Menaxhimi i roleve FSMO me Ntdsutil. Rolet e FSMO të Drejtorisë Aktive

01.05.2019 Vlerësime

Menaxhimi i roleve FSMO duke përdorur snap-in standarde të MMC nuk është një proces shumë i përshtatshëm, pasi duhet të përdorni skedarë të ndryshëm për të hyrë në role të ndryshme dhe disa prej tyre nuk janë ende të lehta për t'u arritur. Për më tepër, snap-in-i MMC nuk lejon funksionimin e kapjes së roleve në rast të dështimit të kontrolluesit të domenit në të cilin ato ishin vendosur. Është shumë më i përshtatshëm për këto qëllime të përdoret shërbimi ntdsutil, e cila do të diskutohet në këtë artikull.

Para se të kalojmë në pjesën praktike, le të kujtojmë se çfarë është dhe të shqyrtojmë se çfarë ndodh saktësisht me ActiveDirectory nëse ato dështojnë. Ka pesë role FSMO, dy për pyllin dhe tre për domenin.

Rolet e nivelit të pyllit ekzistojnë në një shembull të vetëm dhe, megjithëse të rëndësishëm, janë më pak kritikët për funksionimin e AD. Çfarë ndodh nëse secila prej tyre nuk është e disponueshme:

Mjeshtër i skemës- është e pamundur të ndryshohet skema. Megjithatë, kjo procedurë kryhet çdo disa vjet kur kontrolluesit në një OS më të ri futen në rrjet ose instalohen disa produkte të tjera të serverit, si Exchange. Në praktikë, mungesa e një pronari të skemës mund të anashkalohet për vite me rradhë.
Master i emërtimit të domenit- është e pamundur të shtoni ose hiqni një domen. Në mënyrë të ngjashme, me pronarin e skemës, mungesa e tij mund të kalojë pa u vënë re për një kohë mjaft të gjatë.

Rolet e nivelit të domenit ekzistojnë, një në çdo fushë dhe janë më kritike për funksionimin e AD.

Mjeshtër i infrastrukturës- nëse ka disa domene në kontrollues që nuk janë katalogë globalë Anëtarësimet e grupeve lokale të domenit mund të shkelen. Nëse të gjithë kontrolluesit e domenit janë katalogë globalë (sot ky është konfigurimi i rekomanduar nga Microsoft), atëherë mund të harroni me siguri ekzistencën e masterit të infrastrukturës, ashtu si me një domen të vetëm në pyll.
RID pritës- pas një kohe do të jetë e pamundur të krijohet një objekt i ri në AD, koha varet nga sasia e mbetur e SID-ve falas, të cilat lëshohen në grupe prej 500 bosh. Nëse AD juaj ka një numër të vogël objektesh dhe ju nuk shtoni të reja çdo ditë, atëherë mungesa e masterit RID do të kalojë pa u vënë re për një kohë të gjatë.
Emulator PDCështë roli më kritik. Nëse nuk është i disponueshëm, do të bëhet menjëherë e pamundur të hyni në domenin e klientëve përpara Windows 2000 (nëse janë ende diku tjetër), sinkronizimi i kohës do të ndalet dhe disa politika nuk do të hyjnë në fuqi nëse futet një fjalëkalim i pasaktë. Në praktikë, mungesa e një emulatori PDC do të vërehet herën e parë jashtë sinkronizimit për më shumë se 5 minuta, dhe kjo mund të ndodhë më herët nga sa mund të prisni.

Në të njëjtën kohë, siç mund ta shihni, nuk ka asnjë rol të vetëm FSMO, dështimi i të cilit do të çonte në një humbje të konsiderueshme të funksionalitetit të AD, edhe nëse të gjitha rolet e FSMO dështojnë, infrastruktura mund të funksionojë normalisht për disa ditë, javë apo edhe muaj. .

Prandaj, nëse do ta hiqni kontrolluesin që përmban disa ose të gjitha rolet jashtë shërbimit për ca kohë (për shembull, për mirëmbajtje), atëherë nuk ka nevojë t'i transferoni ato, AD juaj do të jetojë normalisht pa to.

Transferimi i roleve është i përshtatshëm nëse planifikoni ta hiqni këtë server jashtë shërbimit për një kohë të gjatë ose ta transferoni atë në një departament tjetër (për shembull, në një faqe tjetër), ose operacionet e planifikuara mund të çojnë në dështimin e tij (për shembull, një harduer përmirësim).

Në rast të dështimit të kontrolluesit, mos nxitoni të kapni rolet, do të keni gjithmonë kohë për ta bërë këtë, përndryshe, kur rivendosni dhe lidheni me rrjetin e një serveri që më parë përmbante role FSMO, do të merrni shumë momente të pakëndshme të lidhura me Rikthimi i USN-së dhe rivendosjen e funksionimit normal të domenit. Nëse, megjithatë, rolet do të kapeshin dhe më pas do të rivendosni kontrolluesin e vjetër, atëherë zgjidhja më e mirë do të ishte riinstalimi i sistemit në të dhe rihyrja në domen.

Gjithashtu, një pikë tjetër jo e dukshme nëse keni domene të shumta dhe jo të gjithë kontrollorët janë katalogë globalë mos e strehoni masterin e infrastrukturës në një kontrollues të kataloguar globalisht... Kjo është e barabartë me mungesën e tij.

Ju mund të zbuloni se cilët kontrollues kanë role FSMO me komandën:

Pyetje në rrjet fsmo

Për të menaxhuar rolet FSMO, ekzekutoni programin ntdsutil në çdo kontrollues domeni:

Ntdsutil

Pastaj le të kalojmë te rolet menaxhuese:

Hapi tjetër është të lidhemi me kontrolluesin e domenit në të cilin do të transferojmë rolet, për këtë shkojmë në nënmenynë e lidhjes me serverët:

Lidhjet

dhe lidheni me serverin e dëshiruar:

Lidhu me serverin SERVERNAME

ku EMRI I SERVERIT- emri i kontrolluesit të domenit që na nevojitet. Pastaj dalim nga nënmenyja:

Duhet mbajtur mend se ne mund ta ekzekutojmë programin në cilindo nga kontrolluesit e domenit dhe të bashkohemi me çdo DC tjetër për të transferuar ose kapur role. Në shembullin tonë, ne jemi fizikisht në server SRV-DC01 lidhur me serverin WIN2K8R2-SP1 dhe ne do të përpiqemi t'i japim atij një lloj roli.

Për të transferuar role, përdorni komandën transferimi emri i rolit që kalon përdoret si argument, emrat e mëposhtëm përdoren për secilin prej roleve:

emërtimi mjeshtër- master emërtimi i domenit
mjeshtër i infrastrukturës- pronari i infrastrukturës
PDC- Emulator PDC
mjeshtër RID- Mjeshtër RID
mjeshtër i skemës- pronar i skemës

Kujdes! Në sistemet para Windows Server 2008 R2 për master emërtimi i domenit emri i përdorur master emërtimi i domenit.

Për shembull, për të transferuar një rol master emërtimi i domenit ekzekutoni komandën:

Transferimi i emrit master

Do të shfaqet një kuti dialogu që na kërkon të konfirmojmë veprimin, ju këshillojmë që gjithmonë të studioni me kujdes përmbajtjen e tij.

Pasi të ketë marrë një përgjigje pozitive, programi do të transferojë rolin e zgjedhur në një server tjetër.

Tani le të imagjinojmë se serveri WIN2K8R2-SP1është jashtë funksionit në mënyrë të pakthyeshme dhe ne duhet të kapim rolin emërtimi mjeshtër mbrapa. Për të kapur role, përdorni komandën kap e cila ka një sintaksë të ngjashme.

Për të kapur rolin, vraponi përsëri ntdsutil dhe, duke u lidhur me kontrolluesin për të cilin do të kapim, ekzekutoni komandën:

Kap mjeshtrin e emërtimit

Pasi të konfirmojmë kapjen ntdsutil do të përpiqet të transferojë rolin dhe vetëm nëse është e pamundur do ta kapë atë.

Kjo bëhet për të shmangur një situatë kur një rol merret nga një kontrollues që punon dhe dy pronarë të të njëjtit rol shfaqen në rrjet.

Mbani mend që, pas kapjes, përfshijnë kontrolluesin nga i cili u kap roli në rrjet është e ndaluar!

Siç mund ta shihni, duke përdorur programin ntdsutil Nuk është aspak e vështirë dhe madje edhe më e përshtatshme sesa menaxhimi i roleve duke përdorur snap-in-et e MMC. Përveç kësaj, mundësitë ntdsutil nuk kufizohen në menaxhimin e roleve, por ne do të flasim për këtë në materialet e mëposhtme.

Ka disa situata kur duhet të mbani mend rolet. FSMO- ky është rikuperimi nga fatkeqësia pas një dështimi, migrimi, si dhe kërkimi i punës (zakonisht gjatë intervistave u pëlqen të bëjnë pyetje si “Cilat janë rolet në pas Krishtit për një kontrollues domeni, pse nevojiten? "). Dhe megjithëse të gjitha këto situata janë jashtëzakonisht të rralla, për një kuptim të përgjithshëm të punës pas Krishtitështë shumë e dobishme për të kuptuar qëllimin e roleve FSMO.

FSMO, ose Operacione fleksibël me një master të vetëm(operacione me një performues) janë operacione të kryera nga kontrolluesit e domenit Active Directory (AD) që kërkojnë unike të detyrueshme të serverit për çdo operacion. Në varësi të llojit të operacionit, unike FSMO nënkuptohet brenda të njëjtit domen ose pyll domenesh. tipe te ndryshme FSMO mund të funksionojë në një ose shumë kontrollues domenesh. Performanca FSMO thirret serveri rol serverët, dhe vetë serverët janë mjeshtër të operacioneve.

Shumica e operacioneve në pas Krishtit mund të bëhet në çdo kontrollues domeni. Shërbimi i përsëritjes pas Krishtit do të kopjojë ndryshimet në pjesën tjetër të kontrolluesve të domenit, duke siguruar që baza të jetë identike pas Krishtit në të gjithë kontrollorët e të njëjtit domen. Eliminimi i konflikteve është si më poshtë - ai që i bëri ndryshimet të fundit ka të drejtë.

Megjithatë, ka disa veprime (si p.sh. ndryshimi i skemës pas Krishtit) në të cilat konfliktet janë të papranueshme. Prandaj, ka serverë me role FSMO... Detyra e tyre — shmangni konflikte të tilla. Pra kuptimi i roleve FSMO në tjetrën, çdo rol mund të kryhet vetëm në një server në të njëjtën kohë. Dhe nëse është e nevojshme, mund ta transferoni atë në një kontrollues tjetër domeni në çdo kohë.

Gjithsej janë pesë role në pyll FSMO. Së pari, unë do të bëj një përshkrim të shkurtër të tyre. :

Master i skemës ( Master i skemës) - është përgjegjës për të bërë ndryshime në skemë Active Directory... Mund të ketë vetëm një për të gjithë pyllin e domeneve.
Master i emërtimit të domenit ( Master i emërtimit të domenit) - është përgjegjës për veçantinë e emrave për domenet e krijuara dhe ndarjet e aplikacioneve në pyll. Mund të ketë vetëm një për të gjithë pyllin e domeneve.
Mjeshtër i infrastrukturës ( Master i Infrastrukturës) - ruan të dhëna për përdoruesit nga domenet e tjera të përfshira në grupet lokale të domenit të tyre. Mund të ketë një për çdo domen në pyll.
Mjeshtër RID (RID Master) - është përgjegjës për caktimin e identifikuesve relativë unikë ( RID) kërkohet gjatë krijimit të llogarive të domenit. Mund të ketë një për çdo domen në pyll.
Emulator PDC (Emulator PDC) - është përgjegjës për përputhshmërinë me domenin NT4 dhe klientët deri në Windows 2000... Mund të ketë një për çdo domen në pyll.

Tani le të shqyrtojmë secilin rol në më shumë detaje dhe të zbulojmë se sa të rëndësishëm janë ato për funksionimin. Active Directory.

