uslugu W32Time (Windows Time) koju koristi Kerberos protokol za autentifikaciju. Svi kompjuteri su ispod Windows kontrola 2000 u okviru jednog preduzeća koristi ukupno vrijeme. Da bi se osigurala ispravna vremenska sinhronizacija, Windows Time usluga mora koristiti hijerarhijsku strukturu odnosa koja kontrolira dozvole i sprječava petlje u upravljanju.

PDC emulator domene djeluje kao glavni emulator domene. PDC emulator u korijenu šume postaje glavni emulator unutar poduzeća. Trebalo bi biti konfigurirano da prima vrijednost vremena iz internog izvora. Nosioci uloge PDC emulatora FSMO slijede hijerarhiju domene kada biraju izvor vremena.

U Windows 2000 domeni, nosilac uloge PDC emulatora zadržava sljedeće funkcije: Promjene lozinke koje su izvršili drugi kontroleri domene prvo se repliciraju na PDC emulator.

Promjene lozinke koje su izvršili drugi kontroleri domene prvo se repliciraju na PDC emulator.

Prije nego što korisnik primi odgovarajuću poruku o grešci, poruke o neuspjehu autentifikacije na određenom kontroleru domene uzrokovane neispravnom lozinkom šalju se PDC emulatoru.

Slučajevi blokiranja naloga se obrađuju na PDC emulatoru.

PDC emulator obavlja sve funkcije emulatora PDC servera za Microsoft Windows NT 4.0, prethodne verzije emulatori uključeni Windows baziran NT 4.0 ili stariji klijenti.

Nema potrebe za korištenjem ovog dijela uloge PDC emulatora ako su sve radne stanice, serveri i kontroleri domena koji koriste Windows NT 4.0 ili stariji nadograđeni na Windows 2000. PDC emulator obavlja sve iste funkcije kao u Windows 2000 okruženju.

Sljedeće opisuje promjene koje se dešavaju tokom procesa nadogradnje: Windows 2000 klijenti (radne stanice, serveri) i stariji klijenti koji imaju instaliran Distributed Services Client Pack ne daju prednost kontroleru domene prilikom upisivanja u direktorij (kao što su promjene lozinke), koji je sebe proglasio PDC-om i za to koristi bilo koji kontroler domene.

Nakon nadogradnje na Windows 2000, rezervni kontroleri (BDC) u domenima niži nivo PDC emulator prestaje primati zahtjeve za replikaciju s niže razine.

Windows 2000 klijenti (radne stanice, serveri) i stariji klijenti koji imaju instaliran Distributed Services Client Pack koriste Active Directory za lociranje mrežnih resursa. Ne zahtevaju uslugu Windows NT pretraživača.

Uloga FSMO "Infrastruktura"

Referenca na objekt iz jedne domene unutar objekta iz druge domene određena je GUID-om, SID-om (za principale sigurnosti) i razlikovnim imenom (DN) objekta. Kontroler domene, koji djeluje kao infrastrukturni master, odgovoran je za ažuriranje sigurnosnih identifikatora i razlikovnih imena objekata u referencama objekata na više domena.

Bilješka.

Ulogu Infrastructure Master (IM) ne bi trebao držati kontrolor domene koji je poslužitelj globalnog kataloga. Inače, master infrastrukture neće ažurirati informacije o objektu jer ne sadrži reference na objekte koje ne pohranjuje. Razlog za ovakvo ponašanje je taj što poslužitelj globalnog kataloga održava djelomične replike svih objekata u šumi. Kao rezultat toga, veze između objekata između domena u ovoj domeni neće biti ažurirane, a odgovarajuće upozorenje će se pojaviti u dnevniku događaja ovog kontrolera domene.

Ako kontroleri u jednoj domeni također pohranjuju globalni katalog, svi kontroleri domene će imati najnovije informacije, bez obzira koji kontroler domene ima ulogu glavnog infrastrukturnog upravljanja.

Nema sličnih postova...

Prebacujemo FSMO. Cilj našeg događaja je prebaciti FSMO sa jednog domenskog kontrolera na drugi. Za svaki slučaj, razmotrit ću nekoliko načina za prijenos uloga, uključujući slučaj kada je trenutni vlasnik FSMO-a nedostupan.

Prvo, malo teorije:
FSMO (Fleksibilne single-master operacije - “operacije s jednim izvršiocem”) – vrste koje izvode kontrolori domain Active Operacije direktorija koje zahtijevaju obaveznu jedinstvenost poslužitelja koji ih izvodi.

Odnosno, svi kontroleri domena su jednaki, ali je jedan (ili nekoliko) jednakiji od drugih, utoliko što te iste operacije obavljaju sa jednim izvršiocem. U zavisnosti od tipa operacije, FSMO jedinstvenost se podrazumeva ili unutar šume domena ili domena.

Ukupno, mala-soft korporacija nam je dala 5 uloga:

Vlasnik sheme (Schema master) je jedan poslužitelj sa ovom ulogom za cijelu šumu. Uloga je potrebna za proširenje šeme šume Aktivne Direktorij, ova operacija se obično izvodi naredbom adprep /forestprep

Vlasnik imena domena (Domain naming master) je jedan za cijelu šumu. Server s ovom ulogom mora osigurati jedinstvena imena za sve kreirane domene i particije aplikacije u AD šumi.

Vlasnik relativnih identifikatora (PDC emulator) je jedan server po domeni. Obavlja nekoliko funkcija: je glavni pretraživač u Windows mreža, prati zaključavanje korisnika kada su lozinke unesene pogrešno, glavni je NTP server u domeni, dizajniran da podrži klijente sa operativnim sistemima prije Windows 2000.

Emulator glavnog domenskog kontrolera (Infrastructure Master) - jedan server po domeni. Poslužitelj s ovom ulogom je neophodan da uspješno izvrši naredbu adprep /domainprep. Odgovoran za ažuriranje sigurnosnih identifikatora (GUID-ova, SID-ova) i razlikovnih imena objekata u referencama objekata na više domena.

Vlasnik infrastrukture domene (RID Master) - jedan server po domeni. Server distribuira RID-ove (500 svaki) drugim kontrolerima domena kako bi kreirali jedinstvene SID-ove.

Da biste upravljali ulogom glavnog šeme, morate biti u grupi „Administratori sheme“.
Da biste upravljali glavnom ulogom za imenovanje domena, morate biti član Enterprise administratorske grupe.
Da biste upravljali ulogama PDC emulatora, Infrastructure Master i RID Master, morate imati prava administratora domene.

Potreba za prijenosom uloga može se pojaviti iz različitih razloga, uključujući velike mreže ove uloge mogu obavljati različiti serveri, iako u našem slučaju sve uloge obavlja jedan server. Važno je da se svaka uloga izvršava u vašoj domeni; ako bilo koja uloga nije dodijeljena nekom serveru, onda vas može čekati mnoga neugodna iznenađenja, kako odmah tako i tokom dužeg vremenskog perioda, ovisno o AD strukturi.

Kada kreirate domenu, po defaultu su sve uloge dodijeljene prvom kontroleru domene u šumi. Promjena uloge je rijetko potrebna. Microsoft preporučuje korištenje FSMO prijenosa uloga u sljedećim slučajevima:

Planirani downgrade kontrolera domena koji ima FSMO uloge, na primjer, radi dekomisije servera (to je upravo moj slučaj);

Privremeno onemogućavanje kontrolera domene, na primjer za obavljanje preventivni rad. Ovo je posebno važno kada se deaktivira PDC emulator. Privremeno onemogućavanje drugih mastera operacija ima manji utjecaj na AD operacije.

