Microsoft Windows Active Directory è il repository centrale per tutti gli oggetti aziendali e i loro attributi corrispondenti. Questo database è gerarchico, in grado di supportare più host e contenere milioni di oggetti. Il supporto multimaster consente di modificare il database da qualsiasi controller di dominio all'interno dell'azienda, indipendentemente dallo stato della connettività di rete.

Modello multi-host Windows 2000

Un database multimaster (come Active Directory) accetta modifiche da qualsiasi controller di dominio all'interno dell'organizzazione, che possono potenzialmente causare conflitti durante la replica dei dati su altri computer. Come uno dei metodi per risolvere gli aggiornamenti in conflitto, Windows 2000 utilizza l'algoritmo di priorità dell'ultima voce, che accetta il valore dei dati dall'ultimo controller di dominio modificato e scarta i valori su altri controller di dominio. Tuttavia, alcuni conflitti sono così complessi che non possono essere risolti in questo modo. È più facile prevenirli che eliminarli a posteriori.

Alcuni tipi di modifiche in Windows 2000 vengono gestiti da metodi che impediscono i conflitti tra gli aggiornamenti di Active Directory.

Modello di supporto per host singolo di Windows 2000

Per evitare il verificarsi di aggiornamenti in conflitto, Active Directory esegue aggiornamenti a oggetti specifici utilizzando un modello a host singolo. In questo modello, solo un controller di dominio nell'intera directory può eseguire gli aggiornamenti. Questo processo è simile al ruolo assegnato al controller di dominio primario (PDC) nelle versioni precedenti di Windows (ad esempio Microsoft Windows NT 3.51 e 4.0), in cui il PDC è responsabile dell'elaborazione di tutti gli aggiornamenti in un dominio specifico.

Windows 2000 Active Directory estende il modello a host singolo utilizzato nelle versioni precedenti di Windows per includere il supporto per più ruoli e la capacità di trasferire i ruoli ad altri controller in tutta l'azienda. Poiché il ruolo di Active Directory non è rigidamente vincolato a un singolo controller di dominio, viene chiamato ruolo FSMO (Flexible Single Master Operation). Ci sono cinque ruoli FSMO in Windows 2000:

• proprietario dello schema
• maestro dei nomi di dominio
• host RID
• Emulatore PDC
• demone dell'infrastruttura

Ruolo "Schema Master" FSMO

Il controller di dominio master schema è responsabile dell'aggiornamento dello schema della directory (ovvero, lo schema o il contesto dei nomi LDAP: // cn = schema, cn = configurazione, dc = ). Solo questo controller di dominio può apportare modifiche allo schema della directory. Dopo l'aggiornamento, lo schema viene replicato dal master schema ad altri controller di dominio nella directory. Può esserci un solo master schema in una directory.

Ruolo FSMO di master per i nomi di dominio

Il controller di dominio nel ruolo di master dei nomi di dominio è responsabile della modifica dello spazio dei nomi di dominio della directory all'interno della foresta (ovvero, la partizione \ configurazione o il contesto dei nomi LDAP: // CN = Partizioni, CN = configurazione, DC = ). Solo questo controller ha il diritto di eliminare e aggiungere domini alla directory. Inoltre, aggiunge e rimuove i riferimenti incrociati a domini in directory esterne.

Ruolo FSMO "Master RID"

Il controller di dominio nel ruolo di master RID è responsabile della gestione delle richieste del pool RID da altri controller all'interno di un dominio specifico e della rimozione di oggetti dal dominio e del loro posizionamento in un altro dominio.

Quando un controller di dominio crea un oggetto entità di sicurezza primaria (ad esempio un utente o un gruppo), gli assegna un identificatore di sicurezza (SID). Questo identificatore è costituito da un SID di dominio (comune per tutti gli identificatori di sicurezza creati nello stesso dominio) e da un identificatore relativo (RID) (univoco per ogni entità di sicurezza creata nello stesso dominio).

Ogni controller di dominio di Windows 2000 nel dominio dispone di un pool di identificatori relativi (RID) che può assegnare alle entità di sicurezza che crea. Quando il numero di RID nel pool di un controller di dominio scende al di sotto della soglia, interroga il master RID per i nuovi ID. Il master RID recupera gli ID dal pool di domini non allocato e li assegna al pool del controller di dominio richiedente. Esiste un solo master RID per dominio di directory.

Ruolo di FSMO "Emulatore PDC"

L'emulatore PDC è necessario per la sincronizzazione dell'ora in tutta l'azienda. Windows 2000 include il servizio W32Time (Windows Time), utilizzato dal protocollo di autenticazione Kerberos. Tutti i computer Windows 2000 della stessa azienda condividono lo stesso tempo. Per garantire una corretta sincronizzazione dell'ora, il servizio Ora di Windows deve utilizzare una struttura di relazione gerarchica che controlli l'autorità e non consenta "loop" nella gestione.