Master i skemës

Master i skemës- përgjegjës për të bërë ndryshime në skemë, ku ndodhen përshkrimet e të gjitha klasave dhe atributeve Active Directory... Skema modifikohet rrallë, për shembull, kur ndryshoni nivelin e domenit, instaloni Shkëmbim dhe nganjëherë aplikacione të tjera. Ky rol mund të vendoset në çdo kontrollues domeni brenda pyllit. Nëse nuk disponohet Master i skemës ndryshimi i skemës pas Krishtit do të jetë e pamundur.

Master i emërtimit të domenit

Master i emërtimit të domenit përgjegjës për operacionet që lidhen me emrat e domeneve pas Krishtit, megjithatë, lista e detyrave të tij është disi më e gjatë :

Shtoni dhe hiqni domenet brenda pyllit. Vetëm një kontrollues me një rol lejohet të shtojë dhe të heqë domene Master i emërtimit të domenit... Ai monitoron që domeni i shtuar është unik brenda pyllit NETBIOS-emri. Nëse Emërtimi mjeshtër i padisponueshëm, nuk mund të shtoni ose hiqni domenin në pyll.
Krijimi dhe fshirja e seksioneve. Duke filluar me Windows 2003 u bë e mundur krijimi i seksioneve të veçanta - Ndarjet e drejtorisë së aplikacioneve të cilat përdoren për ruajtje në pas Krishtit të dhëna arbitrare. Si shembull - ruajtja e të dhënave për DNS-serverët në seksione ForestDnsZones dhe DomainDnsZones... Menaxhimi i ndarjes kur nuk është i disponueshëm Master i emërtimit të domenit e pamundur.
Krijimi dhe heqja e referencave të kryqëzuara. Referencat e kryqëzuara përdoren për të kërkuar direktorinë kur serveri me të cilin është lidhur klienti nuk përmban kopjen e kërkuar të drejtorisë dhe mund t'i referoheni gjithashtu domeneve jashtë pyllit, me kusht që ato të jenë të disponueshme. Referencat e kryqëzuara ruhen ( crossRef) në enë Ndarëse seksioni Konfigurimi, vetem Master i emërtimit të domenit ka të drejtë të ndryshojë përmbajtjen e këtij kontejneri. Nëse nuk disponohet Master i emërtimit të domenit nuk do të jeni në gjendje të krijoni një referencë të re ose të fshini një të panevojshme.
Miratimi i riemërtimit të domenit. Për të riemërtuar domenin, përdorni programin random.exe. Ajo shkruan një skenar me udhëzime që do të ekzekutohen gjatë procesit të riemërtimit. Ky skenar vendoset në një enë Ndarëse seksioni Konfigurimi... Meqenëse e drejta për të ndryshuar përmbajtjen e këtij kontejneri është vetëm kontrolluesi me rolin Master i emërtimit të domenit, atëherë është ai që është përgjegjës për kontrollimin e udhëzimeve dhe shkrimin e atributeve.

Ky rol mund të vendoset në çdo kontrollues domeni brenda pyllit.

Master i Infrastrukturës

Nëse serveri nuk është një katalog global ( GC), atëherë databaza e saj nuk përmban të dhëna për përdoruesit nga domenet e tjera. Megjithatë, ne mund të shtojmë përdorues nga domene të tjera në grupet e domeneve lokale. Dhe grupi në bazën e të dhënave pas Krishtit duhet të ketë fizikisht lidhje me të gjithë përdoruesit. Ky problem u zgjidh duke krijuar një objekt fiktiv - një fantazmë ( fantazmë). Objektet tallëse janë një lloj i veçantë i objekteve të brendshme të bazës së të dhënave dhe nuk mund të shikohen përmes ADSI ose LDAP... Është puna me fantazmat që bën mjeshtri i infrastrukturës.

Një veçori tjetër e këtij roli është se kontrolluesi i domenit që vepron si master i infrastrukturës nuk ka nevojë të jetë një server global katalogu në mënyrë që të funksionojë siç duhet në një mjedis me shumë domene. Nëse pronari i rolit Master i Infrastrukturësështë gjithashtu një server GC, objektet tallëse nuk krijohen ose përditësohen në këtë kontrollues domeni. Kjo është për shkak se katalogu global tashmë përmban kopje të pjesshme nga të gjitha objekte në Active Directory, dhe ai nuk ka nevojë për fantazma .

RID Master

Çdo llogari në domen (përdorues, kompjuter, grup) duhet të ketë një SID unik ( SID), i cili identifikon në mënyrë unike këtë llogari dhe shërben për të diferencuar të drejtat e aksesit. Duket si SID në mënyrën e mëposhtme:

S-1-5-Y1-Y2-Y3-Y4, ku

S-1 — SID rishikimet 1. Vetëm ky rishikim është aktualisht në përdorim.
5 - Tregon se kush e ka lëshuar SID. 5 do të thotë Autoriteti i NT... Megjithatë, të ashtuquajturit "identifikues të mirënjohur" SID (SID i njohur) mund të ketë 0, 1 dhe disa vlera të tjera në këtë pjesë.
Y1-Y2-Y3- Identifikuesi i domenit të cilit i përket llogaria. E njëjta gjë për të gjitha objektet drejtori i sigurisë brenda të njëjtit domen.
Y4- Identifikuesi relativ ( ID relative, RID) lidhur me një llogari specifike. Zëvendësuar nga grupi i identifikuesve të domenit relacional në momentin e krijimit të llogarisë.

Kontrolluesi i domenit me rol RID Masterështë përgjegjës për ndarjen e një sekuence unike RIDçdo kontrollues domeni në domenin e vet, si dhe për lëvizjen e saktë të objekteve nga një domen në tjetrin. Kontrollorët e domenit ndajnë një grup të përbashkët identifikuesish relativ ( RID Pool), RID nga të cilat çdo kontrollues është i ndarë në pjesë prej 500 copë. Kur numri i tyre përfundon (bëhet më pak se 100), kontrolluesi kërkon një pjesë të re. Nëse është e nevojshme, numri i të lëshuarve RID dhe pragu i kërkesës mund të ndryshohet.

Një fushë tjetër përgjegjësie RID Master- lëvizja e objekteve ndërmjet domeneve. Pikërisht RID Master sigurohet që nuk mund të zhvendosni një objekt në dy domene të ndryshme në të njëjtën kohë. Përndryshe, është e mundur një situatë kur në dy domene do të ketë dy objekte me të njëjtën gjë GUID, e cila është e mbushur me pasojat më të papritura.

Nëse RID Master nuk do të jetë në dispozicion, atëherë pas përfundimit të lirë RID do të bëhet e pamundur krijimi i një llogarie të re, dhe gjithashtu nuk do të jetë e mundur të migroni objekte nga domeni aktual në një tjetër.

Emulator PDC

Fillimisht detyra kryesore Emulatori i Kontrolluesit Primar të Domenit (PDC). po siguronte përputhshmërinë me versionet e mëparshme Dritaret... Në një mjedis të përzier ku takohen klientët Windows NT4.0 / 95/98 dhe kontrolluesit e domenit NT4, Emulator PDC kryen (vetëm për ta) funksionet e mëposhtme:

Përpunimi i operacionit "ndryshimi i fjalëkalimit" për përdoruesit dhe kompjuterët;
Po përsëriten përditësimet në BDC (Kontrolluesi i domenit rezervë);
Shfletuesi i rrjetit (kërkimi për burimet e rrjetit).

Niveli i domenit fillon Windows 2000 dhe punë më të vjetra shtoi ai. Kontrolluesi i domenit me rol Emulator PDC kryen funksionet e mëposhtme:

Përgjegjës për ndryshimin e fjalëkalimeve dhe monitoron bllokimet e përdoruesve në rast të gabimeve të fjalëkalimit. Fillimisht kopjohet një fjalëkalim i ndryshuar nga çdo kontrollues tjetër domeni Emulator PDC... Nëse vërtetimi në ndonjë kontrollues tjetër domeni nuk ishte i suksesshëm, kërkesa përsëritet në Emulator PDC... Nëse llogaria vërtetohet me sukses menjëherë pas një përpjekjeje të pasuksesshme, Emulator PDC njoftohet dhe rivendos në zero numrin e përpjekjeve të dështuara. Është e rëndësishme të theksohet se në rast të padisponueshmërisë Emulator PDC informacioni për ndryshimin e fjalëkalimit do të vazhdojë të përhapet në të gjithë domenin, thjesht do të ndodhë pak më ngadalë.
Redaktori i Politikave të Grupit lidhet me serverin si parazgjedhje Emulator PDC, dhe ndryshimet e politikave ndodhin në të. Nëse Emulator PDC nuk është i disponueshëm, do t'ju duhet t'i tregoni redaktorit me cilin kontrollues domeni të lidhet.
Si parazgjedhje është Emulator PDCështë një server kohe për klientët në domen. Emulator PDC domeni rrënjë në pyll është serveri i parazgjedhur i kohës për Emulator PDC në domenet e fëmijëve.
Ndryshimet e hapësirës së emrave Sistemi i skedarëve të shpërndarë (DFS) futen në një kontrollues domeni me rolin Emulator PDC... Serverët rrënjë DFS kërkojnë periodikisht prej tij meta të dhëna të përditësuara, duke i ruajtur ato në kujtesën e tyre. Paarritshmëri Emulator PDC mund të rezultojë në funksionim të gabuar DFS.
V Active Directory ekzistojnë të ashtuquajturat "parime të integruara të sigurisë" ( Drejtuesit e njohur të sigurisë). Shembujt përfshijnë llogaritë Të gjithë, Përdorues të Autentifikuar, Sistemi, Vetë dhe Pronari krijues... Të gjithë ata menaxhohen nga një kontrollues domeni me rolin Emulator PDC... Më saktësisht, me ndryshimet në pas Krishtit Emulator PDC kontrollon dhe përditëson përmbajtjen e kontejnerit " CN = Parimet e mirënjohura të sigurisë, CN = Konfigurimi, DC = >”.

Në çdo fushë në pyll Active Directory ekziston një pronar i përshkruesve të sigurisë administrative - AdminSDHolder... Ai ruan informacione rreth cilësimeve të sigurisë për të ashtuquajturat grupe të mbrojtura ( grupet e mbrojtura). Në intervale të rregullta, ky mekanizëm kërkon një listë të të gjithë anëtarëve të këtyre grupeve dhe u cakton të drejta në përputhje me listën e tij të kontrollit të aksesit. Në këtë mënyrë AdminSDHolder mbron grupet administrative nga ndryshimet. E kryer AdminSDHolder në një kontrollues domeni me rolin Emulator PDC.

Kjo është ndoshta e gjitha. Shpresoj të kem arritur të sqaroj sadopak situatën me role. FSMO... Dhe herën tjetër do të shikojmë opsionet për transferimin e roleve në një kontrollues tjetër domeni, si dhe detyrimin e caktimit (konfiskimit) të një roli nëse kontrolluesi i domenit që e kryen nuk është i disponueshëm.

Microsoft Windows Active Directory është depoja qendrore për të gjitha objektet e ndërmarrjes dhe atributet e tyre përkatëse. Kjo bazë të dhënash është hierarkike, e aftë të mbështesë shumë host dhe të përmbajë miliona objekte. Mbështetja multi-master ju lejon të modifikoni bazën e të dhënave nga çdo kontrollues domeni brenda ndërmarrjes, pavarësisht nga gjendja e lidhjes me rrjetin.

Modeli me shumë host i Windows 2000

Një bazë të dhënash me shumë master (siç është Active Directory) pranon ndryshime nga çdo kontrollues domeni brenda ndërmarrjes, të cilat potencialisht mund të çojnë në konflikte kur riprodhohen të dhënat në kompjuterë të tjerë. Si një nga metodat për zgjidhjen e përditësimeve konfliktuale, Windows 2000 përdor algoritmin e përparësisë së hyrjes së fundit, i cili pranon vlerën e të dhënave nga kontrolluesi i fundit i modifikuar i domenit dhe hedh poshtë vlerat në kontrollorët e tjerë të domenit. Megjithatë, disa konflikte janë aq komplekse sa nuk mund të zgjidhen në këtë mënyrë. Është më e lehtë t'i parandalosh sesa t'i eliminosh pas faktit.