Hvatanje FSMO uloga će se morati obaviti u sljedećim slučajevima:

Ako trenutni nosilac FSMO uloge doživi poremećaj koji sprečava uspješno obavljanje funkcija povezanih s ulogom i sprječava prijenos uloge;

Na kontroleru domena koji je imao FSMO ulogu, operativni sistem je ponovo instaliran ili se nije pokrenuo;

Kontroler domene koji je imao FSMO ulogu je prisilno degradiran pomoću naredbe dcpromo /forceremoval.

Dakle, prva stvar koju trebamo je da saznamo koji server je domaćin FSMO-a. Najlakši način da to učinite je korištenje uslužnog programa netdom. Upisivanjem u konzolu:

> netdom upit fsmo

Dobit ćemo listu svih pet uloga sa FQDN-om vlasnika. Možete koristiti isti uslužni program nakon prijenosa uloga kako biste osigurali uspjeh operacije.

Sada možete nastaviti direktno na prijenos FSMO:

Prva metoda je najjednostavnija i meni se najviše sviđa - prijenos FSMO uloga pomoću uslužnog programa ntdsutil:

ntdsutil.exe je uslužni program komandne linije dizajniran za održavanje direktorija Active Directory. Pruža mnoge mogućnosti upravljanja AD, uključujući prijenos i preuzimanje FSMO uloga.
Da biste prenijeli uloge, idite na bilo koji kontrolor domena (ovo ne mora biti trenutni ili budući vlasnik FSMO-a), koji se nalazi u šumi u koju bi uloge trebale biti prenijete. Preporučuje se da se prijavite na kontroler domene kojem su dodijeljene FSMO uloge. Pokrenite konzolu i unesite:
>ntdsutil
Nakon toga se uslužni program pokreće u interaktivnom načinu rada i može prihvatiti komande. Naša prva komanda ukazuje da želimo da radimo sa FSMO
>uloge
Kao odgovor, prompt će se promijeniti u fsmo održavanje: Zatim da biste pozvali vezu „meni“, unesite
>veze
I prompt se mijenja na serverske veze: Sada možemo odrediti na koji server želimo da se povežemo (<Имя_сервера>- naziv kontrolora domena na koji želite da prenesete FSMO ulogu.)
>povezivanje na server<Имя_сервера>
da biste izašli iz menija veze, unesite
>q
i pritisnite Enter. Sada, nakon što smo ponovo primili fsmo održavanje: možemo početi s prijenosom uloga. Komanda prijenosa je dizajnirana za ovo:
>transfer<имя_роли>
As<имя_роли>morate navesti ulogu koju želite prenijeti:

naming master - prenos uloge vlasnika naziva domena;

gospodar infrastrukture - prijenos uloge gospodara infrastrukture;

RID master - prijenos uloge RID mastera;

schema master - prijenos uloge mastera sheme;

PDC - prijenos uloge PDC emulatora.

U verzijama Windowsa prije Windows Servera 2008R2, master imenovanja domena naziva se master imenovanja domena. Kao što je uobičajeno u Windows sistemima, velika i mala slova nisu bitna.

Nakon unosa svake naredbe za prijenos, pojavljuje se dijaloški okvir u kojem se traži potvrda (potvrdu možete tražiti i u konzoli, inače se ispostavi da "nije u konzoli"), svaki put kliknite na "OK", osim ako, naravno, niste upisali sve prethodne komande slučajno. :)
Da biste isključili Ntdsutil, unesite naredbu q i pritisnite Enter.

Forsiranje fsmo uloga koristeći Ntdsutil

Ali šta da radimo ako je vlasnik uloge nedostupan, oštećen i nema nade da ćemo je vratiti u službu u bliskoj budućnosti? I ovdje će nam opet pomoći ntdsutil.exe:
Prisilna dodjela (oduzimanje) uloga vrši se samo u slučaju potpunog kvara servera, uz nemogućnost njegovog oporavka. Ako je moguće, bolje je vratiti funkcionalnost neuspjelog FSMO hosta. Sama procedura hvatanja je slična onoj gore opisanoj. Idemo na kontroler domene na koji želimo da prenesemo uloge i radimo isto kao što je napisano u prethodnom pasusu unosom:
>ntdsutil
>uloge
>veze
>povezivanje na server<имя_сервера>
>q
Jedina razlika je u tome što se umjesto naredbe prijenosa koristi naredba za prisilno preuzimanje uloge uhvatiti
>seize<имя_роли>
Gdje<имя_роли>kao prije

naziv master - master imena domena (pre Windows Server 2008R2 - master imenovanja domena);

master infrastrukture - master infrastrukture;

rid master - vlasnik RID-a;

schema master - master sheme;

pdc - PDC emulator.

Ne zaboravite da pokušate prenijeti ulogu koristeći naredbu transfer prije preuzimanja uloge i koristite seize samo ako ne uspije.

Ako je moguće, nemojte dodijeliti ulogu Infrastructure Master kontroloru domene koji je poslužitelj globalnog kataloga jer neće ažurirati informacije o objektu. Razlog za ovakvo ponašanje je taj što poslužitelj globalnog kataloga održava djelomične replike svih objekata u šumi.

Ni pod kojim okolnostima ne biste se trebali vratiti na servis kontroleru domene koji je prethodno obavljao FSMO uloge ako su uloge koje je obavljao zaplijenjene naredbom seize jer kada se pojavi na mreži, doći će do sukoba, što može dovesti do velikih problema. Mora se ukloniti iz Active Directory. U operativnom sistemu Windows Server 2008 i starijim, ovo se može uraditi jednostavnim brisanjem serverskog objekta u dodatku Active Directory Korisnici i računari, a u Windows Server 2003 pomoću programa Ntdsutil pomoću komande ntdsutil - metadata cleanup.

Druga opcija je Dobrovoljni prijenos FSMO uloga korištenjem Active Directory upravljačkih snap-ova, čudno i nezgodno, ali ovo je samo moje subjektivno mišljenje, sama metoda odlično funkcionira.

Možete prenijeti uloge na nivou domene (RID Master, PDC Emulator i Infrastructure Master) pomoću dodatka Active Directory Users and Computers. Da biste to učinili, idite na kontroler domene na koji želimo prenijeti uloge, pokrenite snap-in i kliknite desni ključ miša na željenoj domeni, odaberite “Operation Masters”.

U prozoru koji se otvori odaberite ulogu koja nam je potrebna i kliknite na dugme "Promijeni". Zatim potvrđujemo prijenos uloge i gledamo rezultat. Ime vlasnika operacije treba promijeniti u ime trenutnog servera.

Da biste migrirali ulogu Domain Naming Master, trebat će vam dodatak Active Directory Domains and Trust. Pokrećemo snap-in, ako je potrebno, povezujemo se sa željenim kontrolerom domene, desnom tipkom miša kliknemo na korijen snap-ina i odabiremo stavku izbornika "Operations Master".

Otvara se prozor u kojem morate kliknuti na dugme „Promeni“ i zatim potvrditi promene na isti način kao u prethodnom slučaju.