L'emulatore PDC di dominio funge da emulatore di dominio principale. L'emulatore PDC alla radice della foresta diventa l'emulatore principale all'interno dell'azienda. Dovrebbe essere configurato per ricevere un valore dell'ora da un'origine interna. Quando si sceglie un'origine ora, i titolari del ruolo FSMO dell'emulatore PDC seguono la gerarchia del dominio.

In un dominio Windows 2000, il titolare del ruolo di emulatore PDC conserva la seguente funzionalità: Le modifiche alla password apportate da altri controller di dominio vengono replicate principalmente nell'emulatore PDC.

Le modifiche alla password apportate da altri controller di dominio vengono replicate principalmente nell'emulatore PDC.

Prima che l'utente riceva un messaggio di errore appropriato, gli errori di autenticazione su un controller di dominio specifico causati da una password errata vengono inviati all'emulatore PDC.

I casi di blocco dell'account vengono gestiti nell'emulatore PDC.

L'emulatore PDC esegue tutte le funzioni di un emulatore di server PDC per Microsoft Windows NT 4.0, versioni precedenti di emulatori basati su Windows NT 4.0 o client precedenti.

Non è necessario utilizzare questa parte del ruolo dell'emulatore PDC se tutte le workstation, i server e i controller di dominio che eseguono Windows NT 4.0 o versioni precedenti vengono aggiornati a Windows 2000. L'emulatore PDC esegue le stesse funzioni di un ambiente Windows 2000 .

Di seguito vengono descritte le modifiche che si verificano durante l'aggiornamento: i client Windows 2000 (workstation, server) e i client precedenti su cui è installato il pacchetto client dei servizi distribuiti non danno la preferenza al controller di dominio quando si effettuano voci di directory (come le modifiche alla password) che ha si è dichiarato PDC e utilizza qualsiasi controller di dominio per questo.

Dopo l'aggiornamento ai controller di backup (BDC) di Windows 2000 nei domini di livello inferiore, l'emulatore PDC smette di ricevere le richieste di replica dai domini di livello inferiore.

I client Windows 2000 (workstation, server) ei client precedenti su cui è installato Distributed Services Client Pack utilizzano Active Directory per trovare le risorse di rete. Il servizio browser di Windows NT non è necessario per loro.

Il ruolo dell'FSMO "Infrastrutture"

Un riferimento a un oggetto di un dominio in un oggetto di un altro dominio è determinato dal GUID, dal SID (per le entità di sicurezza) e dal nome distinto (DN) dell'oggetto. Il controller di dominio del master dell'infrastruttura è responsabile dell'aggiornamento degli identificatori di sicurezza e dei nomi distinti degli oggetti nei riferimenti agli oggetti tra domini.

Nota.

Il ruolo di Infrastructure Master (IM) non dovrebbe essere svolto da un controller di dominio che è un server di catalogo globale. In caso contrario, il master dell'infrastruttura non aggiornerà le informazioni sull'oggetto perché non contiene riferimenti a oggetti che non memorizza. Il motivo di questo comportamento è che il server di catalogo globale mantiene repliche parziali di tutti gli oggetti nella foresta. Di conseguenza, i riferimenti a oggetti tra domini in quel dominio non verranno aggiornati e verrà visualizzato un avviso nel registro eventi di questo controller di dominio.

Se i controller in un dominio separato archiviano anche un catalogo globale, tutti i controller di dominio disporranno delle informazioni più recenti, indipendentemente dal controller di dominio che detiene il ruolo di master dell'infrastruttura.

Nessun argomento correlato ...

Trasferimento FSMO. L'obiettivo del nostro evento è trasferire FSMO da un controller di dominio a un altro. Per essere al sicuro, tratterò diversi modi per trasferire i ruoli, incluso il caso in cui l'attuale master FSMO non è disponibile.

Innanzitutto, una piccola teoria:
Le operazioni FSMO (Flexible single-master operations) sono tipi di operazioni eseguite dai controller di dominio di Active Directory che richiedono l'unicità del server che le esegue.

In altre parole, tutti i controller di dominio sono uguali, ma uno (o più) sono più uguali degli altri, nella misura in cui eseguono queste stesse operazioni con un esecutore. A seconda del tipo di operazione, l'univocità di FSMO è implicita all'interno della foresta di dominio o del dominio.