Disa lloje ndryshimesh në Windows 2000 trajtohen me metoda që parandalojnë konfliktet midis përditësimeve të Active Directory.

Modeli i mbështetjes së një hosti të vetëm Windows 2000

Për të parandaluar ndodhjen e përditësimeve konfliktuale, Active Directory kryen përditësime për objekte të veçanta duke përdorur një model me një host të vetëm. Sipas këtij modeli, vetëm një kontrollues domeni në të gjithë drejtorinë lejohet të bëjë përditësime. Ky proces është i ngjashëm me rolin që i është caktuar Kontrolluesit Primar të Domenit (PDC) në versionet e mëparshme të Windows (për shembull, Microsoft Windows NT 3.51 dhe 4.0), në të cilin PDC është përgjegjëse për përpunimin e të gjitha përditësimeve në një domen specifik.

Windows 2000 Active Directory zgjeron modelin me një host të vetëm të përdorur në versionet e mëparshme të Windows për të përfshirë mbështetjen për role të shumta dhe aftësinë për të transferuar role te kontrollorët e tjerë në të gjithë ndërmarrjen. Për shkak se roli i Active Directory nuk është i lidhur ngushtë me një kontrollues të vetëm domeni, ai quhet roli Flexible Single Master Operation (FSMO). Ekzistojnë pesë role FSMO në Windows 2000:

pronar i skemës

master emërtimi i domenit

host RID

Emulator PDC

demon i infrastrukturës

Roli i FSMO "Skema Master".

Kontrolluesi kryesor i domenit të skemës është përgjegjës për përditësimin e skemës së drejtorisë (d.m.th., skema ose konteksti i emërtimit LDAP: // cn = skema, cn = konfigurimi, dc = ). Vetëm ky kontrollues domeni mund të bëjë ndryshime në skemën e drejtorisë. Pasi skema të përditësohet, ajo përsëritet nga masteri i skemës te kontrollorët e tjerë të domenit në drejtori. Mund të ketë vetëm një master skeme në një direktori.

Domain Emërtimi Master Roli FSMO

Kontrolluesi i domenit në rolin kryesor të emërtimit të domenit është përgjegjës për modifikimin e hapësirës së emrave të domenit të drejtorisë brenda pyllit (d.m.th., ndarjen \ konfigurimi ose konteksti i emërtimit LDAP: // CN = Ndarjet, CN = konfigurimi, DC = ). Vetëm ky kontrollues ka të drejtë të fshijë dhe shtojë domene në drejtori. Përveç kësaj, ai shton dhe heq referenca të kryqëzuara në domenet në drejtoritë e jashtme.

Roli i FSMO "RID Master"

Kontrolluesi i domenit në rolin master RID është përgjegjës për trajtimin e kërkesave të grupit RID nga kontrollorët e tjerë brenda një domeni specifik dhe për heqjen e objekteve nga domeni dhe vendosjen e tyre në një domen tjetër.

Kur një kontrollues domeni krijon një objekt kryesor sigurie (si p.sh. një përdorues ose grup), ai i cakton atij një identifikues sigurie (SID). Ky identifikues përbëhet nga një SID domeni (i përbashkët për të gjithë identifikuesit e sigurisë të krijuar në të njëjtin domen) dhe një identifikues relativ (RID) (unik për çdo kryesor sigurie të krijuar në të njëjtin domen).

Çdo kontrollues domeni i Windows 2000 në domen ka një grup identifikuesish relativ (RID) që mund t'u caktojë parimeve të sigurisë që krijon. Kur numri i RID-ve në grupin e një kontrolluesi domeni bie nën pragun, ai kërkon nga masteri RID për ID të reja. Masteri RID merr ID-të nga grupi i domenit të paalokuar dhe i cakton ato në grupin e kontrolluesit të domenit kërkues. Ekziston vetëm një master RID për domenin e drejtorisë.

Roli i FSMO "PDC Emulator"

Emulatori PDC kërkohet për sinkronizimin e kohës në të gjithë ndërmarrjen. Windows 2000 përfshin shërbimin W32Time (Windows Time), i cili përdoret nga protokolli i vërtetimit Kerberos. Të gjithë kompjuterët Windows 2000 në të njëjtën ndërmarrje ndajnë të njëjtën kohë. Për të siguruar sinkronizimin e saktë të kohës, shërbimi "Windows Time" duhet të përdorë një strukturë marrëdhëniesh hierarkike që kontrollon autoritetin dhe nuk lejon "laqe" në menaxhim.

Emulatori PDC i domenit vepron si emulatori kryesor i domenit. Emulatori PDC në rrënjët e pyllit bëhet emulatori kryesor brenda ndërmarrjes. Duhet të konfigurohet për të marrë një vlerë kohore nga një burim i brendshëm. Kur zgjedh një burim kohe, mbajtësit e roleve FSMO të emulatorit PDC ndjekin hierarkinë e domenit.

Në një domen të Windows 2000, mbajtësi i rolit të emulatorit PDC ruan funksionalitetin e mëposhtëm: Ndryshimet e fjalëkalimit të bëra nga kontrollorët e tjerë të domenit replikohen kryesisht në emulatorin PDC.

Ndryshimet e fjalëkalimit të bëra nga kontrollorët e tjerë të domenit replikohen kryesisht në emulatorin PDC.

Përpara se përdoruesi të marrë një mesazh gabimi të duhur, dështimet e vërtetimit në një kontrollues specifik domeni të shkaktuara nga një fjalëkalim i pasaktë i dërgohen emulatorit PDC.

Rastet e bllokimit të llogarisë trajtohen në emulatorin PDC.

Emulatori PDC kryen të gjitha funksionet e një emuluesi të serverit PDC për Microsoft Windows NT 4.0, versionet e mëparshme të emulatorëve të bazuar në Windows NT 4.0 ose klientë të mëparshëm.

Nuk keni nevojë të përdorni këtë pjesë të rolit të emulatorit PDC nëse të gjitha stacionet e punës, serverët dhe kontrolluesit e domenit që përdorin Windows NT 4.0 ose më të hershëm janë përmirësuar në Windows 2000. Emulatori PDC kryen të njëjtat funksione si në një mjedis Windows 2000 .

Në vijim përshkruhen ndryshimet që ndodhin gjatë procesit të përmirësimit: Klientët që përdorin Windows 2000 (stacionet e punës, serverët) dhe klientët e mëparshëm me të instaluar Paketën e Klientit të Shërbimeve të Shpërndara nuk i japin përparësi kontrolluesit të domenit kur bëjnë hyrje në drejtori (siç janë ndryshimet e fjalëkalimit) që e ka deklaruar veten PDC dhe përdor çdo kontrollues domeni për këtë.

Pas përmirësimit në kontrolluesit rezervë të Windows 2000 (BDC) në domenet e nivelit të ulët, emulatori PDC ndalon marrjen e kërkesave për riprodhim nga domenet e nivelit të ulët.

Klientët e Windows 2000 (stacionet e punës, serverët) dhe klientët e mëparshëm që kanë të instaluar Paketën e Klientit të Shërbimeve të Shpërndara përdorin Active Directory për të gjetur burimet e rrjetit. Shërbimi i shfletuesit Windows NT nuk kërkohet për ta.

Roli i FSMO "Infrastruktura"

Një referencë për një objekt nga një domen në një objekt nga një domen tjetër përcaktohet nga GUID, SID (për parimet e sigurisë) dhe emri i dalluar (DN) i objektit. Kontrolluesi kryesor i domenit të infrastrukturës është përgjegjës për përditësimin e identifikuesve të sigurisë dhe emrave të dalluar të objekteve në referencat e objekteve të ndërsjella.

Shënim.

Roli i Infrastrukturës Master (IM) nuk duhet të luhet nga një kontrollues domeni që është një server i katalogut global. Përndryshe, masteri i infrastrukturës nuk do të përditësojë informacionin e objektit sepse ai nuk përmban referenca për objektet që nuk i ruan. Arsyeja për këtë sjellje është se serveri i katalogut global ruan kopje të pjesshme të të gjitha objekteve në pyll. Si rezultat, referencat e objekteve ndërmjet domeneve në atë domen nuk do të përditësohen dhe një paralajmërim do të shfaqet në regjistrin e ngjarjeve të këtij kontrolluesi të domenit.

Nëse kontrollorët në një domen të veçantë ruajnë gjithashtu një katalog global, të gjithë kontrollorët e domenit do të kenë informacionin më të fundit, pavarësisht se cili kontrollues domeni mban rolin Master të Infrastrukturës.

Asnjë postim i lidhur...

Transferimi i FSMO. Qëllimi i ngjarjes sonë është të transferojmë FSMO nga një kontrollues domeni në tjetrin. Për të qenë në anën e sigurt, unë do të mbuloj disa mënyra për të transferuar role, duke përfshirë rastin kur masteri aktual FSMO nuk është i disponueshëm.

Së pari, një teori e vogël:
FSMO (Operacionet Flexible single-master) janë lloje të operacioneve të kryera nga kontrollorët e domenit Active Directory që kërkojnë veçantinë e serverit që i kryen ato.

Kjo do të thotë, të gjithë kontrolluesit e domenit janë të barabartë, por një (ose disa) janë më të barabartë se të tjerët, për aq sa kryejnë pikërisht këto operacione me një interpretues. Në varësi të llojit të operacionit, unikaliteti i FSMO nënkuptohet ose brenda pyllit të domenit ose domenit.

Në total, korporata e vogël e butë na ka dhënë 5 role:

Masteri i skemës është një server me këtë rol për të gjithë pyllin. Roli kërkohet për të zgjeruar skemën e pyllit të Active Directory, zakonisht ky operacion kryhet nga komanda adprep / forestprep

Master i emërtimit të domenit - një për të gjithë pyllin. Një server me këtë rol duhet të sigurojë që emrat të jenë unikë për të gjitha domenet dhe ndarjet e aplikacioneve që krijohen në pyllin AD.

Pronari i identifikuesve relativ (emulatori PDC) është një server për domen. Ai ka disa funksione: është shfletuesi kryesor në rrjetin Windows, monitoron kyçjet e përdoruesve nëse fjalëkalimi është futur gabimisht, është serveri kryesor NTP në domen dhe është krijuar për të mbështetur klientët me sisteme operative para Windows 2000.

Emulatori Master i Infrastrukturës - një server për domen. Një server me këtë rol kërkohet që komanda adprep / domainprep të funksionojë me sukses. Përgjegjës për përditësimin e identifikuesve të sigurisë (GUID, SID) dhe emrat e dalluar të objekteve në referencat e objekteve ndër-domenale.

Pronari i Infrastrukturës së Domenit (RID Master) - një server për çdo domen. Serveri shpërndan RID (500 secili) te kontrollorët e tjerë të domenit për të krijuar SID unike.

Për të menaxhuar rolin master të skemës, duhet të jeni në grupin "Administrat e skemës".
Për të menaxhuar rolin kryesor të emërtimit të domenit, duhet të jeni anëtar i grupit "Administrat e ndërmarrjes".
Për të menaxhuar rolet e emulatorit PDC, Masterit të Infrastrukturës dhe Masterit RID, duhet të keni të drejta administratori për "Adminatorët e Domenit"

Nevoja për transferimin e roleve mund të lindë për arsye të ndryshme, pasi në rrjetet e mëdha këto role mund të kryhen nga serverë të ndryshëm, megjithëse në rastin tonë të gjitha rolet kryhen nga një server. Është e domosdoshme që çdo rol të kryhet në domenin tuaj, nëse ndonjë rol nuk i është caktuar ndonjë serveri, atëherë mund të përballeni me shumë surpriza të pakëndshme, si menjëherë ashtu edhe pas një kohe të gjatë, në varësi të strukturës së AD.

Kur krijohet një domen, si parazgjedhje, të gjitha rolet i caktohen kontrolluesit të parë të domenit në pyll. Ricaktimi i roleve kërkohet rrallë. Microsoft rekomandon përdorimin e FSMO Role Transfer në skenarët e mëposhtëm:

Degradimi i planifikuar i kontrolluesit të domenit që zotëron rolet FSMO, për shembull, për të çaktivizuar serverin (ky është vetëm rasti im);

Mbyllja e përkohshme e një kontrolluesi domeni, për shembull për qëllime mirëmbajtjeje. Kjo është veçanërisht e rëndësishme kur çaktivizoni emulatorin PDC. Çaktivizimi i pjesës tjetër të masterave të funksionimit ndikon përkohësisht AD në një masë më të vogël.