Da biste prenijeli ulogu Schema Master, morat ćete izvesti nešto složenije manipulacije. Prvo morate registrirati biblioteku upravljanja shemama Active Directory u sistemu. Ovo se može uraditi sa timom
> regsvr32 schmmgmt.dll

Zatim otvorite MMC konzolu i dodajte joj dodatak Active Directory Schema.

Sada možete ući u dodatak i promijeniti vlasnika uloge Schema Master, kao u prethodnim primjerima, desnim klikom na shemu i odabirom “Operations Master...”.

Ura! Sve uloge su prebačene. Još jednom, nikada ne napuštajte svoju domenu bez dodijeljenih FSMO mastera uloga. Nikad! :)

Nazad

Komentari

Novi članci:

Otkrivanje mreže se ne uključuje u Windows 7/8/2008/2012
Suština problema je u tome što se korisnikov Windows 7 sistem ne uključuje otkrivanje mreže u mrežnim postavkama. Tačnije, pali se, ali ako ga zatvorite i...

Greška: Ova aplikacija nije uspjela da se pokrene jer nije mogla pronaći ili učitati dodatak Qt platforme "windows".
Dakle, nakon instalacije direktnim kopiranjem aplikacije napisane na C++ koristeći Qt biblioteku, dobijamo sljedeću grešku: Ova aplikacija nije uspjela da se pokrene...

hb860 25. novembar 2011. u 14:02
Sve što ste željeli znati o majstorima operacija, ali ste se bojali pitati

Administracija sistema

Većina sistemskih administratora u svom korporativno okruženje Da bi obezbedila sistem za identifikaciju i pristup svojih korisnika resursima, preduzeća koriste domen Aktivne usluge Imenik, koji se sa sigurnošću može nazvati srcem cjelokupne poslovne infrastrukture. Kao što mnogi od vas znaju, struktura domenskih usluga u organizacijama može uključivati ili jednu ili više šuma (skup domena koji uključuje opis mrežne konfiguracije i jednu instancu direktorija), ovisno o faktorima kao što su ograničenja opsega odnose poverenja, potpuno odvajanje mrežnih podataka, dobijanje administrativne izolacije. Zauzvrat, svaka velika šuma treba biti podijeljena na domene kako bi se pojednostavila administracija i replikacija podataka. U svakoj domeni za upravljanje uslugama domene i obavljanje zadataka kao što su autentifikacija, pokretanje servisa "Kerberos Key Distribution Center" a kontrola pristupa koristi kontrolere domena. I za kontrolu mrežni promet Web stranice se razvijaju između ureda.
Sve informacije o šumama, domenima i lokacijama, naravno, moraju biti koordinirane tokom dizajniranja domenskih usluga Active Directory, u skladu sa takvim korporativnim zahtjevima kao što su: poslovni zahtjevi, funkcionalni zahtjevi, pravni, sigurnosni zahtjevi, kao i ograničenja dizajna u dokumentaciji . Često se sve ove tačke prije implementacije domenskih usluga pažljivo isplaniraju od strane IT odjela same kompanije ili projektnog tima uključenog u infrastrukturu preduzeća i upisuju se u poseban ugovor o nivou usluge koji određuje očekivani nivo performansi i kvaliteta usluge. pružena usluga.
Informacije dobijene nakon dizajna ili, češće, nakon implementacije Active Directory domenskih usluga treba pažljivo dokumentovati. Takva dokumentacija bi trebala uključivati informacije o logičkoj i fizičkoj strukturi samih usluga domene, administrativnim modelima, infrastrukturi za razlučivanje imena, svim planiranim promjenama u okruženju organizacije, kao i dodatne komponente infrastrukture kao što je implementacija servera za poštu Microsoft Exchange, System Center serveri i još mnogo toga. U većini slučajeva, IT osoblje organizacije ignoriše proces dokumentacije i kada se menja IT osoblje, može biti potrebno neko vreme da novi administratori u potpunosti razumeju trenutnu infrastrukturu organizacije.
Također morate razumjeti da su u servisu direktorija gotovo svi kontrolori domena jednaki (u ovom kontekstu ne uzimamo u obzir kontrolere domene samo za čitanje, RODC), odnosno svi kontrolori domena imaju pravo upisivanja u bazu podataka i može replicirati ove podatke na druge kontrolore. Ova topologija savršeno upravlja većinom trivijalnih Active Directory operacija i zove se multi-peer replikacija(Multimaster). Ali, ipak, postoje neke operacije koje se moraju izvesti na ovlaštenom serveru posebno određenom za takve operacije. Drugim riječima, kontroleri domena koji izvode određene operacije ili uloge u svojoj domeni nazivaju se glavnim operacijama (ili masters). Neophodno je poznavati i razumjeti svrhu svih uloga gospodara operacija, jer u slučaju oporavak od katastrofe, nadogradnje ili migracije, kontroleri domena koji djeluju kao gospodari operacija mogu igrati jednu od najvažnijih uloga. U skladu s tim, u ovom članku će biti riječi o majstorima operacija.
Iz ovog članka ćete naučiti:
O tome šta bi se dogodilo da nema majstora operacija;

O ulogama gospodara operacija na nivou šuma;

O ulogama gospodara operacija na nivou domena;

Kako odrediti koji kontroler ima FSMO ulogu;

O oduzimanju i prenosu uloga rukovodilaca operacija;

O ispravnom postavljanju mastera operacija na kontrolerima domena.

Šta neće biti razmatrano u ovom članku:
Planirajte i dokumentirajte kontrolere domena s ulogama glavnog operatera. Ovo je posebna tema koja uključuje razumijevanje nijansi planiranja za Active Directory domenske usluge i izvan je okvira ovog članka;

Globalni kataloški serveri. Mnogi sistemski administratori izjednačavaju globalne kataloške servere sa ulogama glavnih operacija. U stvari, ovo je lažna tvrdnja. Globalni katalog je distribuirano spremište podataka koje pohranjuje informacije o svakom objektu i omogućava korisnicima i aplikacijama da pronađu objekte u bilo kojoj domeni trenutne šume tražeći atribute uključene u globalni katalog, koji su identificirani u shemi kao privatni skup atributi. Sam globalni katalog se nalazi na kontrolerima domena koji su označeni kao serveri globalnog kataloga i zauzvrat se replicira kroz Multimaster replikaciju. Iako globalni katalog sadrži puna lista od svih objekata u šumi, a serveri globalnog kataloga mogu odgovoriti na sve zahtjeve bez potrebe da upućuju na druge kontrolere domene, globalni katalog nije uloga gospodara operacija. Možete pročitati sljedeći članak o serverima globalnog kataloga: “Serveri globalnog kataloga”;

Kako čarobnjaci za operacije komuniciraju sa kontrolerima domena samo za čitanje. Kontrolori domena samo za čitanje su relativno posebni novi tip kontrolere domena, koje je preporučljivo postaviti u ogranke organizacije koje nemaju adekvatan nivo sigurnosti i kvalifikovano IT osoblje. Kao i kod mastera operacija planiranja i servera globalnog kataloga, kontroleri domena samo za čitanje su sama po sebi velika tema koju nema smisla obrađivati u ovom članku. Ali vrijedi odmah obratiti pažnju na činjenicu da kontroleri domene samo za čitanje ne mogu djelovati kao kontrolor domene s ulogom gospodara operacija;

Rješavanje problema i grešaka u vezi sa čarobnjacima za rad. Zanimljiva i prilično obimna tema o kojoj se neće raspravljati zbog činjenice da se u ovom članku raspravlja o općim konceptima uloga majstora operacija.