In totale, la small-soft corporation ci ha assegnato 5 ruoli:

• Il master dello schema è un server con questo ruolo per l'intera foresta. Il ruolo è necessario per estendere lo schema della foresta di Active Directory, di solito questa operazione viene eseguita dal comando adprep / forestprep
• Master dei nomi di dominio: uno per l'intera foresta. Un server con questo ruolo deve garantire che i nomi siano univoci per tutti i domini e le partizioni applicative creati nella foresta AD.
• Il proprietario dei relativi identificatori (emulatore PDC) è un server per dominio. Ha diverse funzioni: è il browser principale sulla rete Windows, controlla i blocchi utente se la password viene inserita in modo errato, è il server NTP principale nel dominio ed è progettato per supportare client con sistemi operativi precedenti a Windows 2000.
• Emulatore Infrastructure Master: un server per dominio. È necessario un server con questo ruolo affinché il comando adprep / domainprep venga eseguito correttamente. Responsabile dell'aggiornamento degli identificatori di sicurezza (GUID, SID) e dei nomi distinti degli oggetti nei riferimenti a oggetti tra domini.
• Proprietario dell'infrastruttura di dominio (RID Master) - un server per ogni dominio. Il server distribuisce RID (500 ciascuno) ad altri controller di dominio per creare SID univoci.

Per gestire il ruolo Schema master, devi essere nel gruppo "Schema admins".
Per gestire il ruolo di master per la denominazione dei domini, devi essere un membro del gruppo "Amministratori aziendali".
Per gestire i ruoli di emulatore PDC, Infrastructure Master e RID Master, è necessario disporre dei diritti di amministratore per "Domain Admins"

La necessità di trasferire ruoli può sorgere per vari motivi, poiché nelle reti di grandi dimensioni questi ruoli possono essere svolti da server diversi, sebbene nel nostro caso tutti i ruoli siano svolti da un server. È imperativo che ogni ruolo venga svolto nel tuo dominio, se nessun ruolo non è assegnato a qualche server, puoi aspettarti molte spiacevoli sorprese, sia immediatamente che dopo molto tempo, a seconda della struttura di AD.

Quando viene creato un dominio, per impostazione predefinita, tutti i ruoli vengono assegnati al primo controller di dominio nella foresta. Raramente sono necessarie riassegnazioni di ruolo. Microsoft consiglia di utilizzare FSMO Role Transfer nei seguenti scenari:

• Abbassamento pianificato del controller di dominio che possiede i ruoli FSMO, ad esempio, per disattivare il server (questo è solo il mio caso);
• Arresto temporaneo di un controller di dominio, ad esempio per scopi di manutenzione. Ciò è particolarmente importante quando si disabilita l'emulatore PDC. La disabilitazione del resto dei master delle operazioni influisce temporaneamente su AD in misura minore.

Dovrai impadronirti dei ruoli FSMO nei seguenti casi:

• Se nell'operato dell'attuale titolare del ruolo FSMO si riscontrano carenze che impediscono il buon svolgimento delle funzioni inerenti a tale ruolo, e non consentono il trasferimento del ruolo;
• Il sistema operativo viene reinstallato o non si avvia sul controller di dominio che possiede il ruolo FSMO;
• Il controller di dominio che ricopriva il ruolo FSMO è stato forzatamente retrocesso di livello utilizzando il comando dcpromo / forceremoval.

Quindi la prima cosa di cui abbiamo bisogno è scoprire quale server è l'host FSMO. Il modo più semplice per farlo è con l'utilità netdom. Digitando in console:

> query netdom fsmo

Otterremo un elenco di tutti e cinque i ruoli con gli FQDN host. È inoltre possibile utilizzare questa utilità dopo il trasferimento dei ruoli per assicurarsi che l'operazione vada a buon fine.

Ora puoi iniziare a trasferire direttamente FSMO:

Metodo uno, il più semplice e il più interessante per me: trasferire i ruoli FSMO utilizzando l'utilità ntdsutil:

ntdsutil.exe è un'utilità della riga di comando per la manutenzione di Active Directory. Fornisce molte funzionalità di gestione di AD, incluso il trasferimento e il sequestro dei ruoli FSMO.
Per trasferire i ruoli, passare a qualsiasi controller di dominio (non deve essere il master FSMO attuale o futuro) che si trova nella foresta in cui deve essere eseguito il trasferimento dei ruoli. Si consiglia di accedere a un controller di dominio a cui sono assegnati i ruoli FSMO. Avvia la console e inserisci:
> ntdsutil
Successivamente, l'utilità viene avviata in modalità interattiva e può ricevere comandi. Il nostro primo comando indica che vogliamo lavorare con FSMO
> ruoli
In risposta, il prompt cambierà in manutenzione fsmo: Quindi, per chiamare il "menu" di connessione, immettere
> connessioni
E l'invito cambia in connessioni al server: ora puoi specificare a quale server vogliamo connetterci (<Имя_сервера>è il nome del controller di dominio a cui si desidera trasferire il ruolo FSMO.)
> connettersi al server<Имя_сервера>
per uscire dal menu di connessione entra
> q
e premi Invio. Ora, dopo aver ricevuto nuovamente la richiesta di manutenzione di fsmo: possiamo procedere con il trasferimento dei ruoli. Il comando di trasferimento è destinato a questo:
> trasferimento<имя_роли>
Come<имя_роли>è necessario specificare il ruolo che si desidera trasferire:

• naming master - trasferimento del ruolo di master del nome a dominio;
• master dell'infrastruttura - trasferimento del ruolo di master dell'infrastruttura;
• Master RID - trasferimento del ruolo di master RID;
• schema master - trasferimento del ruolo di schema master;
• PDC - Trasferimento del ruolo dell'emulatore PDC.