Ju do të duhet të kapni rolet e FSMO në rastet e mëposhtme:

Nëse mbajtësi aktual i rolit të FSMO përjeton ndërprerje që pengojnë kryerjen e suksesshme të funksioneve të qenësishme në këtë rol dhe nuk lejojnë transferimin e rolit;

Sistemi operativ riinstalohet ose nuk niset në kontrolluesin e domenit që zotëron rolin FSMO;

Kontrolluesi i domenit që mbante rolin FSMO u degradua me forcë duke përdorur komandën dcpromo / forceremoval.

Pra, gjëja e parë që na duhet është të zbulojmë se cili server është hosti FSMO. Mënyra më e lehtë për ta bërë këtë është me programin netdom. Duke shtypur në tastierë:

> pyetje neto fsmo

Ne do të marrim një listë të të pesë roleve me FQDN-të pritës. Ju gjithashtu mund ta përdorni këtë mjet pas transferimit të roleve për t'u siguruar që operacioni të jetë i suksesshëm.

Tani mund të filloni të transferoni drejtpërdrejt FSMO:

Metoda e parë, më e thjeshta dhe më tërheqëse për mua - transferimi i roleve FSMO duke përdorur mjetin ntdsutil:

ntdsutil.exe është një mjet i linjës së komandës për mirëmbajtjen e Active Directory. Ai siguron shumë aftësi të menaxhimit të AD, duke përfshirë transferimin dhe kapjen e roleve të FSMO.
Për të transferuar role, shkoni te çdo kontrollues domeni (ky nuk duhet të jetë masteri aktual ose i ardhshëm i FSMO) i vendosur në pyllin në të cilin duhet të kryhet transferimi i roleve. Rekomandohet që të identifikoheni në një kontrollues domeni që i janë caktuar rolet FSMO. Hapni konsolën dhe futni:
> ntdsutil
Pas kësaj, programi niset në modalitetin interaktiv dhe mund të marrë komanda. Komanda jonë e parë tregon se ne duam të punojmë me FSMO
> rolet
Si përgjigje, prompti do të ndryshojë në mirëmbajtje fsmo: Më pas, për të thirrur lidhjen "menu", futni
> lidhjet
Dhe ftesa ndryshon në lidhjet e serverit: Tani mund të specifikoni se me cilin server dëshirojmë të lidhemi (<Имя_сервера>është emri i kontrolluesit të domenit tek i cili dëshironi të transferoni rolin FSMO.)
> lidheni me serverin<Имя_сервера>
për të dalë nga menyja e lidhjes, futni
> q
dhe shtypni Enter. Tani, pasi kemi marrë përsëri kërkesën për mirëmbajtjen e fsmo: ne mund të vazhdojmë me transferimin e roleve. Komanda e transferimit është menduar për këtë:
> transferimi<имя_роли>
Si<имя_роли>ju duhet të specifikoni rolin që dëshironi të transferoni:

emërtimi master - transferimi i rolit kryesor të emrit të domenit;

master i infrastrukturës - transferimi i rolit master të infrastrukturës;

RID master - transferimi i rolit master RID;

schema master - transferimi i rolit master të skemës;

PDC - Transferimi i rolit të emulatorit PDC.

Në versionet e Windows-it më të hershëm se Windows Server 2008R2, masteri i emërtimit të domenit quhet master i emërtimit të domenit. Siç është zakon në sistemet Windows, rasti nuk ka rëndësi.

Pas futjes së çdo komande transferimi, shfaqet një kuti dialogu me një kërkesë konfirmimi (mund të kishit kërkuar konfirmim në tastierë, përndryshe rezulton "jo konsol"), shtypim "OK" çdo herë, përveç nëse sigurisht që i keni shkruar të gjitha komandat e mëparshme rastësisht. :)
Për të dalë nga Ntdsutil, futni komandën q dhe shtypni Enter.

Detyrimi i roleve të fsmo me Ntdsutil

Por çfarë duhet të bëjmë nëse pronari i rolit është i padisponueshëm, i dëmtuar dhe nuk ka asnjë shpresë për ta kthyer në detyrë në të ardhmen e afërt? Dhe këtu ntdsutil.exe do të na ndihmojë përsëri:
Caktimi i detyruar (sekuestrimi) i roleve kryhet vetëm në rast të dështimit të plotë të serverit, me pamundësinë e rikuperimit të tij. Nëse është e mundur, është më mirë të rivendosni funksionalitetin e masterit të dështuar të FSMO. Vetë procedura e kapjes është e ngjashme me atë të përshkruar më sipër. Shkojmë te kontrolluesi i domenit në të cilin duam të transferojmë rolet dhe bëjmë të njëjtën gjë që ishte shkruar në paragrafin e mëparshëm duke futur:
> ntdsutil
> rolet
> lidhjet
> lidheni me serverin<имя_сервера>
> q
I vetmi ndryshim është se në vend të komandës së transferimit, komanda përdoret për të detyruar kapjen e rolit. kap
> kap<имя_роли>
Ku<имя_роли>si më parë

master emërtimi - master emërtimi i domenit (deri në Windows Server 2008R2 - master emërtimi i domenit);

master infrastrukture - master infrastrukture;

rid master - RID master;

schema master - schema master;

pdc është një emulator PDC.

Mos harroni të provoni të transferoni rolin duke përdorur komandën e transferimit përpara se të kapni rolin dhe përdorni kapjen vetëm në rast dështimi.

Kurdoherë që është e mundur, mos ia caktoni rolin Master Infrastructure një kontrolluesi domeni që është një server i katalogut global, sepse ai nuk do të përditësojë informacionin e objektit nëse është e mundur. Arsyeja për këtë sjellje është se serveri i katalogut global ruan kopje të pjesshme të të gjitha objekteve në pyll.

Në asnjë rrethanë mos e ktheni kontrolluesin e domenit që ka luajtur më parë rolet e FSMO-së "në linjë" nëse rolet e luajtura prej tij janë kapur nga komanda seize. kur të shfaqet në rrjet, do të lindë një konflikt, i cili mund të çojë në telashe të mëdha. Duhet të hiqet nga Active Directory. Në Windows Server 2008 e më vonë, mund ta bëni këtë duke fshirë thjesht objektin e serverit në Përdoruesit dhe Kompjuterët e Drejtorisë Active Directory, dhe në Windows Server 2003 duke përdorur Ntdsutil duke përdorur komandën ntdsutil - pastrimi i meta të dhënave.

Opsioni i dytë - Transferimi vullnetar i roleve FSMO duke përdorur snap-in e menaxhimit të Active Directory, është i çuditshëm dhe i papërshtatshëm, por ky është vetëm mendimi im subjektiv, vetë metoda funksionon shkëlqyeshëm.

Ju mund të transferoni role të nivelit të domenit (RID Master, PDC Emulator dhe Infrastructure Master) duke përdorur skedarin snap-in Active Directory Users and Computers. Për ta bërë këtë, shkoni te kontrolluesi i domenit në të cilin duam të transferojmë rolet, hapni snap-in dhe klikoni me të djathtën në domenin e kërkuar, zgjidhni artikullin "Operations Masters".

Në dritaren që hapet, zgjidhni rolin që na nevojitet dhe klikoni butonin "Ndrysho" Më pas konfirmojmë transferimin e rolit dhe shikojmë rezultatin. Emri i hostit të operacioneve duhet të ndryshohet në emrin e serverit aktual.

Për të transferuar rolin Master në emërtimin e domenit, ju nevojitet snap-in Active Directory Domains and Trust. Hapni snap-in, nëse është e nevojshme, lidheni me kontrolluesin e kërkuar të domenit, kliko me të djathtën në rrënjën e snap-in dhe zgjidhni artikullin e menusë "Operations Master".

Hapet një dritare në të cilën duhet të klikoni butonin "Ndrysho" dhe më pas të konfirmoni ndryshimet në të njëjtën mënyrë si në rastin e mëparshëm.

Për të transferuar rolin Master Skema, do t'ju duhet të bëni manipulime pak më komplekse. Hapi i parë është regjistrimi i Bibliotekës së Menaxhimit të Skemës Active Directory në sistem. Kjo mund të bëhet me komandën
> regsvr32 schmmgmt.dll

Pastaj hapni tastierën MMC dhe shtoni në të skemën e skedarit Active Directory.

Tani mund të futeni në skedarin shtesë dhe të ndryshoni zotëruesin e rolit Master Skema, si në shembujt e mëparshëm, duke klikuar me të djathtën në skemë dhe duke zgjedhur artikullin "Operations Master ...".

Hora! Të gjitha rolet janë transferuar. Edhe një herë, mos e lini kurrë domenin tuaj pa një pronar të caktuar roli FSMO. Kurrë! :)

Mbrapa

Komentet (1)

Artikuj të rinj:

Network Discovery nuk do të aktivizohet në Windows 7/8/2008/2012
Thelbi i problemit është se një përdorues në një sistem Windows 7 nuk mundëson zbulimin e rrjetit në cilësimet e rrjetit. Më saktësisht, ndizet, por nëse mbyllni dhe ...

Gabim: Ky aplikacion dështoi të fillonte sepse nuk mund të gjente ose ngarkonte "windows" të shtojcës së platformës Qt.
Pra, pas instalimit duke kopjuar drejtpërdrejt një aplikacion të shkruar në C ++ duke përdorur bibliotekën Qt, marrim gabimin e mëposhtëm: Ky aplikacion dështoi të fillojë ...

hb860 25 nëntor 2011 në orën 14:02
Gjithçka që dëshironi të dini për masterin e operacioneve, por kishit frikë të pyesni

Administrimi i sistemit

Shumica e administratorëve të sistemit në mjedisin e tyre të korporatës përdorin Shërbimet e Domainit të Drejtorisë Active për të siguruar identifikimin dhe aksesin në burimet e ndërmarrjes për përdoruesit e tyre, të cilat mund të quhen në mënyrë të sigurtë zemra e të gjithë infrastrukturës së ndërmarrjes. Siç e dini shumë prej jush, struktura e shërbimeve të domenit në organizata mund të përfshijë një ose disa pyje (një grup domenesh që përfshijnë një përshkrim të konfigurimit të rrjetit dhe një shembull të vetëm të një drejtorie), në varësi të faktorëve të tillë si kufizimi i fushës së marrëdhëniet e besimit, ndarja e plotë e të dhënave të rrjetit, marrja e izolimit administrativ. Nga ana tjetër, çdo pyll i madh duhet të ndahet në fusha për të thjeshtuar administrimin dhe riprodhimin e të dhënave. Në çdo domen, për të menaxhuar shërbimet e domenit dhe për të kryer detyra të tilla si vërtetimi, fillimi i një shërbimi Qendra e shpërndarjes së çelësave Kerberos dhe kontrolli i aksesit përdoret nga kontrolluesit e domenit. Faqet e internetit janë duke u zhvilluar për të menaxhuar trafikun e rrjetit ndërmjet zyrave.
I gjithë informacioni për pyjet, domenet dhe faqet, natyrisht, duhet të jetë i qëndrueshëm edhe gjatë dizajnimit të Shërbimeve të Domainit të Active Directory, sipas kërkesave të tilla të korporatës si: kërkesat e biznesit, kërkesat funksionale, kërkesat ligjore, të sigurisë, si dhe kufizimet e projektimit për dokumentacionin. Shpesh, të gjitha këto pika planifikohen me kujdes nga vetë departamenti i IT-së i kompanisë ose ekipi i projektit që merret me infrastrukturën e ndërmarrjes përpara se të vendosë shërbimet e domenit dhe regjistrohen në një marrëveshje të veçantë të nivelit të shërbimit që përcakton nivelin e pritur të performancës dhe cilësisë. të shërbimit të ofruar.
Informacioni i marrë pas projektimit ose, më shpesh, pas vendosjes së AD DS duhet të dokumentohet me kujdes. Një dokumentacion i tillë duhet të përfshijë informacione në lidhje me strukturën shumë logjike dhe fizike të shërbimeve të domenit, modelet administrative, infrastrukturën për zgjidhjen e emrave, çdo ndryshim të planifikuar në mjedisin e organizatës, si dhe komponentë shtesë të infrastrukturës si zbatimi i serverëve të postës së Microsoft Exchange, Sistemit. Serverët e qendrës dhe shumë më tepër. Në shumicën e rasteve, stafi i TI-së i një organizate e injoron procesin e dokumentimit dhe kur stafi i TI-së ndryshon, administratorëve të rinj mund t'u duhet pak kohë për t'u lidhur plotësisht me infrastrukturën aktuale të organizatës.
Ju gjithashtu duhet të kuptoni se në shërbimin e direktoriumit, pothuajse të gjithë kontrolluesit e domenit janë të barabartë (në këtë kontekst, ne nuk marrim parasysh kontrolluesit e domenit vetëm për lexim, RODC), domethënë, të gjithë kontrollorët e domenit kanë qasje shkrimi në bazën e të dhënave dhe mund të kopjojë këto të dhëna tek të tjerët.kontrolluesit. Kjo topologji trajton mirë shumicën e operacioneve të parëndësishme të Active Directory dhe quhet përsëritje peer-to-peer(Multimaster). Por, megjithatë, ka disa operacione që duhet të kryhen në serverin e autorizuar të caktuar drejtpërdrejt për operacione të tilla. Me fjalë të tjera, kontrolluesit e domenit që kryejnë operacione ose role specifike në domenin e tyre quhen master operacionesh (ose master). Njohja dhe kuptimi i qëllimit të të gjitha roleve të Operacioneve Wizard është thelbësor sepse në rast të një rikuperimi, përmirësimi ose migrimi nga fatkeqësia, janë kontrollorët e domenit që kryejnë rolet e Operacioneve Wizard që mund të luajnë një nga rolet më të rëndësishme. Prandaj, bëhet fjalë për magjistarët e operacioneve që do të diskutohen në këtë artikull.
Në këtë artikull do të mësoni:
Për atë që do të kishte ndodhur nëse nuk do të kishte magjistarët e operacionit;