Šta bi se dogodilo da nema majstora operacija?
Pre nego što zamislimo situaciju sa Active Directory kontrolerima domena, gde ne bi bilo razlike između kontrolera domena koji obavljaju određene operacije i drugih kontrolera domena, razmotrimo prednosti kontrolera domena opremljenih ulogama mastera operacija.
Prije svega, kao što je već rečeno u uvodnom dijelu ovog članka, majstori operacija Kontrolori domena se nazivaju kontroleri domena koji obavljaju posebnu ulogu u Active Directory-u dizajniranu da garantuju integritet i izbegavaju konflikte. Upravo u tu svrhu je ovakvim kontrolerima domena dodijeljena posebna uloga, a zbog činjenice da takve uloge nisu striktno vezane za jedan kontroler domene, takve uloge se nazivaju Fleksibilna Single Master Operation (FSMO, izgovara se fizz-mo) . Zapravo, ove uloge mogu obavljati drugi kontroleri domene, ali svaka uloga mora biti dodijeljena samo jednom kontroleru domene, a radnje koje se moraju izvoditi na glavnim kontrolerima domena operacija ne mogu se izvoditi u istoj domeni u isto vrijeme.
Mislim da će biti korisno znati koje protokole koriste majstori operacija. Operativni majstori koriste tri protokola:
Lightweight Directory Access Protocol (LDAP);

SMTP.

Hajdemo sada da zamislimo šta bi se dogodilo da nema čarobnjaka za operacije u domenskim uslugama Active Directory, odnosno kada bi svi kontroleri domena mogli da obavljaju iste radnje u isto vreme.
Recimo da imate organizaciju sa jednom šumom i pet domena. U svakom od domena, administratori sistema odlučili su da istovremeno instaliraju e-poštu Microsoft server Exchange, štaviše, u jednom domenu administrator instalira 2007 verziju ovog mail servera, u drugom - 2000, au trećem Microsoft Exchange Server 2010 SP1. Sve promjene u šemi domena i, shodno tome, čitava šuma se upisuju u kontroler domene na koji su administratori povezani, a nakon nekog vremena, sve promjene napravljene na shemi Active Directory se repliciraju na svaki kontroler domena u šumi organizacije.
Ako neko želi da preimenuje svoju domenu koristeći sistemski uslužni program Rendom.exe na isti način kao što je druga domena već imenovana, a odgovarajuća FSMO uloga ne postoji u preduzeću, kada se pristupi, administrator će videti poruku upozorenja koja kaže: “ Šta to radiš? Takav domen već postoji, hoćete li da razbijete sve na svijetu?” i domena će biti preimenovana, nakon replikacije jednostavno bi bilo nemoguće izbjeći fatalne probleme.
Uzmimo još jedan primjer... Opet, nema majstora operacija u prirodi. Vrijeme na klijentskim mašinama može se izgubiti, korisnici mogu promijeniti svoje vrijeme kao slučajno, ali svi klijenti u domeni po defaultu moraju sinkronizirati vrijeme s najbližim kontrolerima domena. U ovom slučaju, ako ne postoji određeni kontroler domene, tzv. glavni izvor vremena, tada vrijeme svakog korisnika u cijeloj domeni može biti različito, što može biti kritično za neke poslovne aplikacije.
Zapravo, postoje beskrajni primjeri korporativne apokalipse zbog nedostatka gospodara operacija. Suština je da majstori operacija jednostavno moraju biti dostupni, moraju biti dostupni i moraju izvoditi samo one operacije koje su im namijenjene.
Ukupno Active Directory Domain Services uključuje pet različitih uloga master operacija, odnosno dvije uloge se koriste na nivou šume: čarobnjak za imenovanje domena I master kolaŠtaviše, u svakoj šumi ne može biti više od jednog kontrolera domena, sa dodjelom za svaku ulogu. U svakoj domeni postoje samo tri uloge gospodara operacija: relativni RID čarobnjak, master infrastrukture, i Emulator PDC kontrolera glavnog domena. To jest, kada instalirate prvi kontroler domene u šumi, svih pet uloga mastera operacija mu se istovremeno dodeljuje, a kada kreirate novu Active Directory domenu u postojećoj šumi, novom kontroleru domena se dodeljuju tri nivoa domena. uloge. FSMO u šumi i broj potencijalnih vlasnika ovih uloga može se izračunati pomoću formule “(broj domena * 3) + 2”.
Na primjer, ako imate šumu Active Directory sa četiri domene, gdje jedna od primarnih domena ima podređenu i podređenu domenu, tada će takva šuma sadržavati 14 FSMO uloga. To je: jedan master sheme, jedan master imenovanja domena, četiri PDC emulatora (jedna uloga za dvije primarne domene, dijete i unuke), četiri RID mastera za svaku domenu i četiri mastera infrastrukture za svaki domen.
U ovom trenutku, mislim da je vrijeme da pogledamo svaku glavnu ulogu operacija na nivou šume i domene.
Glavne uloge u operacijama na nivou šuma
Kao što sam gore napisao, za nivo šume Active Directory postoje dvije uloge gospodara operacija, i to:
Schema Master;

Čarobnjak za imenovanje domena

Glavna uloga sheme
Prije nego što kažem nekoliko riječi o ulozi majstora kola, mislim da ima smisla reći vam ukratko šta je tačno "Shema aktivnog imenika".
– Vidite li gophera?
- Ne.
- I ne vidim. I jeste!
K.F. "DMB"