Nelle versioni di Windows precedenti a Windows Server 2008R2, il master dei nomi di dominio è chiamato master dei nomi di dominio. Come è consuetudine nei sistemi Windows, il caso non ha importanza.

Dopo aver inserito ogni comando di trasferimento, appare una finestra di dialogo con una richiesta di conferma (avresti potuto chiedere conferma in console, altrimenti risulta "non console"), premiamo ogni volta "OK", a meno che ovviamente non abbiate digitato tutti i comandi precedenti per sbaglio. :)
Per uscire da Ntdsutil, inserisci il comando q e premi Invio.

Forzare i ruoli fsmo con Ntdsutil

Ma cosa dobbiamo fare se il titolare del ruolo è indisponibile, danneggiato e non c'è speranza di riportarlo in servizio nel prossimo futuro? E qui ntdsutil.exe ci aiuterà di nuovo:
L'assegnazione forzata (sequestro) dei ruoli viene eseguita solo in caso di completo malfunzionamento del server, con impossibilità del suo ripristino. Se possibile, è meglio ripristinare la funzionalità del master FSMO guasto. La stessa procedura di acquisizione è simile a quella descritta sopra. Andiamo al controller di dominio a cui vogliamo trasferire i ruoli e facciamo lo stesso che è stato scritto nel paragrafo precedente inserendo:
> ntdsutil
> ruoli
> connessioni
> connettersi al server<имя_сервера>
> q
L'unica differenza è che al posto del comando di trasferimento, il comando serve per forzare il sequestro del ruolo. prendere
> cogliere<имя_роли>
Dove<имя_роли>come prima

• master di denominazione - master di denominazione di dominio (fino a Windows Server 2008R2 - master di denominazione di dominio);
• master dell'infrastruttura - master dell'infrastruttura;
• padrone di rid - padrone di RID;
• maestro dello schema - maestro dello schema;
• pdc è un emulatore PDC.

Non dimenticare di provare a trasferire il ruolo utilizzando il comando transfer prima di acquisire il ruolo e utilizzare seize solo in caso di errore.

Quando possibile, non assegnare il ruolo di master dell'infrastruttura a un controller di dominio che è un server di catalogo globale perché, se possibile, non aggiornerà le informazioni sugli oggetti. Il motivo di questo comportamento è che il server di catalogo globale mantiene repliche parziali di tutti gli oggetti nella foresta.

Non restituire in alcun caso il controller di dominio che in precedenza ha svolto ruoli FSMO "di nuovo in linea" se i ruoli da esso rivestiti sono stati acquisiti dal comando seize. quando appare sulla rete, sorgerà un conflitto, che può portare a grossi problemi. Deve essere rimosso da Active Directory. Su Windows Server 2008 e versioni successive, è possibile farlo semplicemente eliminando l'oggetto server in Utenti e computer di Active Directory e su Windows Server 2003 utilizzando Ntdsutil utilizzando il comando ntdsutil - metadata cleanup.

La seconda opzione - Il trasferimento volontario dei ruoli FSMO utilizzando gli snap-in di gestione di Active Directory, è strano e scomodo, ma questa è solo la mia opinione soggettiva, il metodo stesso funziona alla grande.

È possibile trasferire ruoli a livello di dominio (master RID, emulatore PDC e master infrastruttura) utilizzando lo snap-in Utenti e computer di Active Directory. Per fare ciò, andiamo sul controller di dominio a cui vogliamo trasferire i ruoli, avviamo lo snap-in e facciamo clic con il tasto destro del mouse sul dominio richiesto, selezioniamo la voce "Operazioni master".

Nella finestra che si apre, seleziona il ruolo di cui abbiamo bisogno e fai clic sul pulsante "Cambia", quindi confermiamo il trasferimento del ruolo e guardiamo il risultato. Il nome dell'host delle operazioni dovrebbe essere cambiato con il nome del server corrente.

Per trasferire il ruolo di Domain Naming Master, è necessario lo snap-in Domini e attendibilità di Active Directory. Avviare lo snap-in, se necessario, connettersi al controller di dominio richiesto, fare clic con il pulsante destro del mouse nella radice dello snap-in e selezionare la voce di menu "Operations Master".

Si apre una finestra in cui è necessario fare clic sul pulsante "Cambia", quindi confermare le modifiche allo stesso modo del caso precedente.