Rreth roleve të magjistarëve të operacioneve në nivel pylli;

Rreth roleve të magjistarëve të operacioneve në nivel domeni;

Si mund të përcaktoni se cili kontrollues ka rolin e FSMO;

Kapja dhe transferimi i roleve të mjeshtrave të operacionit;

Rreth vendosjes së saktë të magjistarëve të funksionimit në kontrollorët e domenit.

Çfarë nuk do të merret parasysh në kuadrin e artikullit aktual:
Planifikimi dhe dokumentimi i kontrollorëve të domenit që kanë role të magjistarit të operacioneve... Kjo është një temë më vete që përfshin të kuptuarit e nuancave të planifikimit të Shërbimeve të Domainit të Active Directory dhe është përtej qëllimit të këtij artikulli;

Serverët e katalogut global... Shumë administratorë të sistemit barazojnë serverët e katalogut global me rolet e magjistarëve të veprimit. Në fakt, ky është një gjykim i rremë. Katalogu global është një depo e shpërndarë e të dhënave që ruan informacione për çdo objekt, dhe gjithashtu lejon përdoruesit dhe aplikacionet të gjejnë objekte në çdo domen të pyllit aktual duke kërkuar atributet e përfshira në katalogun global, të cilat identifikohen në skemë si private. grup atributesh. Vetë katalogu global qëndron në kontrollorët e domenit të caktuar si serverë të katalogut global dhe nga ana tjetër përsëritet përmes replikimit Multimaster. Megjithëse katalogu global përmban një listë të plotë të të gjitha objekteve në pyll, dhe serverët e katalogut global mund t'u përgjigjen të gjitha kërkesave pa pasur nevojë t'u referohen kontrolluesve të tjerë të domenit, katalogu global nuk është një rol për magjistarët e veprimit. Mund të lexoni artikullin e mëposhtëm rreth serverëve të katalogut global: "Serverë të katalogut global";

Ndërveprimi i magjistarëve të operacioneve me kontrolluesit e domenit vetëm për lexim... Lexo vetëm Domain Controllers (Read Only Domain Controllers) janë një lloj i veçantë, relativisht i ri i kontrolluesve të domenit që duhet të vendosen në zyrat e degëve të një organizate që nuk janë të pajisur me një nivel të mjaftueshëm sigurie dhe personel të kualifikuar IT. Ashtu si me planifikimin e magjistarëve të funksionimit dhe serverëve të katalogut global, kontrollorët e domenit vetëm për lexim (RODC) janë një temë e gjerë më vete dhe nuk ka kuptim të kapet në këtë artikull. Megjithatë, ia vlen të theksohet menjëherë se kontrollorët e domenit vetëm për lexim nuk mund të veprojnë si kontrollues domeni me rolin e Operacioneve Wizard;

Zgjidhja e problemeve dhe gabimet me magjistarët e veprimit... Një temë interesante dhe mjaft voluminoze që nuk do të mbulohet, pasi ky artikull diskuton konceptet e përgjithshme të roleve të magjistarëve të operacionit.

Çfarë do të ndodhte nëse nuk do të kishte mjeshtër operacioni
Përpara se të imagjinoni situatën me kontrolluesit e domenit Active Directory, në të cilat nuk do të kishte asnjë dallim midis kontrolluesve të domenit që kryejnë operacione specifike dhe kontrolluesve të tjerë të domenit, merrni parasysh avantazhet e kontrolluesve të domenit të pajisur me rolin e magjistarëve të funksionimit.
Para së gjithash, siç është treguar tashmë në pjesën hyrëse të këtij artikulli, mjeshtrat e operimit Quhen kontrolluesit e domenit që kryejnë një rol të veçantë në Active Directory për të siguruar integritetin dhe për të shmangur konfliktet. Është për këtë qëllim që një rol i veçantë u caktohet kontrolluesve të tillë të domenit, dhe meqenëse role të tilla nuk janë të lidhura ngushtë me një kontrollues domeni, role të tilla quhen Operacioni Flexible Single Master (FSMO, i theksuar fizz-mo). Në fakt, këto role mund të kryhen nga kontrollues të tjerë të domenit, por secili rol duhet t'i caktohet vetëm një kontrolluesi të domenit dhe në një domen, veprimet që duhet të kryhen në kontrolluesit e domenit të magjistarëve të operacionit nuk mund të kryhen në të njëjtën kohë. .
Unë mendoj se do të jetë e dobishme të dimë se çfarë protokolle përdorin zotërit e operacioneve. Magjistarët e Operacioneve përdorin tre protokolle:
Protokolli i lehtë i qasjes në drejtori (LDAP);

SMTP.

Tani le të imagjinojmë për një moment se si do të ishte nëse nuk do të kishte magjistarë operimi në Shërbimet e Domainit të Active Directory, domethënë nëse të gjithë kontrolluesit e domenit mund të kryenin të njëjtat veprime në të njëjtën kohë.
Le të themi se keni një organizatë me një pyll dhe pesë domene. Në secilin prej domeneve, administratorët e sistemit vendosën të instalojnë njëkohësisht serverin e postës Microsoft Exchange, dhe në njërin domen administratori instalon versionin 2007 të këtij serveri të postës, në të dytin - 2000, dhe në të tretën Microsoft Exchange Server 2010 SP1. Të gjitha ndryshimet në skemën e domenit dhe, në përputhje me rrethanat, i gjithë pylli regjistrohen në kontrolluesin e domenit me të cilin janë lidhur administratorët, dhe pas njëfarë kohe të gjitha ndryshimet e bëra në skemën e Active Directory replikohen në çdo kontrollues domeni në pyllin e organizatës.
Nëse dikush dëshiron të riemërtojë domenin e tij duke përdorur mjetin e sistemit Rendom.exe, siç është emëruar tashmë një domen tjetër, dhe roli përkatës i FSMO nuk do të jetë në ndërmarrje, kur hyn në të cilin administratori do të shohë një mesazh paralajmërues, ata thonë, " Çfarë po bën - atëherë? Një domen i tillë ekziston tashmë, a doni të thyeni gjithçka në botë? dhe domeni do të riemërtohet, pas riprodhimit do të ishte thjesht e pamundur të shmangeshin problemet fatale.
Le të marrim një shembull tjetër ... Përsëri, nuk ka mjeshtër të operacioneve në natyrë. Në makineritë e klientëve, koha mund të humbet, përdoruesit mund, si të thuash, të ndryshojnë aksidentalisht kohën e tyre, por të gjithë klientët në domenin e paracaktuar duhet të sinkronizojnë kohën me kontrolluesit më të afërt të domenit. Në këtë rast, nëse nuk ka një kontrollues specifik domeni, i ashtuquajturi burimi i kohës master, atëherë koha për çdo përdorues në të gjithë domenin mund të ndryshojë, gjë që mund të jetë kritike për disa aplikacione biznesi.
Në fakt, shembujt e një apokalipsi të korporatës për shkak të mungesës së mjeshtrit të operacioneve mund të citohen pafund. Në fund të fundit është se zotëruesit e operacioneve thjesht duhet të jenë, duhet të jenë të disponueshëm dhe duhet të kryejnë vetëm ato operacione që janë të destinuara për ta.
Në total, AD DS përfshin pesë role të ndryshme të magjistarit të operacioneve, përkatësisht, dy role përdoren në nivelin e pyllit: magjistari i emërtimit të domenit dhe mjeshtër qarku, për më tepër, në çdo pyll nuk mund të ketë më shumë se një kontrollues domeni, me detyra për secilin rol. Çdo domen ka vetëm tre role të magjistarit të operacioneve: mjeshtër i afërm RID, mjeshtër i infrastrukturës, si dhe Emulatori i kontrolluesit kryesor të domenit PDC... Kjo do të thotë, kur instaloni kontrolluesin e parë të domenit në një pyll, atij i caktohen njëkohësisht të pesë rolet e magjistarit të operacioneve dhe kur krijoni një domen të ri Active Directory në një pyll ekzistues, kontrolluesit të ri të domenit i caktohen tre role të nivelit të domenit. . FSMO-të në pyll dhe numri i pronarëve të mundshëm të këtyre roleve mund të llogariten duke përdorur formulën "(numri i domeneve * 3) + 2".
Për shembull, nëse keni një pyll Active Directory me katër domene, ku ka një domen fëmijësh dhe nipi për një nga domenet kryesore, atëherë një pyll i tillë do të përmbajë 14 role FSMO. Kjo do të thotë: një master skemash, një master për emërtimin e domenit, katër emulatorë PDC (për dy domene kryesore, fëmijë dhe nipër, nga një rol secili), katër mastera RID për çdo domen dhe katër mastera të infrastrukturës për çdo domen.
Në këtë pikë, mendoj se është koha për të parë çdo rol të magjistarit të operacioneve në nivel pylli dhe në nivel domeni.
Rolet e magjistarëve të operacioneve në nivel pyjor
Siç shkrova më lart, ekzistojnë dy role të magjistarit të operacioneve për nivelin e pyllit Active Directory, përkatësisht:
Magjistari i skemës;

Magjistari i emërtimit të domenit

Roli i Mjeshtrit të Skemës
Përpara se të them disa fjalë për rolin e mjeshtrit të qarkut, mendoj se ka kuptim, me pak fjalë, të them se çfarë është saktësisht "Skema e drejtorisë aktive".
- A sheh një gopher?
- Jo.
“Dhe unë nuk shoh. Dhe ai është!
K.F. "DMB"