Za mnoge administratore početnike, šema Active Directory može biti povezana s gornjim izrazom iz poznatog filma. Čini se da postoji nešto poput dijagrama, ali niko ne zna čemu služi, šta je i šta je uopšte, i ne žuri da sazna za to.
U terminologiji, shema sadrži definicije svakog atributa i klase koji su kreirani i pohranjeni u šumi Active Directory. Mislim da teško da će ikome biti vijest da Active Directory Domain Services također pohranjuje pravo vrijeme ekstrakt potrebne informacije mnoge poslovne aplikacije. Ovo se radi tako da, ako je potrebno, aplikacije ne pristupaju raznim komponentama infrastrukture preduzeća, već domenskim uslugama Active Directory, informacije o kojima će se replicirati na sve kontrolere domena. Vrijedi napomenuti da u svakoj šumi Active Directory postoji samo jedna šema koja se može replicirati na svaki kontroler domene u šumi. Stoga, ako vaša organizacija treba da implementira više aplikacija koje bi mogle stvoriti sukobe u shemi Active Directory, ima smisla implementirati i održavati dvije odvojene šume.
Sama shema se sastoji od classSchema i attributeSchema objekata, koji se postavljaju u upit kada je traženi objekt definiran u domenskim uslugama. Same klase predstavljaju određene definicije koje se nalaze u šemi, koje, zauzvrat, definiraju grupe atributa. Jedna stvar koju treba zapamtiti je da svaka klasa može koristiti više atributa. Konačno, za svaki atribut koji se nalazi u domenskim uslugama Active Directory, shema navodi tip podataka kao sintaksu samog atributa. I, naravno, vrijednost svakog atributa uključenog u instancu klase mora biti u skladu sa zahtjevima sintakse trenutnog atributa.
Budući da je detaljna rasprava o šemi Active Directory izvan okvira ovog članka, mislim da je gore opisana definicija više nego dovoljna. Više detalja o shemi Active Directory bit će razmotreno u jednom od sljedećih članaka. Pogledajmo sada koja je uloga majstora šeme.
Kontroler domene, koji je master sheme, odgovoran je za sve promjene koje se vrše u šemi šume Active Directory. Mora se imati na umu da kontroler domene odgovoran za ovu ulogu mora biti jedini u cijeloj šumi, a svi ostali kontroleri domene će sadržavati samo replike šumske šeme samo za čitanje. To jest, kada pravite bilo kakve ručne promjene u šemi Active Directory ili instalirate aplikacije koje mijenjaju shemu, administrator mora izvršiti promjene na kontroleru domene koji upravlja ulogom. Da bi izvršio promjene, administrator se mora povezati s masterom sheme i mora biti član sigurnosne grupe "Administratori šeme". Jednom kada se shema ažurira, ona se replicira sa mastera sheme na sve ostale kontrolere domene. Ako pokušate izmijeniti shemu na kontroleru domene koji nije master sheme, radnja obično neće uspjeti i morat ćete proslijediti promjene masteru sheme nakon što izvršite promjene u shemi. U skladu s tim, ova uloga je kritično važna, jer ako pokušate izmijeniti shemu Active Directory s onemogućenim masterom sheme, stalno ćete nailaziti na greške. Zauzvrat, uloga master sheme može se nalaziti na bilo kojem kontroleru domene u šumi određenoj za ovu svrhu.
Po defaultu, uloga Schema Master je dodijeljena prvom kontroleru domene koji je instaliran u šumi i preporučuje se da se ova uloga postavi zajedno sa ulogom Domain Naming Master, o kojoj će biti riječi u nastavku, na istom kontroleru domene. Unatoč preporukama, ovu ulogu možete premjestiti na bilo koji kontroler domene u bilo kojem trenutku pomoću dodatka "Shema aktivnog imenika" ili preko uslužnog programa komandne linije Ntdsutil. Također ćete naučiti o prijenosu uloga na druge kontrolere domene u ovom članku. Master sheme se identificira po vrijednosti atributa fSMORoleOwner osnovni objekat sekcije šeme.
Uloga majstora imenovanja domena

Sljedeća uloga koju treba pokriti zove se Master imenovanja domena. Ova glavna uloga operacija, i stoga jedini kontroler domene u šumi koji može sadržavati ovu ulogu, prvenstveno se koristi za dodavanje i uklanjanje domena i svih particija direktorija u hijerarhiji šume. Kontroler domene, koji ima ulogu Domain Naming Master, dizajniran je za obavljanje sljedeće četiri operacije:
Dodavanje i uklanjanje domena. Prilikom obavljanja operacije kao što je dodavanje ili brisanje podređene domene pomoću čarobnjaka za instalaciju Active Directory ili uslužnog programa za komandnu liniju, čarobnjak za instalaciju kontaktira Čarobnjak za imenovanje domena i traži pravo da doda ili, shodno tome, izbriše potonjeg. Master imenovanja domena je također odgovoran za osiguravanje da domeni u šumi imaju jedinstvena NETBIOS imena u cijeloj šumi. Naravno, iz očiglednih razloga, ako Čarobnjak za imenovanje domena nije dostupan, nećete moći dodati ili ukloniti domene u šumi;

Dodavanje i uklanjanje unakrsnih referenci. Kao što već znate, kada kreirate prvi kontroler domene u šumi, u njemu se kreiraju šema, konfiguracija i particije direktorija domene. U ovom trenutku, za svaku particiju direktorija u kontejneru Particije konfiguracijskog odjeljka (CN=particije,CN=konfiguracija,DC=forestRootDomain) kreiran je objekt unakrsne reference (crossRef klasa). Objekt unakrsne reference specificira ime i lokaciju poslužitelja koji pohranjuju svaku particiju direktorija u šumi. Kada se kreira svaka sljedeća particija direktorija domene ili aplikacije, kreiranje objekta unakrsne reference se pokreće u spremniku Particije.

Dodavanje i uklanjanje particija direktorija aplikacija. Particije direktorija aplikacije su posebne particije koje možete kreirati na Windows Server 2003, Windows Server 2008 ili Windows Server 2008 R2 domenskim kontrolerima kako biste osigurali skladište za dinamičke podatke LDAP aplikacije. Ako vaša šuma radi za Windows nivo Server 2000, tada su u takvoj šumi svi podaci koji nisu u domeni ograničeni na podatke o konfiguraciji i šemi, koji se repliciraju na sve kontrolere domena u šumi. U šumi Windows Server 2003/2008 i 2008R2, particije direktorija aplikacije pružaju skladištenje podataka specifičnih za aplikaciju na kontroleru domene koji se mogu replicirati na bilo koji kontroler domene u šumi.

Potvrda instrukcija za preimenovanje domena. Posljednja radnja koju izvodi čarobnjak za imenovanje domena je potvrda instrukcija za preimenovanje domena. Obično se domene preimenuju pomoću posebnog uslužnog programa za naredbene linije. Dakle, kada koristite uslužni program Rendom.exe, koji je dizajniran za preimenovanje domena, da bi preimenovao domenu, uslužni program mora imati pristup čarobnjaku za imenovanje domena. Pored gore navedenih funkcija, Čarobnjak za imenovanje domena je također odgovoran za potvrđivanje instrukcija za preimenovanje domena. Kada pokrenete navedeni alat na kontroleru domene sa ulogom Čarobnjaka za imenovanje domena, XML skripta koja sadrži upute za preimenovanje domena upisuje se u atribut msDS-UpdateScript objekta spremnika Partitions (CN=partitions,CN=configuration,DC=forestRootDomain ) odjeljka Konfiguracijski direktorij. Vrijedno je zapamtiti da se kontejner Particije može ažurirati samo na kontroleru domene koji sadrži ulogu Domain Naming Master. Pored vrijednosti atributa msDS-UpdateScript, Rendom.exe upisuje novo DNS ime svake preimenovane domene u atribut msDS-DnsRootAlias objekta crossRef koji odgovara toj domeni. Opet, budući da je objekt unakrsnih referenci pohranjen u spremniku Partitrions, ovaj objekt se može ažurirati samo na kontroleru domene s ulogom Domain Naming Master. Promijenjeni podaci o atributima msDS-UpdateScript i msDS-DnsRootAlias repliciraju se na sve kontrolere domena u šumi.