Per trasferire il ruolo Schema Master, dovrai eseguire manipolazioni un po' più complesse. Il primo passaggio consiste nel registrare la libreria di gestione dello schema di Active Directory nel sistema. Questo può essere fatto con il comando
> regsvr32 schmmgmt.dll

Quindi aprire la console MMC e aggiungere lo snap-in Schema di Active Directory.

Ora puoi entrare nello snap-in e cambiare il proprietario del ruolo Schema Master come negli esempi precedenti facendo clic destro sullo schema e selezionando la voce "Operations master...".

Evviva! Tutti i ruoli sono stati trasferiti. Ancora una volta, non lasciare mai il tuo dominio senza un proprietario del ruolo FSMO assegnato. Mai! :)

• Indietro

Commenti (1)

Nuovi articoli:

• Network Discovery non si accende in Windows 7/8/2008/2012

  Il nocciolo del problema è che un utente su un sistema Windows 7 non abilita il rilevamento della rete nelle impostazioni di rete. Più precisamente, si accende, ma se chiudi e ...

• Errore: questa applicazione non è stata avviata perché non è stata in grado di trovare o caricare il plug-in della piattaforma Qt "windows".

  Quindi, dopo l'installazione copiando direttamente un'applicazione scritta in C++ utilizzando la libreria Qt, otteniamo il seguente errore: Impossibile avviare questa applicazione...

hb860 25 novembre 2011 alle 14:02

Tutto quello che avresti voluto sapere sul comandante delle operazioni, ma avevi paura di chiedere

• Amministrazione di sistema

La maggior parte degli amministratori di sistema nel proprio ambiente aziendale utilizza Servizi di dominio Active Directory per fornire l'identificazione e l'accesso alle risorse aziendali per i propri utenti, che possono essere tranquillamente definiti il ​​cuore dell'intera infrastruttura aziendale. Come molti di voi sapranno, la struttura dei servizi di dominio nelle organizzazioni può includere una o più foreste (un insieme di domini che include una descrizione della configurazione di rete e una singola istanza di una directory), a seconda di fattori quali la limitazione dell'ambito di rapporti di fiducia, separazione completa dei dati di rete, ottenimento dell'isolamento amministrativo. A sua volta, ogni foresta di grandi dimensioni dovrebbe essere suddivisa in domini per semplificare l'amministrazione e la replica dei dati. In ogni dominio, per gestire i servizi di dominio ed eseguire attività come l'autenticazione, l'avvio di un servizio Centro distribuzione chiavi Kerberos e il controllo degli accessi viene utilizzato dai controller di dominio. Si stanno sviluppando siti web per gestire il traffico di rete tra gli uffici.
Tutte le informazioni su foreste, domini e siti, ovviamente, devono essere coerenti anche durante la progettazione di servizi di dominio Active Directory, in base a requisiti aziendali quali: requisiti aziendali, requisiti funzionali, legali, requisiti di sicurezza e vincoli di progettazione alla documentazione. Spesso, tutti questi punti sono pianificati con cura dal dipartimento IT dell'azienda stessa o dal team di progetto che si occupa dell'infrastruttura dell'impresa prima di implementare i servizi di dominio e registrati in uno speciale accordo sul livello di servizio che determina il livello di prestazioni atteso e la qualità del servizio fornito.
Le informazioni ottenute dopo la progettazione o, più spesso, dopo la distribuzione di Servizi di dominio Active Directory devono essere documentate con attenzione. Tale documentazione dovrebbe includere informazioni sulla struttura molto logica e fisica dei servizi di dominio, i modelli amministrativi, l'infrastruttura per la risoluzione dei nomi, eventuali modifiche pianificate nell'ambiente dell'organizzazione, nonché componenti aggiuntivi dell'infrastruttura come l'implementazione di server di posta Microsoft Exchange, sistema Server del centro e molto altro ancora. Nella maggior parte dei casi, il personale IT di un'organizzazione ignora il processo di documentazione e, quando il personale IT cambia, i nuovi amministratori possono impiegare del tempo per allinearsi completamente con l'attuale infrastruttura dell'organizzazione.
È inoltre necessario comprendere che nel servizio directory quasi tutti i controller di dominio sono uguali (in questo contesto non vengono presi in considerazione controller di dominio di sola lettura, RODC), ovvero tutti i controller di dominio hanno accesso in scrittura al database e può replicare questi dati ad altri controllori. Questa topologia gestisce bene la maggior parte delle operazioni banali di Active Directory ed è chiamata replica peer-to-peer(Multimaster). Tuttavia, ci sono alcune operazioni che devono essere eseguite sul server autorizzato designato direttamente per tali operazioni. In altre parole, i controller di dominio che eseguono operazioni o ruoli specifici nel proprio dominio sono chiamati master (o master) operazioni. Conoscere e comprendere lo scopo di tutti i ruoli della procedura guidata è essenziale perché in caso di ripristino di emergenza, aggiornamento o migrazione, sono i controller di dominio che eseguono i ruoli della procedura guidata che possono svolgere uno dei ruoli più importanti. Di conseguenza, si tratta delle procedure guidate delle operazioni che verranno discusse in questo articolo.
In questo articolo imparerai:

• Su cosa sarebbe successo se non ci fossero stati maghi operativi;
• Informazioni sui ruoli delle procedure guidate delle operazioni a livello di foresta;
• Informazioni sui ruoli delle procedure guidate delle operazioni a livello di dominio;
• Come è possibile determinare quale controller ha il ruolo FSMO;
• Catturare e trasferire i ruoli dei maestri delle operazioni;
• Informazioni sul posizionamento corretto delle operazioni guidate sui controller di dominio.

• Pianificazione e documentazione dei controller di dominio con ruoli di operazioni guidate... Questo è un argomento separato che include la comprensione delle sfumature della pianificazione di Servizi di dominio Active Directory ed esula dall'ambito di questo articolo;
• Server di catalogo globale... Molti amministratori di sistema equiparano i server di catalogo globale ai ruoli delle procedure guidate di azione. In realtà, questo è un falso giudizio. Il catalogo globale è un repository di dati distribuito che memorizza le informazioni su ciascun oggetto e consente inoltre agli utenti e alle applicazioni di trovare oggetti in qualsiasi dominio della foresta corrente cercando gli attributi inclusi nel catalogo globale, identificati nello schema come privati insieme di attributi. Il catalogo globale stesso risiede sui controller di dominio designati come server di catalogo globale e viene a sua volta replicato tramite la replica Multimaster. Sebbene il catalogo globale contenga un elenco completo di tutti gli oggetti nella foresta e i server di catalogo globale possono rispondere a tutte le richieste senza la necessità di fare riferimento ad altri controller di dominio, il catalogo globale non è un ruolo per le azioni guidate. È possibile leggere il seguente articolo sui server di catalogo globale: "Server di catalogo globale";
• Interazione delle operazioni guidate con i controller di dominio di sola lettura... I controller di dominio di sola lettura (controller di dominio di sola lettura) sono un tipo speciale e relativamente nuovo di controller di dominio che dovrebbe essere distribuito nelle filiali di un'organizzazione che non dispongono di un livello sufficiente di sicurezza e di personale IT qualificato. Come per la pianificazione delle operazioni guidate e dei server di catalogo globale, i controller di dominio di sola lettura (RODC) sono un argomento ampio di per sé e non ha senso acquisirli in questo articolo. Tuttavia, vale la pena notare subito che i controller di dominio di sola lettura non possono fungere da controller di dominio con il ruolo di Operations Wizard;
• Risoluzione dei problemi ed errori con le azioni guidate... Un argomento interessante e piuttosto voluminoso che non verrà trattato, poiché questo articolo discute i concetti generali dei ruoli delle procedure guidate delle operazioni.

Cosa accadrebbe se non ci fossero i maestri delle operazioni?

• Protocollo LDAP (Lightweight Directory Access Protocol);
• smtp.

Ruoli delle procedure guidate delle operazioni a livello di foresta

• Procedura guidata dello schema;
• Procedura guidata per la denominazione del dominio