Për shumë administratorë fillestarë, skema e Active Directory mund të shoqërohet me shprehjen e shkruar më sipër nga një film i famshëm. Duket sikur ekziston një gjë e tillë si një diagram, por për çfarë është, për çfarë është dhe në përgjithësi çfarë është, askush nuk e di dhe nuk nxiton ta zbulojë.
Në terminologji, skema përmban përkufizime për çdo atribut dhe klasë që krijohen dhe ruhen në pyllin Active Directory. Nuk mendoj se do të jetë lajm për askënd që Active Directory Domain Services të ruajë dhe të marrë informacionin e nevojshëm nga shumë aplikacione të korporatave në kohën e duhur. Kjo bëhet në mënyrë që, nëse është e nevojshme, aplikacionet të mos i referohen komponentëve të ndryshëm të infrastrukturës së ndërmarrjes, por Shërbimeve të Domenit të Drejtorisë Active, informacioni për të cilin do të kopjohet te të gjithë kontrolluesit e domenit. Vini re se në çdo pyll Active Directory ka vetëm një skemë që mund të kopjohet në çdo kontrollues domeni në pyll. Prandaj, nëse një organizatë duhet të vendosë aplikacione të shumta që mund të krijojnë konflikte në skemën e Active Directory, këshillohet që të vendosen dhe të mirëmbahen dy pyje të veçantë.
Vetë skema përbëhet nga objektet classSchema dhe atributSchema që kërkohen gjatë përcaktimit të objektit të kërkuar në Domain Services. Vetë klasat janë disa përkufizime të vendosura në skemë, të cilat, nga ana tjetër, përcaktojnë grupe atributesh. Mos harroni se çdo klasë mund të përdorë shumë atribute. Së fundi, për çdo atribut të vendosur në AD DS, skema specifikon llojin e të dhënave si sintaksë për vetë atributin. Dhe, sigurisht, vlera e çdo atributi të përfshirë në shembullin e klasës duhet të përputhet me kërkesat sintaksore të atributit aktual.
Meqenëse një diskutim i detajuar i skemës së Active Directory është përtej qëllimit të këtij artikulli, mendoj se përkufizimi i mësipërm është më se i mjaftueshëm. Më shumë detaje rreth skemës së Active Directory do të diskutohen në një nga artikujt e mëposhtëm. Tani le të shohim se cili është roli kryesor i skemës.
Kontrolluesi i domenit, i cili është magjistari i skemave, është përgjegjës për të gjitha ndryshimet që bëhen në skemën e pyllit të Active Directory. Duhet mbajtur mend se kontrolluesi i domenit përgjegjës për këtë rol duhet të jetë i vetmi në të gjithë pyllin dhe të gjithë kontrolluesit e tjerë të domenit do të përmbajnë vetëm kopje vetëm për lexim të skemës së pyllit. Kjo do të thotë, nëse bëni ndonjë ndryshim manual në skemën e Active Directory, ose nëse instaloni aplikacione që ndryshojnë skemën, administratori duhet të bëjë ndryshimet në kontrolluesin e domenit që menaxhon rolin. Për të bërë ndryshime, administratori duhet të lidhet me masterin e skemës dhe duhet të jetë anëtar i grupit të sigurisë Administratorët e skemës... Pasi skema të përditësohet, ajo përsëritet nga masteri i skemës në të gjithë kontrolluesit e tjerë të domenit. Nëse përpiqeni të modifikoni skemën në një kontrollues domeni kryesor jo skemë, veprimi zakonisht dështon dhe ju duhet t'i shtyni ndryshimet e skemës në një kontrollues domeni master të skemës pasi të bëni ndryshime në skemë. Prandaj, ky rol është kritik, pasi kur përpiqeni të modifikoni skemën e Active Directory me magjistarin e skemës të çaktivizuar, do të hasni në gabime gjatë gjithë kohës. Nga ana tjetër, roli kryesor i skemës mund të vendoset në çdo kontrollues të caktuar të domenit në pyll.
Si parazgjedhje, roli kryesor i skemës i caktohet kontrolluesit të parë të domenit që është i instaluar në pyll dhe rekomandohet që ky rol të bashkëvendoset me rolin kryesor të emërtimit të domenit, i cili do të diskutohet më poshtë, në një kontrollues të vetëm domeni . Pavarësisht praktikave më të mira, ju mund ta zhvendosni këtë rol në çdo kontrollues domeni në çdo kohë duke përdorur snap-in "Skema e drejtorisë aktive" ose përmes programit të linjës komanduese Ntdsutil... Do të mësoni gjithashtu për transferimin e roleve te kontrollorët e tjerë të domenit në këtë artikull. Identifikohet nga masteri i skemës nga vlera e atributit fSMORoleOwner objekti rrënjësor i seksionit të skemës.
Roli i Masterit të Emërtimit të Domenit

Roli tjetër që do të mbulohet quhet Magjistari i Emërtimit të Domenit. Ky rol i Operacioneve Wizard, dhe për rrjedhojë i vetmi kontrollues i domenit në pyll që mund të përmbajë këtë rol, përdoret kryesisht për të shtuar dhe hequr domenet dhe të gjitha ndarjet e direktorive në hierarkinë e pyllit. Një kontrollues domeni me rolin kryesor të emërtimit të domenit është krijuar për të kryer katër operacionet e mëposhtme:
Shtimi dhe heqja e domeneve... Kur kryeni një operacion të tillë si shtimi ose heqja e një domeni fëmijësh duke përdorur magjistarin e instalimit të Active Directory ose programin e linjës së komandës, magjistari i instalimit i referohet në mënyrë specifike magjistarit të emërtimit të domenit dhe kërkon të drejtën për të shtuar ose, përkatësisht, për të fshirë këtë të fundit. Domain Naming Wizard është gjithashtu përgjegjës për të siguruar që domenet në një pyll të kenë emra unikë NETBIOS në të gjithë pyllin. Natyrisht, për arsye të dukshme, nëse magjistari i emërtimit të domenit nuk është i disponueshëm, nuk do të mund të shtoni ose hiqni domenet në pyll;

Shtimi dhe heqja e referencave të kryqëzuara... Siç e dini tashmë, kur krijoni kontrolluesin e parë të domenit në një pyll, ai krijon skema, konfigurime dhe ndarje të direktorive të domenit. Në këtë kohë, krijohet një objekt ndër-referencash (klasa crossRef) për çdo ndarje direktorie në kontejnerin Partitions të seksionit të konfigurimit (CN = ndarje, CN = konfigurim, DC = forestRootDomain). Objekti i referencës së kryqëzuar përcakton emrin dhe vendndodhjen e serverëve që ruajnë secilën ndarje të drejtorive në pyll. Me krijimin e çdo domeni ose ndarjeje pasuese të katalogut të aplikacionit, fillon krijimi i një objekti të kryqëzuar në kontejnerin e ndarjeve.

Shtimi dhe heqja e ndarjeve të drejtorisë së aplikacioneve... Ndarjet e direktoriumit të aplikacioneve janë ndarje të veçanta që mund të krijoni në kontrollorët e domenit Windows Server 2003, Windows Server 2008 ose Windows Server 2008 R2 për të siguruar ruajtje dinamike të të dhënave për aplikacionet LDAP. Nëse pylli juaj po funksionon në nivelin e Windows Server 2000, atëherë në një pyll të tillë të gjitha të dhënat jo-domain janë të kufizuara në konfigurimin dhe të dhënat e skemës që replikohen në të gjithë kontrolluesit e domenit në pyll. Në një pyll Windows Server 2003/2008 dhe 2008R2, Ndarjet e Katalogut të Aplikacioneve ofrojnë ruajtje të të dhënave specifike të aplikacionit në një kontrollues domeni që mund të riprodhohet në çdo kontrollues domeni në pyll.

Konfirmimi i udhëzimeve për riemërtimin e domeneve... Hapi i fundit për Magjistarin e Emërtimit të Domenit është konfirmimi i udhëzimeve për riemërtimin e domeneve. Zakonisht, është zakon të riemërtoni domenet duke përdorur një mjet të veçantë të linjës së komandës. Pra, kur përdorni mjetin Rendom.exe, i cili është krijuar për të riemërtuar domenet, për të riemërtuar një domen, programi duhet të ketë akses në magjistarin e emërtimit të domenit. Përveç veçorive të mësipërme, Magjistari i Emërtimit të Domenit është gjithashtu përgjegjës për konfirmimin e udhëzimeve për riemërtimin e domeneve. Kur ekzekutoni mjetin e specifikuar, në një kontrollues domeni me rolin Magjistari i emërtimit të domenit, një skrip XML që përmban udhëzime për riemërtimin e domeneve shkruhet në atributin msDS-UpdateScript të objektit të kontejnerit Partitions (CN = ndarje, CN = konfigurim, DC = forestRootDomain) të ndarjes së drejtorisë së konfigurimit. Vlen të kujtohet se kontejneri i ndarjeve mund të përditësohet vetëm në një kontrollues domeni që përmban rolin Master të emërtimit të domenit. Përveç vlerës së atributit msDS-UpdateScript, mjeti Rendom.exe shkruan emrin e ri DNS të çdo domeni të riemërtuar në atributin msDS-DnsRootAlias të objektit të referencës së kryqëzuar (klasa crossRef) që korrespondon me atë domen. Përsëri, meqenëse objekti i referencës së kryqëzuar ruhet në kontejnerin Partitrions, ky objekt mund të përditësohet vetëm në një kontrollues domeni me rolin Master të emërtimit të domenit. Të dhënat e ndryshuara për atributet msDS-UpdateScript dhe msDS-DnsRootAlias replikohen në të gjithë kontrolluesit e domenit në pyll.

Si parazgjedhje, kontrolluesi i parë i domenit në pyllin e ri merr rolin Master të emërtimit të domenit, por ju mund ta zhvendosni këtë rol në çdo kohë duke përdorur snap-in Domenet dhe Trustet e Drejtorisë Aktive ose shërbimet e linjës së komandës Ntdsutil.exe... Mbani në mend se është një ide e mirë që të keni rolet Master Schema dhe Magjistari i Emërtimit të Domenit në të njëjtin kontrollues domeni. Një kontrollues domeni që i është caktuar roli Master i emërtimit të domenit duhet të jetë gjithashtu një server i katalogut global. Përndryshe, disa operacione mund të dështojnë. Identifikohet nga masteri i skemës nga vlera e atributit fSMORoleOwner në kontejnerin e ndarjeve.
Ashtu si me magjistarin e mëparshëm të operacioneve, nëse përpiqeni të kryeni ndonjë nga operacionet e mësipërme kur magjistari i funksionimit nuk është i disponueshëm, veprimet tuaja do të dështojnë. Por meqenëse të gjitha këto veprime kryhen pothuajse një herë për një periudhë të gjatë kohore, mund të zbuloni se magjistari i emërtimit të domenit është i papërdorshëm në një moment kritik, prandaj kontrolloni periodikisht disponueshmërinë e magjistarëve të operacioneve të pyllit.
Rolet e magjistarit të operacioneve të domenit
Ndryshe nga niveli i pyllit, çdo domen Active Directory ka tre rolet e mëposhtme të magjistarit të operacioneve:
Relative RID Wizard

Emulator PDC PDC

Magjistari i Infrastrukturës

Le të hedhim një vështrim më të afërt në secilin prej këtyre magjistarëve të operacionit.
RID Master

Magjistari i parë i funksionimit në nivel domeni i përshkruar në këtë artikull është magjistari Relative Identifier (RID). Magjistari RID përdoret për të menaxhuar një grup RID për të gjeneruar identifikues sigurie (SID) për parimet e sigurisë si përdoruesit, grupet dhe kompjuterët, dhe për të lëvizur objektet nga një domen në tjetrin. SID e një principal sigurie duhet të jetë unik për të gjithë domenin, kështu që çdo principal sigurie i caktohet një SID unik që përmban identifikuesin e domenit dhe një RID relativ që është unik për çdo kryesor sigurie. Të gjitha SID-të kanë katër elementë të ndryshëm. Për shembull, sipas dokumentacionit të Microsoft, elementët identifikues S1-5-Y1-Y2-Y3-Y4 jepen në tabelën e mëposhtme:
Tabela 1. Struktura e elementit identifikues