Prema zadanim postavkama, uloga Domain Naming Master je dodijeljena prvom kontroleru domene u novoj šumi, ali ovu ulogu možete premjestiti u bilo kojem trenutku pomoću dodatka "Aktivni imenik - domene i povjerenje" ili uslužne programe komandne linije Ntdsutil.exe. Imajte na umu da je preporučljivo imati uloge Schema Master i Domain Naming Master na istom kontroleru domene. Kontroler domene kojem je dodijeljena uloga Domain Naming Master mora također biti poslužitelj globalnog kataloga. U suprotnom, neke operacije mogu propasti. Master sheme se identificira po vrijednosti atributa fSMORoleOwner u kontejneru Particije.
Kao i kod prethodnog čarobnjaka za radnje, ako pokušate izvršiti bilo koju od gore navedenih operacija kada čarobnjak za radnje nije dostupan, vaše radnje neće uspjeti. Ali pošto se sve ove radnje izvode skoro jednom u dužem vremenskom periodu, možete kritički otkriti da je Čarobnjak za imenovanje domena u neupotrebljivom stanju. važna tačka, pa povremeno provjeravajte dostupnost čarobnjaka za šumske operacije.
Glavne uloge operacija na nivou domene
Za razliku od nivoa šume, svaka domena Active Directory ima sljedeće tri glavne uloge:
Relativni RID čarobnjak

PDC Master Domain Controller Emulator

Infrastruktura Master

Pogledajmo pobliže svakog od ovih majstora operacija.
RID Master

Prvi čarobnjak za operacije na nivou domene opisan u ovom članku je čarobnjak za relativni identifikator (RID). RID Master se koristi za upravljanje skupom RID-ova za generiranje sigurnosnih identifikatora (SID-ova) za sigurnosne principe kao što su korisnici, grupe i računari i za premještanje objekata iz jedne domene u drugu. SID principala sigurnosti mora biti jedinstven za cijelu domenu, tako da je svakom principalu sigurnosti dodijeljen jedinstveni SID koji sadrži ID domene i relativni RID koji je jedinstven za svakog sigurnosnog principala. Svi SID-ovi sadrže četiri razni element. Na primjer, prema Microsoft dokumentaciji, elementi identifikatora S1-5-Y1-Y2-Y3-Y4 su dati u sljedećoj tabeli:
Tablica 1. Struktura elemenata identifikatora

Budući da principe sigurnosti može kreirati bilo koji kontroler domene, potreban je mehanizam koji osigurava da su SID-ovi generirani od strane kontrolera domene jedinstveni i stoga RID master osigurava da dva kontrolora domene ne dodijele isti RID. RID master svakom kontroleru u domeni dodeljuje blok relativnih RID-ova, koji se nazivaju RID bazen. Drugim riječima, RID Operations Wizard je odgovoran za održavanje skupa relativnih identifikatora za korištenje domenskih kontrolera u domeni i obezbjeđivanje grupa relativnih identifikatora za svaki kontroler domene. Kada se novi kontroler domene doda domeni, RID master tom kontroleru domene dodeljuje skup od 500 relativnih RID zahteva. Svaki put kada se novi principal sigurnosti kreira na kontroleru domene, kontroler domene dodjeljuje relativni ID iz svog spremišta kako bi dodijelio ID novom objektu. Kada broj relativnih RID-ova u ovom RID spremištu na bilo kojem kontroleru domene padne ispod 100, drugim riječima, približi se nuli, RID master zahtijeva drugi RID blok. Nakon završetka zahtjeva, RID master dodjeljuje drugi skup od 500 relativnih RID-ova kontroleru domene.
Da budemo još precizniji, RID master ne vodi evidenciju o brojevima bazena, već o uslugama najveća vrijednost posljednji odabrani raspon. Kada se primi novi zahtjev, vrijednost novog skupa se povećava za jedan i 499 novih vrijednosti. Dvije vrijednosti se zatim šalju traženom kontroleru domene da koristi nove relativne RID-ove. Ako je lokalni RID skup kontrolera domene prazan ili je RID master nedostupan neko vreme, proces kreiranja naloga na nekim kontrolerima domena može biti prekinut i ID događaja 16645 će biti zabeležen u evidenciji događaja tog kontrolera domena. Ovaj kod greške označava da je maksimalni identifikator račun onih dodijeljenih kontroloru domene i kontroler domene nije mogao dobiti novi skup identiteta od RID mastera. Isto tako, prilikom dodavanja novog objekta u domenu, generirat će se događaj ID 16650, što ukazuje da objekt nije mogao biti kreiran jer usluga direktorija nije mogla dodijeliti relativni identifikator. Mehanizam za traženje novog bloka RID-ova je dizajniran da spriječi takve prekide jer se zahtjev postavlja prije nego što se iscrpe svi dostupni RID-ovi u spremištu. Da biste ponovo omogućili proces kreiranja naloga, morate ili povezati kontroler domene koji upravlja ulogom RID Master na mrežu ili premjestiti ovu ulogu na drugi kontroler domene.
Također, kada migrirate Active Directory objekte između domena, potreban je RID master, odnosno, objekt se može migrirati samo ako je RID master dostupan u domeni. Aktivan trenutni čarobnjak za operacije sprečava kreiranje dva objekta sa identičnim ID-ovima u različitim domenima Active Directory. Prilikom migracije objekata s jedne domene na drugu, Microsoft preporučuje korištenje Acrive Directory Migration Tool. Po defaultu, prvom kontroleru domene instaliranom u šumi je dodijeljena uloga RID Master. Ovu ulogu možete premjestiti u bilo kojem trenutku pomoću dodatka ili uslužnog programa Ntdsutil.exe. Glavni RID se identificira po vrijednosti atributa fSMORoleOwner u objektu klase rIDManager u odjeljku Domain.
PDC emulator

Kontroler domene sa dodijeljenim masterom operacija PDC emulator(Primarni kontroler domene) obavlja funkcije primarnog kontrolera domene kako bi osigurao kompatibilnost unatrag s operativni sistemi ispod Windowsa 2000. U danima članova servera i klijenata Windows računari NT 4.0, samo PDC kontroleri glavne domene mogu napraviti promjene u direktoriju. Naslijeđeni alati, klijenti i uslužni programi koji podržavaju Windows NT 4.0 nisu dizajnirani da omoguće svim Active Directory domenskim kontrolerima da pišu u direktorij, te stoga zahtijevaju da se takve aplikacije povežu na PDC. Kontroler domene s ulogom PDC emulatora registruje se kao glavni kontroler domene PDC-a, posebno tako da razne aplikacije niskog nivoa mogu lokalizirati kontroler domene za pisanje. Uprkos činjenici da su danas serveri i klijentski računari je gotovo nemoguće naći sa operativnim sistemima nižim od Windows 2000, PDC emulator i dalje ostaje najvažnija uloga gospodara operacija. Osim što je unatrag kompatibilan s aplikacijama koje rade na Windows NT 4.0, PDC emulator obavlja sljedeće važne funkcije:
Učestvujte u replikaciji ažuriranja lozinke za domenu. Kada se korisnička lozinka promijeni ili resetuje, kontroler domene koji vrši promjenu replicira promjenu u PDC emulator putem flash replikacije. Ova replikacija osigurava da kontrolori domene brzo prepoznaju promijenjenu lozinku. U slučaju da se korisnik pokuša prijaviti odmah nakon promjene lozinke, kontrolor domene koji odgovara na ovaj zahtjev možda još ne zna Nova šifra. Prije nego što odbije pokušaj prijave, ovaj kontroler domene šalje zahtjev za provjeru autentičnosti PDC emulatoru, koji potvrđuje da je nova lozinka ispravna i daje instrukcije kontroloru domene da prihvati zahtjev za prijavu. To znači da svaki put kada korisnik unese neispravnu lozinku, provjera autentičnosti se šalje PDC emulatoru za konačni zaključak;

Upravljanje ažuriranjima grupnih politika u domeni. Kao što znate, grupne politike se koriste za kontrolu većine postavki u konfiguraciji računara i korisnika u vašoj organizaciji. Ako se GPO modificira na dva domenska kontrolera u približno isto vrijeme, mogu naknadno nastati sukobi između dvije verzije koji se ne rješavaju kada se GPO-ovi repliciraju. Da bi se izbjegli takvi sukobi, PDC emulator radi na sljedeći način: prilikom otvaranja GPO-a, dodatak uređivača upravljanja grupnim politikama je vezan za kontroler domene koji obavlja ulogu PDC-a i sve promjene GPO-a se po defaultu vrše na PDC emulatoru;