Il ruolo dello Schema Master

Il ruolo del Domain Naming Master

• Aggiunta e rimozione di domini... Quando si esegue un'operazione come l'aggiunta o la rimozione di un dominio figlio utilizzando l'Installazione guidata di Active Directory o l'utilità della riga di comando, l'installazione guidata fa riferimento specificamente alla procedura guidata di denominazione del dominio e chiede il diritto di aggiungere o, rispettivamente, eliminare quest'ultimo. La procedura guidata per la denominazione dei domini è inoltre responsabile di garantire che i domini di una foresta abbiano nomi NETBIOS univoci in tutta la foresta. Naturalmente, per ovvie ragioni, se la procedura guidata per la denominazione dei domini non è disponibile, non sarà possibile aggiungere o rimuovere domini nella foresta;
• Aggiunta e rimozione di riferimenti incrociati... Come già saprai, quando crei il primo controller di dominio in una foresta, vengono create partizioni di schema, configurazione e directory di dominio. A questo punto, viene creato un oggetto di riferimento incrociato (classe crossRef) per ogni partizione di directory nel contenitore Partizioni della sezione di configurazione (CN = partizioni, CN = configurazione, DC = forestRootDomain). L'oggetto di riferimento incrociato definisce il nome e la posizione dei server che archiviano ogni partizione di directory nella foresta. Alla creazione di ogni successivo dominio o partizione del catalogo applicazioni, viene avviata la creazione di un oggetto di riferimento incrociato nel contenitore Partizioni.
• Aggiunta e rimozione di partizioni della directory dell'applicazione... Le partizioni di directory applicative sono partizioni speciali che è possibile creare sui controller di dominio Windows Server 2003, Windows Server 2008 o Windows Server 2008 R2 per fornire l'archiviazione dinamica dei dati per le applicazioni LDAP. Se la foresta è in esecuzione a livello di Windows Server 2000, in tale foresta tutti i dati non di dominio sono limitati ai dati di configurazione e schema replicati su tutti i controller di dominio nella foresta. In una foresta di Windows Server 2003/2008 e 2008R2, le partizioni del catalogo applicazioni forniscono l'archiviazione di dati specifici dell'applicazione su un controller di dominio che può essere riprodotto su qualsiasi controller di dominio nella foresta.
• Conferma delle istruzioni per rinominare i domini... L'ultimo passaggio della procedura guidata per la denominazione dei domini consiste nel confermare le istruzioni per la ridenominazione dei domini. Di solito, è consuetudine rinominare i domini utilizzando una speciale utilità della riga di comando. Pertanto, quando si utilizza l'utilità Rendom.exe, progettata per rinominare i domini, per rinominare un dominio, l'utilità deve avere accesso alla procedura guidata di denominazione del dominio. Oltre alle funzionalità di cui sopra, la procedura guidata per la denominazione dei domini è anche responsabile della conferma delle istruzioni per la ridenominazione dei domini. Quando si esegue lo strumento specificato, su un controller di dominio con il ruolo Creazione guidata denominazione dominio, uno script XML contenente le istruzioni per rinominare i domini viene scritto nell'attributo msDS-UpdateScript dell'oggetto contenitore Partizioni (CN = partizioni, CN = configurazione, DC = forestRootDomain) della partizione della directory di configurazione. Vale la pena ricordare che il contenitore Partitions può essere aggiornato solo su un controller di dominio che contiene il ruolo Domain Naming Master. Oltre al valore dell'attributo msDS-UpdateScript, l'utilità Rendom.exe scrive il nuovo nome DNS di ciascun dominio rinominato nell'attributo msDS-DnsRootAlias ​​dell'oggetto di riferimento incrociato (classe crossRef) corrispondente a quel dominio. Anche in questo caso, poiché l'oggetto del riferimento incrociato è archiviato nel contenitore Partitrions, questo oggetto può essere aggiornato solo su un controller di dominio con il ruolo di Domain Naming Master. I dati modificati per gli attributi msDS-UpdateScript e msDS-DnsRootAlias ​​vengono replicati in tutti i controller di dominio nella foresta.

Ruoli della procedura guidata per le operazioni di dominio

• Procedura guidata RID relativa
• Emulatore PDC PDC
• Procedura guidata infrastruttura

Maestro RID

Emulatore PDC

• Partecipa alla replica degli aggiornamenti delle password di dominio... Quando una password utente viene modificata o reimpostata, il controller di dominio di creazione replica la modifica all'emulatore PDC tramite la replica accelerata. Questa replica garantisce che i controller di dominio apprendano rapidamente la password modificata. Nel caso in cui un utente tenti di accedere immediatamente dopo aver modificato la password, il controller di dominio che risponde a questa richiesta potrebbe non conoscere ancora la nuova password. Prima di rifiutare il tentativo di accesso, questo controller di dominio inoltra una richiesta di autenticazione all'emulatore PDC, che verifica che la nuova password sia corretta e indica al controller di dominio di accettare la richiesta di accesso. Ciò significa che ogni volta che un utente inserisce una password errata, l'autenticazione viene inviata all'emulatore PDC per una conclusione finale;
• Gestione degli aggiornamenti dei criteri di gruppo nel dominio... Come sai, i Criteri di gruppo vengono utilizzati per gestire la maggior parte delle impostazioni di configurazione per i computer e gli utenti della tua organizzazione. Nel caso in cui un oggetto Criteri di gruppo venga modificato su due controller di dominio all'incirca contemporaneamente, in seguito potrebbero verificarsi conflitti tra le due versioni che non vengono risolti durante la replica degli oggetti Criteri di gruppo. Per evitare tali conflitti, l'emulatore PDC funziona come segue: quando si apre un oggetto Criteri di gruppo, lo snap-in Editor gestione criteri di gruppo è associato al controller di dominio che svolge il ruolo PDC e tutte le modifiche agli oggetti Criteri di gruppo vengono apportate all'emulatore PDC da predefinito;
• Agire come browser centrale per un dominio... I client utilizzano Active Directory per rilevare le risorse di rete. Quando si apre una finestra "Rete" il sistema operativo visualizza un elenco di gruppi di lavoro e domini. Dopo che l'utente ha aperto il gruppo di lavoro o il dominio specificato, sarà in grado di vedere l'elenco dei computer. Questi elenchi vengono generati tramite il servizio browser e, su ciascun segmento di rete, il browser host crea un elenco di esplorazione con i gruppi di lavoro, i domini e i server di quel segmento. Il browser centrale unisce quindi gli elenchi di tutti i browser principali in modo che i computer client possano visualizzare l'intero elenco di navigazione. Penso che tra tutte le funzioni dell'emulatore PDC, potresti avere domande relative direttamente al browser centrale del dominio, quindi questo argomento verrà discusso in dettaglio in un articolo a parte;
• Fornire la principale fonte di tempo di dominio... Poiché Active Directory, Kerberos, DFS-R e FRS utilizzano tutti i timestamp, è necessaria la sincronizzazione dell'ora in tutti i sistemi del dominio. L'emulatore PDC nel dominio radice della foresta funge da origine dell'ora principale per l'intera foresta. Il resto dei controller di dominio sincronizza l'ora con l'emulatore PDC ei computer client con i controller di dominio. Il servizio di sincronizzazione gerarchica, implementato nel servizio Win32Time, garantisce la coerenza temporale.