Meqenëse drejtuesit e sigurisë mund të krijojnë çdo kontrollues domeni, nevojitet një mekanizëm për të siguruar që SID-të e krijuara nga kontrolluesi i domenit janë unike, dhe për këtë arsye magjistari RID siguron që asnjë dy kontrollues domeni të mos caktojë të njëjtat RID. Masteri RID cakton një bllok RID-sh të afërm, të quajtur një grup RID-sh, për çdo kontrollues në domen. Me fjalë të tjera, magjistari i operacioneve RID është përgjegjës për mbajtjen e një grupi identifikuesish relativ për përdorimin e kontrolluesve të domenit në një domen dhe ofrimin e grupeve të identifikuesve relativ për çdo kontrollues domeni. Kur një kontrollues i ri domeni i shtohet një domeni, magjistari RID i cakton atij kontrolluesi të domenit një grup prej 500 kërkesash relative RID. Sa herë që krijohet një parim i ri sigurie në një kontrollues domeni për t'i caktuar një identifikues një objekti të ri, kontrolluesi i domenit cakton një identifikues relativ nga grupi i tij. Kur numri i RID-ve relative në këtë grup RID në çdo kontrollues domeni bie nën 100, me fjalë të tjera, i afrohet zeros, masteri RID kërkon një bllok tjetër RID. Pas plotësimit të kërkesës, masteri RID cakton një grup tjetër prej 500 RID të afërm për kontrolluesin e domenit.
Më saktësisht, masteri RID nuk mban gjurmët e numrave të grupit, por shërben vlerën më të lartë të diapazonit të fundit të caktuar. Kur merret një kërkesë e re, vlera e grupit të ri rritet me një dhe 499 vlera të reja. Dy vlerat më pas i dërgohen kontrolluesit të domenit të kërkuar për të përdorur RID-et e reja relative. Nëse grupi lokal RID i një kontrolluesi domeni është bosh ose masteri RID nuk është i disponueshëm për disa kohë, procesi i krijimit të llogarisë në disa kontrollues domeni mund të ndërpritet dhe ID-ja e ngjarjes 16645 do të regjistrohet në regjistrin e ngjarjeve të atij kontrolluesi të domenit. Ky gabim kodi tregon se ID-ja maksimale e llogarisë nga alokuar kontrolluesit të domenit dhe kontrolluesi i domenit nuk ishte në gjendje të merrte një grup të ri ID-sh nga masteri RID. Po kështu, shtimi i një objekti të ri në domen do të gjenerojë ID-në e ngjarjes 16650, që tregon se objekti nuk mund të krijohej sepse shërbimi i drejtorisë nuk ishte në gjendje të ndante një identifikues relativ. Mekanizmi për të kërkuar një bllok të ri RID synon të parandalojë ndërprerje të tilla sepse kërkesa bëhet përpara se të shteren të gjitha RID-të e disponueshme në grup. Për të riaktivizuar procesin e krijimit të llogarisë, ose duhet të sillni kontrolluesin e domenit që menaxhon rolin kryesor RID në linjë ose ta zhvendosni këtë rol te një kontrollues tjetër domeni.
Gjithashtu, kur migroni objektet e Active Directory midis domeneve, kërkohet një magjistar RID, domethënë, objekti do të jetë në gjendje të migrojë vetëm nëse magjistari RID është i disponueshëm në domen. Pasja e një magjistari aktual të operacioneve, parandalon krijimin e dy objekteve me identifikues identikë në fusha të ndryshme të Active Directory. Kur migroni objekte nga një domen në tjetrin, Microsoft rekomandon përdorimin e Mjetit të Migrimit të Drejtorisë Acrive. Si parazgjedhje, kontrolluesit të parë të domenit të instaluar në pyll i caktohet roli kryesor RID. Ju mund ta zhvendosni këtë rol në çdo kohë duke përdorur snap-in ose duke përdorur programin Ntdsutil.exe... Masteri RID identifikohet nga vlera e atributit fSMORoleOwner në një objekt të klasës rIDManager nën seksionin Domain.
Emulator PDC

Kontrolluesi i domenit me magjistarin e caktuar të operacioneve Emulator PDC(Primary Domain Controller) vepron si një kontrollues kryesor i domenit për përputhshmërinë e prapambetur me sistemet operative nën Windows 2000. Në ditët e serverëve anëtarë të Windows NT 4.0 dhe kompjuterëve klientë, vetëm PDC-të mund të bënin ndryshime në drejtori. Veglat e vjetra, klientët dhe programet ndihmëse që mbështesin Windows NT 4.0 nuk janë të dizajnuara për të gjithë kontrollorët e domenit të Active Directory për të shkruar në drejtori dhe për këtë arsye kërkojnë lidhje PDC. Një kontrollues domeni me rolin e emulatorit PDC regjistrohet si një kontrollues kryesor i domenit PDC, veçanërisht në mënyrë që aplikacione të ndryshme të nivelit të ulët të mund të lokalizojnë kontrolluesin e domenit të shkrimit. Përkundër faktit se në ditët e sotme është pothuajse e pamundur të gjesh serverë dhe kompjuterë klientë me sisteme operative nën Windows 2000, emulatori PDC ende mbetet roli më i rëndësishëm i magjistarëve të operacioneve. Përveçse është i pajtueshëm me aplikacionet që funksionojnë në Windows NT 4.0, emulatori PDC kryen funksionet e mëposhtme të rëndësishme:
Merrni pjesë në përsëritjen e përditësimeve të fjalëkalimit të domenit... Kur një fjalëkalim i përdoruesit ndryshohet ose rivendoset, kontrolluesi i domenit që bën domenin përsërit ndryshimin në emulatorin PDC përmes riprodhimit të përshpejtuar. Ky përsëritje siguron që kontrollorët e domenit të mësojnë shpejt fjalëkalimin e ndryshuar. Në rast se një përdorues përpiqet të identifikohet menjëherë pas ndryshimit të fjalëkalimit, kontrolluesi i domenit që i përgjigjet kësaj kërkese mund të mos e dijë ende fjalëkalimin e ri. Përpara se të refuzojë përpjekjen për hyrje, ky kontrollues i domenit përcjell një kërkesë vërtetimi te emulatori PDC, i cili verifikon që fjalëkalimi i ri është i saktë dhe udhëzon kontrolluesin e domenit të pranojë kërkesën për hyrje. Kjo do të thotë që sa herë që një përdorues fut një fjalëkalim të pasaktë, vërtetimi i dërgohet emulatorit PDC për një përfundim përfundimtar;

Menaxhimi i përditësimeve të politikave të grupit në domen... Siç e dini, Politika e Grupit përdoret për të menaxhuar shumicën e cilësimeve të konfigurimit për kompjuterët dhe përdoruesit në organizatën tuaj. Në rast se një GPO modifikohet në dy kontrollues domenesh afërsisht në të njëjtën kohë, atëherë më vonë, mund të lindin konflikte midis dy versioneve që nuk zgjidhen kur përsëriten GPO-të. Për të shmangur konflikte të tilla, emulatori PDC funksionon si më poshtë: kur hapni një GPO, skedari i redaktimit të menaxhimit të politikave të grupit lidhet me kontrolluesin e domenit që luan rolin PDC dhe të gjitha ndryshimet në GPO bëhen në emulatorin PDC nga default;

Duke vepruar si një shfletues qendror për një domen... Klientët përdorin Active Directory për të zbuluar burimet e rrjetit. Kur hapni një dritare "Neto" sistemi operativ shfaq një listë të grupeve të punës dhe domeneve. Pasi përdoruesi të hapë grupin e punës ose domenin e specifikuar, ai do të jetë në gjendje të shohë listën e kompjuterëve. Këto lista krijohen përmes shërbimit të shfletuesit dhe në çdo segment të rrjetit, shfletuesi pritës krijon një listë shfletimi me grupet e punës, domenet dhe serverët e atij segmenti. Shfletuesi qendror bashkon listat e të gjithë shfletuesve kryesorë në mënyrë që makinat e klientit të mund të shikojnë të gjithë listën e shfletimit. Unë mendoj se nga të gjitha funksionet e emulatorit PDC, mund të keni pyetje që lidhen drejtpërdrejt me shfletuesin qendror të domenit, prandaj, kjo temë do të diskutohet në detaje në një artikull të veçantë;

Sigurimi i burimit kryesor të kohës së domenit... Për shkak se Active Directory, Kerberos, DFS-R dhe FRS përdorin të gjitha stampa kohore, kërkohet sinkronizimi i kohës në të gjitha sistemet në domen. Emulatori PDC në domenin rrënjë të pyllit shërben si burimi kryesor i kohës për të gjithë pyllin. Pjesa tjetër e kontrolluesve të domenit sinkronizojnë kohën me emulatorin PDC dhe kompjuterët e klientëve me kontrolluesit e tyre të domenit. Shërbimi i sinkronizimit hierarkik, i cili zbatohet në shërbimin Win32Time, garanton qëndrueshmëri kohore.

Si parazgjedhje, kontrolluesit të parë të domenit të instaluar në pyll i është caktuar roli PDC Emulator Wizard. Ju mund ta zhvendosni këtë rol në çdo kohë duke përdorur snap-in Përdoruesit dhe Kompjuterët e Directory Active ose me anë të një shërbimi Ntdsutil.exe... Master Emulator PDC identifikohet nga një vlerë atributi fSMORoleOwner në një objekt të klasës rIDManager në rrënjën e seksionit Domain.
Magjistari i Infrastrukturës

Në organizatat e bazuara në domene të shumta, objektet në disa fusha shpesh referojnë objekte në të tjera. Magjistari i Infrastrukturësështë si një pajisje që mban gjurmët e anëtarëve të grupit nga domenet. Magjistari i Infrastrukturës është përgjegjës për përditësimin e lidhjeve grup-për-përdorues ndërmjet domeneve, duke siguruar kështu që ndryshimet e emrit të objektit të pasqyrohen në informacionin e anëtarësimit të grupeve të lokalizuara në domen. Magjistari i infrastrukturës ruan një listë të azhurnueshme të këtyre lidhjeve dhe më pas kopjon këtë informacion te të gjithë kontrollorët në domen. Duhet të jeni të vetëdijshëm se kur një anëtar i një domeni tjetër shtohet në një grup të domenit të synuar, emri i dalluar i anëtarit të ri i shtohet atributit anëtar dhe nëse kontrolluesi i domenit i një anëtari të një grupi të tillë nuk është i disponueshëm, atëherë në shërbimet e domenit krijohet një objekt fantazmë që në fakt përfaqëson një anëtar të një grupi të tillë. Një objekt i tillë mund të përmbajë vetëm SID-in e anëtarit, emrin e dalluar (DN) dhe GUID-in e objektit. Nëse magjistari i infrastrukturës nuk është i disponueshëm, lidhjet grup-për-përdorues ndërmjet domeneve nuk do të përditësohen. Periodikisht, magjistari i infrastrukturës skanon llogaritë e domenit dhe verifikon anëtarësimet në grup. Nëse një llogari përdoruesi zhvendoset në një domen të ri, magjistari i infrastrukturës identifikon domenin e ri të llogarisë së përdoruesit dhe përditëson grupet në përputhje me rrethanat.
Vini re se roli Infrastructure Wizard nuk duhet të kryhet nga një kontrollues domeni që është një server i katalogut global. Përndryshe, magjistari i infrastrukturës nuk do të përditësojë informacionin për objektet, sepse nuk përmban referenca për objektet që nuk i ruan. Kjo është për shkak se serveri global i katalogut ruan kopje të pjesshme të të gjitha objekteve në pyll. Si rezultat, referencat e objekteve ndërmjet domeneve në atë domen nuk do të përditësohen dhe një paralajmërim do të shfaqet në regjistrin e ngjarjeve të këtij kontrolluesi të domenit. Si parazgjedhje, kontrolluesit të parë të domenit të instaluar në pyll i caktohet roli Master i Infrastrukturës. Ju mund ta zhvendosni këtë rol në çdo kohë duke përdorur snap-in Përdoruesit dhe Kompjuterët e Directory Active ose me anë të një shërbimi Ntdsutil.exe... Masteri i infrastrukturës identifikohet nga vlera e atributit fSMORoleOwner në kontejnerin e Infrastrukturës nën seksionin Domain.
Si të përcaktoni se cili kontrollues domeni ka rolin e FSMO
Në parim, ne kemi kuptuar tashmë pjesën teorike, dhe tani do të ishte mirë të bënim pak praktikë. Megjithëse organizata juaj mund të ketë vetëm një domen, mund të ketë një numër të madh kontrolluesish domeni të instaluar dhe administratorët mund të mos e dinë gjithmonë se cilët kontrollues domenesh u janë caktuar rolet e magjistarit të operacioneve. Për shembull, nëse po ristrukturoni domenin tuaj, do t'ju duhet të zbuloni se cilit kontrollues domeni i është caktuar roli. Çdo rol mund të përcaktohet duke përdorur një ndërfaqe grafike ose mjete të linjës së komandës. Le të hedhim një vështrim në të dyja metodat.
Përcaktimi i pronarëve të roleve të magjistarit të operacioneve duke përdorur GUI
Gjëja e parë për t'u mbajtur mend është se AD DS përdor një sërë skedarësh shtesë administrative për të identifikuar magjistarët e funksionimit. Gjëja më e vështirë për t'u identifikuar është masteri i skemës. Le të fillojmë me të. Për të zbuluar se cili kontrollues domeni ka rolin kryesor të skemës, ndiqni këto hapa:

Për të identifikuar pjesën tjetër të magjistarëve, duhet të kryeni dukshëm më pak hapa. Për të gjetur se cili kontrollues domeni ka të drejtat e magjistarit të operacioneve të emërtimit të domenit, ju duhet:

Dhe ka më pak hapa që duhet të ndërmerrni për të identifikuar tre rolet e mbetura në nivel domeni. Me fjalë të tjera, të gjitha rolet e mbetura të Action Wizard mund të gjenden në një kuti dialogu. Për ta bërë këtë, hapni snap-in Përdoruesit dhe Kompjuterët e Directory Active, klikoni me të djathtën në domenin tuaj dhe zgjidhni komandën nga menyja e kontekstit "Mjeshtër i Operacioneve"... Në kutinë e dialogut që shfaqet, në skedat përkatëse, mund të shikoni emrat e kontrolluesve të domenit që u janë caktuar rolet aktuale. Dritarja e dialogut "Mjeshtër i Operacioneve" mund të shihet në ilustrimin e mëposhtëm:

Oriz. 4. Operacione master për nivelin e domenit
Përcaktimi i pronarëve të magjistarëve të operacioneve duke përdorur linjën e komandës
Ashtu si me shumicën e aftësive të ofruara nga sistemet operative Windows, ju mund të identifikoni të gjithë pronarët e roleve të Operacioneve Wizard duke përdorur një mjet të dedikuar të linjës së komandës. Active Directory Domain Services përdor një mjet të linjës komanduese për të kontrolluar disa ndryshime. Ntdsutil... Për të parë të gjithë kontrollorët e domenit të pajisur me rolet e Operacioneve Wizard duke përdorur këtë mjet, ndiqni këto hapa:

Gjithashtu, për të parë rolet FSMO, mund të përdorni programin Dcdiag me ekipin / test: Knowsofroleholders / v ... Ju mund të shihni një pjesë të daljes së kësaj komande më poshtë:

Oriz. 6. Përcaktimi i roleve FSMO duke përdorur programin Dcdiag
Kapja dhe transferimi i roleve të magjistarit të operacionit
Në Active Directory, ekzistojnë koncepte të tilla si transferimi dhe marrja përsipër (e njohur edhe si revokimi) e roleve të magjistarëve të veprimit. Para së gjithash, duhet të zbuloni se çfarë është dhe cili është ndryshimi midis këtyre koncepteve.
Siç u përmend më lart, të pesë rolet e magjistarit të operacioneve janë instaluar fillimisht në kontrolluesin e parë të domenit në pyll. Është praktikë e zakonshme që të vendosen disa kontrollues shtesë të domenit brenda të njëjtit domen për të përmirësuar performancën dhe tolerancën e gabimeve në një organizatë. Dhe, në përputhje me rrethanat, për të shmangur konfliktet në të ardhmen, rekomandohet që menjëherë të shpërndahen rolet e magjistarëve të funksionimit tek kontrollorët e ndryshëm të domenit. Gjithashtu, nëse keni nevojë të mbyllni ose çaktivizoni një kontrollues domeni që vepron si master i operacioneve, duhet të zhvendosni të gjitha rolet FSMO prej tij te kontrolluesit e tjerë të domenit.
Nga ana tjetër, kapja e roleve është e nevojshme në rast se një kontrollues domeni i pajisur me role specifike të magjistarëve të operacionit dështon, dhe ju nuk keni arritur të transferoni role nga kjo DC në kohë. Rreziqet ndaj të cilave mund të ekspozoheni nëse kontrolluesit e domenit me role të magjistarit të operacioneve dështojnë, u diskutuan më herët në këtë artikull. Në këtë rast, nuk keni asnjë mënyrë për të transferuar rolin FSMO duke përdorur metodën tuaj të preferuar të transferimit të roleve. Prandaj, ju duhet vetëm të kapni shenjën e operacioneve përmes revokimit të rolit. Por ia vlen të kujtojmë se kapja e roleve është metoda më radikale dhe duhet të kryhet vetëm kur pronari i roleve kryesore të operacioneve është jashtë funksionit. Kur ekzekutohet procesi i rrëmbimit të roleve të magjistarit të operacioneve, atributi fsmoRoleOwner i objektit rrënjë të të dhënave ndryshohet në kompjuterin ekzistues pa kryer asnjë sinkronizim të të dhënave. Kontrollorët e tjerë të domenit natyrisht do të mësojnë për pronarin e ri të rolit të FSMO ndërsa ndryshimet përsëriten.
Le të shohim proceset e transferimit dhe kapjes së roleve të mjeshtrave të operacionit.
Për të transferuar një rol FSMO, ndiqni këto hapa:

Procesi i kapjes së roleve të Magjistarëve të Veprimit është pak më i komplikuar sesa transferimi, pasi kërkon përdorimin e mjetit Ntdsutil që u diskutua në pjesën e mëparshme. Për të marrë përsipër një rol nga një kontrollues i dështuar domeni, ndiqni këto hapa:
Hapni një linjë komande dhe shkoni te programi në të ntdsutil;

Shkoni te menaxhimi i roleve NTDS duke përdorur komandën rolet;

Ju duhet të krijoni një lidhje me një kontrollues domeni që do të marrë përsipër rolin e pronarit të magjistarit të operacioneve në të ardhmen. Për ta bërë këtë, ekzekutoni komandën lidhjet;

Ne rresht "Lidhjet e serverit" hyjnë lidheni me serverin dhe specifikoni kontrolluesin e kërkuar të domenit;

Navigoni përsëri te menaxhimi i fsmo duke përdorur komandën lë;

Tani në radhë menaxhimi i fsmo specifikoni komandën kap dhe klikoni mbi Hyni;

Në këtë hap të fundit, ju duhet të zgjidhni rolin FSMO që do të merret nga kontrolluesi jofunksional i domenit.

Një lexues i vëmendshëm mund të bëjë pyetjen e mëposhtme: çfarë duhet të bëj nëse kontrolluesi i domenit të vdekur është ringjallur dhe si mund t'ia kthej pronësinë e rolit të sekuestruar këtij kontrolluesi të domenit? Gjithçka është relativisht e thjeshtë këtu. Para së gjithash, duhet të jeni të vetëdijshëm se nëse roli i Emulatorit PDC ose i Infrastrukturës është revokuar, atëherë mund ta transferoni rolin e Operacioneve Wizard përsëri në kontrolluesin e domenit të rivendosur pa shumë probleme.
Por në rast se roli i masterit të skemës, emërtimit të domenit ose RID-ve të afërm u kap, atëherë do t'ju duhet të kryeni hapat e mëposhtëm:
Shkëputni fizikisht një kontrollues të tillë domeni nga rrjeti;

Zhvlerësoni një kontrollues domeni në një server anëtar duke përdorur komandën Dcpromo / heqje me forcë;

Pastro të dhënat meta për kontrolluesin aktual të domenit. Ju mund t'i pastroni meta të dhënat duke përdorur programin Ntdsutil me ekipin Pastrimi i meta të dhënave;

Pas heqjes së meta të dhënave, duhet të sillni serverin në linjë, të bashkoheni me domenin dhe më pas të promovoni serverin në një kontrollues domeni;

Në hapin e fundit, thjesht transferoni rolin në këtë kontrollues domeni.

Pritja e Magjistarëve të Operacioneve në Kontrollorët e Domenit

Në këtë seksion, unë do të shqyrtoj disa udhëzime për vendosjen e të gjitha roleve të Operacioneve Wizard në kontrollorët e domenit. Si i tillë, nuk ka shumë rekomandime të tilla, ndaj do të përpiqem ta thjeshtoj këtë pjesë sa më shumë që të jetë e mundur.
Para së gjithash, nëse keni një pyll, një domen dhe një kontrollues domeni, atëherë të pesë rolet e magjistarit të funksionimit do të strehohen në atë kontrollues domeni, por për qëllime të balancimit të ngarkesës rekomandohet transferimi i roleve te kontrolluesit e tjerë të domenit.
Udhëzimet e përgjithshme për vendosjen e roleve të FSMO janë si më poshtë:
Prisni rolet Master RID dhe Emulator PDC në të njëjtin kontrollues domeni... Këto role të magjistarit të operacioneve vendosen bashkë për arsye të balancimit të ngarkesës. Meqenëse këto role janë partnerë të drejtpërdrejtë të riprodhimit, duke i vendosur këto role në kontrollues të veçantë të domenit, do t'ju duhet të krijoni një lidhje të shpejtë për dy sistemet përkatëse dhe të krijoni objekte të qarta për to në Active Directory. Përveç kësaj, nëse keni serverë në organizatën tuaj që luajnë rolin e masterit rezervë të operacioneve, në serverë të tillë këto role duhet të jenë gjithashtu partnerë të drejtpërdrejtë;

Prisni skemën e domenit dhe emërtoni rolet e magjistarit në një kontrollues të vetëm domeni... Si rregull i përgjithshëm, rolet Skema Wizard dhe Domain Naming Wizard vendosen më së miri në një kontrollues të vetëm domeni që shërben si një server i katalogut global. Roli i magjistarit të emërtimit të domenit duhet të jetë gjithashtu një server i katalogut global, sepse kur shtohet një domen i ri, magjistari duhet të sigurojë që nuk ka asnjë objekt në pyll me të njëjtin emër si domeni i ri që po shtohet. Nëse një kontrollues domeni me rolin Master të emërtimit të domenit nuk është një server i katalogut global, operacione të tilla si krijimi i domeneve të mbesave mund të dështojnë. Për shkak se këto role përdoren më pak, duhet të siguroheni që kontrolluesi i domenit që i menaxhon ato të jetë sa më i sigurt;

Roli i Infrastructure Wizard duhet të mbahet në një kontrollues domeni që nuk shërben si server i katalogut global. Në mënyrë tipike, magjistari i infrastrukturës duhet të vendoset në një kontrollues domeni që nuk shërben si server i katalogut global, por ka një objekt lidhjeje të drejtpërdrejtë me një nga katalogët globalë në pyll. Meqenëse serveri i katalogut global ruan kopje të pjesshme të të gjitha objekteve në pyll, magjistari i infrastrukturës i pritur në serverin e katalogut global nuk do të kryejë përditësime sepse nuk përmban referenca për objektet që nuk i mban.

Me këto tre rregulla në mendje, ju mund të vendosni në mënyrë optimale Masters Operacionesh në pyllin tuaj.
Në vend të një përfundimi
Kështu që ky artikull përfundon. Në këtë artikull, mësuat për rolet e Magjistarëve të Veprimit dhe për çfarë shërbejnë. Ne shikuam disa shembuj që përshkruanin se çfarë do të ndodhte nëse nuk do të kishte magjistarë operimi në Shërbimet e Domenit të Drejtorisë Active dhe të gjithë kontrollorët e domenit do të ishin të barabartë. Të pesë rolet e FSMO u ekzaminuan në detaje, u përshkruan metodat e identifikimit të roleve në kontrollorët e domenit. Mësuat gjithashtu për transferimin dhe marrjen përsipër të roleve kryesore të veprimit dhe se si mund t'i kryeni këto veprime. Përveç kësaj, mësuat rreth tre rregullave që duhen ndjekur kur zgjidhni se si të strehoni magjistarët e funksionimit në kontrollorët e domenit në organizatën tuaj.