Služi kao centralni pretraživač za domenu. Klijenti koriste Active Directory za otkrivanje mrežnih resursa. Prilikom otvaranja prozora "Net" Operativni sistem prikazuje listu radnih grupa i domena. Nakon što korisnik otvori navedeni radna grupa ili domenu, on će moći da vidi listu računara. Ove liste se generišu preko usluge pretraživača, a na svakom segmentu mreže, pretraživač host kreira listu za pretraživanje sa radnim grupama, domenima i serverima tog segmenta. Centralni pretraživač zatim agregira liste svih vodećih pretraživača tako da klijentske mašine mogu vidjeti cijelu listu pregledavanja. Mislim da od svih funkcija PDC emulatora, možda imate pitanja vezana direktno za pretraživač centralne domene, stoga će se ova tema detaljno raspravljati u posebnom članku;

Pružanje glavnog izvora vremena domene. Budući da Active Directory, Kerberos, DFS-R i FRS File Replication Service koriste vremenske oznake, potrebna je vremenska sinhronizacija u svim sistemima domene. PDC emulator u korijenskoj domeni šume služi kao glavni izvor vremena za cijelu šumu. Preostali kontroleri domene sinhronizuju vreme sa PDC emulatorom, a klijentski računari sinhronizuju vreme sa svojim kontrolerima domena. Garanciju za usklađenost vremena pruža usluga hijerarhijske sinhronizacije koja je implementirana u servisu Win32Time.

Po defaultu, prvom kontroleru domene instaliranom u šumi je dodijeljena uloga PDC Emulator Master. Ovu ulogu možete premjestiti u bilo kojem trenutku pomoću dodatka "Active Directory - Korisnici i računari" ili korištenjem uslužnog programa Ntdsutil.exe. Master PDC emulatora identificira se po vrijednosti atributa fSMORoleOwner u objektu klase rIDManager u osnovnom objektu odjeljka Domain.
Infrastruktura Master

U organizacijama sa više domena, objekti u nekim domenima često upućuju na objekte u drugim. Infrastruktura Master je sličan uređaju koji prati članove grupe na različitim domenama. Master infrastrukture je odgovoran za ažuriranje veza grupe-korisnika između domena, čime se osigurava da se promjene u nazivima objekata odražavaju u informacijama o članstvu grupe lokalizirane na domeni. Master infrastrukture održava ažuriranu listu takvih referenci i zatim replicira ove informacije na sve kontrolere u domeni. Morate biti svjesni da se prilikom dodavanja člana druge domene u grupu u ciljnoj domeni, razlikovno ime novog člana dodaje atributu člana, a ako je kontroler domene člana takve grupe nedostupan, tada u domenskim uslugama kreira se fantomski objekat, koji zapravo predstavlja člana takve grupe. Takav objekt može sadržavati samo SID člana, razlikovno ime (DN) i GUID objekta. Ako čarobnjak infrastrukture nije dostupan, veze grupe i korisnika između domena neće biti ažurirane. Periodično, čarobnjak za infrastrukturu skenira naloge domena i provjerava članstvo u grupi. Ako je korisnički račun premješten na nova domena, čarobnjak za infrastrukturu identificira novu domenu korisničkog računa i u skladu s tim ažurira grupe.
Vrijedi napomenuti da glavnu ulogu infrastrukture ne bi trebao obavljati kontroler domene koji je poslužitelj globalnog kataloga. Inače, infrastrukturni čarobnjak neće ažurirati informacije o objektu jer ne sadrži reference na objekte koje ne pohranjuje. To je zato što poslužitelj globalnog kataloga održava djelomične replike svih objekata u šumi. Kao rezultat toga, veze između objekata između domena u ovoj domeni neće biti ažurirane, a odgovarajuće upozorenje će se pojaviti u dnevniku događaja ovog kontrolera domene. Prema zadanim postavkama, prvom kontroleru domene instaliranom u šumi je dodijeljena uloga Infrastructure Master. Ovu ulogu možete premjestiti u bilo kojem trenutku pomoću dodatka "Active Directory - Korisnici i računari" ili korištenjem uslužnog programa Ntdsutil.exe. Infrastrukturni master je identificiran po vrijednosti atributa fSMORoleOwner u Infrastrukturni kontejner u odjeljku Domena.
Kako mogu odrediti koji kontroler domene ima FSMO ulogu?
U principu, već smo se pozabavili teorijskim dijelom, a sada bi bilo lijepo da uđemo u praksu. Iako vaša organizacija može imati samo jednu domenu, može biti instaliran veliki broj kontrolera domena, a administratori možda neće uvijek znati koji kontroleri domena imaju dodijeljene glavne uloge operacija. Na primjer, ako restrukturirate svoju domenu, morat ćete znati kojem kontroloru domene je dodijeljena koja uloga. Svaka uloga se može definirati korištenjem grafičkog sučelja ili alata komandne linije. Razmotrimo obje metode.
Određivanje nosilaca uloga Operations Master koristeći GUI
Prva stvar koju treba zapamtiti je da domenske usluge Active Directory koriste različite administrativne dodatke za identifikaciju mastera operacija. Najteže je identificirati gospodara kola. Počnimo s njim. Da biste saznali koji kontroler domene ima glavnu ulogu sheme, slijedite ove korake:

Da biste identificirali preostale mastere operacije, morate izvesti znatno manje koraka. Da biste saznali koji kontroler domene ima glavne privilegije Operations Naming Domain Naming Operations Master, trebate:

A da biste identificirali preostale tri uloge na nivou domene, trebate obaviti najmanje posla. Drugim riječima, sve preostale glavne uloge operacija mogu se naći u jednom dijaloškom okviru. Da biste to učinili, otvorite dodatak "Active Directory - Korisnici i računari", kliknite desnim tasterom miša na svoju domenu i od kontekstni meni izaberite tim "majstori operacija". U dijaloškom okviru koji se pojavljuje možete vidjeti nazive kontrolera domena kojima su dodijeljene trenutne uloge na odgovarajućim karticama. Prozor dijaloga "majstori operacija" može se vidjeti na sljedećoj ilustraciji:

Rice. 4. Master operacije na nivou domene
Određivanje nositelja uloga glavne operacije pomoću komandne linije
Kao i kod većine funkcija koje pružaju Windows operativni sistemi, možete definirati sve nosioce uloga Operations Master koristeći poseban uslužni program komandne linije. Active Directory Domain Services koristi uslužni program komandne linije za kontrolu određenih promjena Ntdsutil. Da vidite sve kontrolere domene opremljene ulogama Operations Master koristeći ovaj uslužni program, slijedite ove korake:

Također možete koristiti uslužni program za pregled FSMO uloga Dcdiag sa timom /test:Knowsofroleholders /v . U nastavku možete vidjeti dio izlaza ove naredbe:

Rice. 6. Definiranje FSMO uloga korištenjem uslužnog programa Dcdiag
Hvatanje i prijenos uloga gospodara operacija
U Active Directory-ju postoje koncepti kao što su prijenos i preuzimanje (također poznato kao opoziv) glavnih uloga operacija. Prije svega, trebali biste saznati šta je to i koja je razlika između ovih pojmova.
Kao što je gore spomenuto, u početku je svih pet uloga mastera operacija instalirano na prvom kontroleru domene u šumi. Obično je uobičajeno implementirati nekoliko dodatnih kontrolera domena unutar organizacije radi poboljšanja performansi i tolerancije grešaka. I, shodno tome, kako bi se izbjegli sukobi u budućnosti, preporučuje se da se uloge mastera operacija odmah raspodijele na različite kontrolere domene. Također, ako trebate onemogućiti ili dekomisionirati kontroler domene koji služi kao glavni operativni, trebali biste migrirati sve FSMO uloge s njega na druge kontrolere domene.
Zauzvrat, oduzimanje uloge je neophodno ako kontroler domene koji ima posebne uloge mastera operacija ne uspije, a niste uspjeli na vrijeme prenijeti uloge iz ovog DC-a. Rizici kojima možete biti izloženi ako kontrolori domena koji drže uloge mastera operacija ne uspiju, razmatrani su malo ranije u ovom članku. U ovom slučaju, nemate opciju da migrirate FSMO ulogu koristeći željenu metodu prijenosa uloge. Stoga, potrebno je samo uhvatiti token operacije opozivom uloge. Ali vrijedi zapamtiti da je hvatanje uloge najviše radikalna metoda i treba ga izvesti samo kada je nosilac uloga glavnog operativca van funkcije. Kada se pokrene proces preuzimanja uloge glavne uloge, fsmoRoleOwner atribut objekta, koji predstavlja korijenski direktorij podataka, mijenja se na postojećem računalu bez izvođenja bilo kakve sinkronizacije podataka. Drugi kontrolori domena će prirodno postati svjesni novog vlasnika FSMO uloge kako se promjene repliciraju.
Pogledajmo procese prijenosa i preuzimanja uloga gospodara operacija.
Za prijenos FSMO uloge slijedite ove korake:

Proces hvatanja glavnih uloga operacija je malo složeniji od prijenosa, jer zahtijeva korištenje pomoćnog programa Ntdsutil, o čemu je bilo riječi u prethodnom dijelu. Da preuzmete ulogu od neuspjelog kontrolera domene, slijedite ove korake:
Otvori komandna linija i u njemu idite na uslužni program ntdsutil;

Idite na upravljanje NTDS ulogama koristeći naredbu uloge;

Morate uspostaviti vezu s kontrolerom domene, koji će u budućnosti djelovati kao vlasnik mastera operacija. Da biste to učinili, pokrenite naredbu veze;

U redu "serverske veze" enter povežite se na server i navedite potreban kontroler domene;

Vrati se na fsmo management koristeći naredbu quit;

Sada u redu fsmo management navedite naredbu uhvatiti i kliknite na Enter;

U ovom posljednjem koraku, trebate odabrati FSMO ulogu koja će biti zaplijenjena od neaktivnog kontrolera domene.

Pažljiv čitalac može postaviti sledeće pitanje: šta da radim ako sam uspeo da oživim mrtvi kontroler domena i kako da vratim vlasništvo nad oduzetom ulogom ovom kontroloru domena? Ovdje je sve relativno jednostavno. Prva stvar koju trebate znati je da ako je uloga PDC emulatora ili infrastrukture opozvana, možete lako prenijeti ulogu Operations Master natrag na vraćeni kontroler domene.
Ali u slučaju da je uloga glavnog šeme, mastera imenovanja domena ili relativnih RID identifikatora uhvaćena, tada ćete morati izvršiti sljedeće korake:
Fizički isključite takav kontroler domene iz mreže;

Degradirajte kontrolor domene na server člana koristeći naredbu Dcpromo/forceremoval;

Obrišite metapodatke za trenutni kontroler domene. Pomoću uslužnog programa možete očistiti metapodatke Ntdsutil sa timom Čišćenje metapodataka;

Nakon uklanjanja metapodataka, potrebno je da dovedete server na mrežu, pridružite ga domeni, a zatim promovirate server u kontrolora domena;

U posljednjem koraku jednostavno prenesite ulogu na ovaj kontroler domene.

Hosting Operation Masters na kontrolerima domena

U ovom odjeljku, govorit ću malo o najboljim praksama za postavljanje svih uloga gospodara operacija na kontrolere domena. Kao takvih, takvih preporuka nema mnogo, pa ću pokušati da pojednostavim ovaj odeljak, što je brže moguće.
Prije svega, ako imate jednu šumu, jednu domenu i jedan kontroler domene, tada će se svih pet uloga mastera operacija nalaziti na tom kontroleru domene, ali za potrebe balansiranja opterećenja preporučuje se prebacivanje uloga na druge kontrolere domene.
Glavne preporuke za postavljanje FSMO uloga su sljedeće:
Postavite uloge RID Master i PDC emulatora na isti kontroler domene. Kolokacija ovih glavnih uloga operacija je radi balansiranja opterećenja. Budući da su ove uloge direktni partneri za replikaciju, postavljanjem ovih uloga na odvojene kontrolere domene, morat ćete uspostaviti brzu vezu za odgovarajuća dva sistema i kreirati eksplicitne objekte za njih u Active Directory. Osim toga, ako imate servere u vašoj organizaciji koji igraju ulogu mastera operacija rezervnih kopija, na takvim serverima te uloge također moraju biti direktni partneri;

Postavite glavne uloge sheme i naziva domene na isti kontroler domene. Kao opće pravilo, preporučuje se da se uloge Master sheme i Domain Naming Master postave na isti kontroler domene koji služi kao server globalnog kataloga. Uloga Master imenovanja domena također mora biti server globalnog kataloga jer prilikom dodavanja nove domene, master mora osigurati da u šumi nema objekta s istim imenom kao nova domena koja se dodaje. Ako kontroler domene sa ulogom Domain Naming Master nije server globalnog kataloga, operacije kao što je kreiranje podređenih domena mogu biti neuspjele. Budući da se ove uloge najmanje koriste, trebali biste osigurati da je kontroler domene koji njima upravlja što sigurniji;

Uloga Infrastructure Master mora biti smještena na kontroleru domene koji ne služi kao poslužitelj globalnog kataloga. Tipično, čarobnjak za infrastrukturu treba da bude raspoređen na kontroleru domene koji ne služi kao server globalnog kataloga, ali ima objekat direktnu vezu u jedan od globalnih direktorija u šumi. Budući da poslužitelj globalnog kataloga pohranjuje djelomične replike svih objekata u šumi, glavni infrastrukturni server koji se nalazi na poslužitelju globalnog kataloga neće izvršiti ažuriranja jer ne sadrži reference na objekte koje ne pohranjuje.

Imajući na umu ova tri pravila, možete optimalno postaviti majstore operacija u svoju šumu.
Umjesto zaključka
Dakle, ovom članku je došao kraj. U ovom članku naučili ste o tome šta su glavne uloge operacija i za šta su potrebne. Bilo je nekoliko studija slučaja koje su opisivale šta bi se dogodilo da ne postoje masteri operacija u domenskim uslugama Active Directory i da su svi kontroleri domena ravnopravni. Svih pet FSMO uloga je detaljno ispitano i opisane su metode za identifikaciju uloga na kontrolerima domena. Također ste naučili o prijenosu i preuzimanju glavnih uloga u operacijama i kako možete izvršiti ove radnje. Osim toga, upoznati ste s tri pravila koja bi vas trebala voditi pri odabiru opcija za postavljanje mastera operacija na kontrolere domena u vašoj organizaciji.