Procedura guidata infrastruttura

Come determinare quale controller di dominio ha il ruolo FSMO

Definire i proprietari dei ruoli di master operazioni utilizzando la GUI

Determinazione dei proprietari delle operazioni guidate utilizzando la riga di comando

Riso. 6. Definizione dei ruoli FSMO utilizzando l'utility Dcdiag

Acquisizione e trasferimento dei ruoli della procedura guidata dell'operazione

1. Apri una riga di comando e in essa vai all'utilità ntdsutil;
2. Passare alla gestione dei ruoli NTDS utilizzando il comando ruoli;
3. È necessario stabilire una connessione a un controller di dominio che assumerà il ruolo di proprietario della procedura guidata delle operazioni in futuro. Per fare ciò, esegui il comando connessioni;
4. In linea "Connessioni server" accedere connettersi al server e specificare il controller di dominio richiesto;
5. Torna a gestione fsmo usando il comando esentato;
6. Ora in linea gestione fsmo specificare il comando prendere e clicca su accedere;
7. In questo passaggio finale, è necessario selezionare il ruolo FSMO che verrà rilevato dal controller di dominio non funzionante.

1. Disconnettere fisicamente un controller di dominio di questo tipo dalla rete;
2. Abbassa di livello un controller di dominio a un server membro utilizzando il comando Dcpromo / forceremoval;
3. Cancella i metadati per il controller di dominio corrente. Puoi pulire i metadati usando l'utility Ntdsutil con la squadra Pulizia dei metadati;
4. Dopo aver rimosso i metadati, è necessario portare il server in linea, unire il dominio e quindi promuovere il server a controller di dominio;
5. Nell'ultimo passaggio, trasferisci semplicemente il ruolo a questo controller di dominio.

Procedure guidate per le operazioni di hosting sui controller di dominio

• Ruoli host RID Master ed emulatore PDC sullo stesso controller di dominio... Questi ruoli della procedura guidata delle operazioni sono collocati insieme per motivi di bilanciamento del carico. Poiché questi ruoli sono partner di replica diretta, inserendo questi ruoli su controller di dominio separati, sarà necessario stabilire una connessione veloce per i rispettivi due sistemi e creare oggetti espliciti per essi in Active Directory. Inoltre, se nella tua organizzazione sono presenti server che svolgono il ruolo di master of operations di backup, su tali server questi ruoli devono essere anche partner diretti;
• Ospitare lo schema del dominio e i ruoli della procedura guidata di denominazione su un singolo controller di dominio... Come regola generale, i ruoli Creazione guidata schema e Creazione guidata denominazione dominio si trovano in un unico controller di dominio che funge da server di catalogo globale. Il ruolo della procedura guidata per la denominazione dei domini deve essere anche un server di catalogo globale, poiché quando si aggiunge un nuovo dominio, la procedura guidata deve garantire che non vi siano oggetti nella foresta con lo stesso nome del nuovo dominio da aggiungere. Se un controller di dominio con il ruolo Domain Naming Master non è un server di catalogo globale, le operazioni come la creazione di domini nipote potrebbero non riuscire. Poiché questi ruoli sono i meno utilizzati, è necessario assicurarsi che il controller di dominio che li gestisce sia il più sicuro possibile;
• Il ruolo Infrastructure Wizard deve essere ospitato su un controller di dominio che non funge da server di catalogo globale. In genere, la procedura guidata dell'infrastruttura deve essere distribuita a un controller di dominio che non funge da server di catalogo globale, ma dispone di un oggetto di connessione diretta a uno dei cataloghi globali nella foresta. Poiché il server di catalogo globale mantiene repliche parziali di tutti gli oggetti nella foresta, la procedura guidata dell'infrastruttura ospitata sul server di catalogo globale non eseguirà gli aggiornamenti perché non contiene riferimenti a oggetti che non contiene.

Invece di una conclusione