Windows Active Directory Принудительный захват ролей умершего мастера операций
Не секрет, что в AD есть операции которые возлагаются лишь на один домен-контроллер в лесу, именуемый мастером операции. Например в AD только один контроллер назначается первичным хранителем схемы каталога.
В случае умирания такого сервера по любой из технических или нетехнических причин, возникает ситуация, когда второй DC в связке не позволяет вам полноценно управлять доменом. В таких случаях поможет следующий рецепт, который позволит перенести существующие роли мастера операций на уцелевший контроллер. Рецепт довольно известный, тем не менее, я посчитал полезным выложить подробную инструкцию на хабр, так как у меня первой реакцией была паника.
Рассматривается конфигурация домена с двумя контроллерами. Одному из них назначены роли мастера операций и глобального каталога и в нашем сценарии он умирает. Для переназначения всех ролей, администратор должен быть членом группы Enterprise Admins. Процедура состоит из двух этапов: захват ролей и назначение глобального каталога.
Желающие почерпнуть теорию по мастерам операций читают этот содержательный пост, ну а мы приступаем.
Захват ролей
Нажмите кнопку Start, выберите пункт Run, введите ntdsutil, и нажмите ENTER.
1. Подключение
1.1. В приглашении ntdsutil: введите roles и нажмите ENTER.
1.2. В приглашении fsmo maintenance: введите connections и нажмите ENTER.
1.3. В приглашении server connections: введите connect to server имя_сервера (где имя_сервера является именем контроллера домена, который возьмет на себя роль хозяина операций), и нажмите ENTER.
1.4. После того как вы получите подтверждение соединения, введите quit и нажмите ENTER.
2. В зависимости от роли, которую вы хотите взять в приглашении fsmo maintenance: введите соответствующую команду из таблицы ниже и нажмите ENTER.
3. Введите quit и нажмите ENTER. Повторите опять, чтобы выйти из ntdsutil.
Система запрашивает подтверждение. Затем она пытается передать указанные роли. Во время этого может быть выведено несколько сообщений об ошибках, но захват продолжится. После завершени будет выведен список ролей и LDAP-ноды ответственных серверов. Во время захвата RID мастера, текущий мастер должен попытаться синхронизироваться с партнером по репликации, но партнер мертв, поэтому будет выведено предупреждение и нужно будет подтвердить операцию.
Команды для захвата
Роль Необходимые привилегии Команда
Domain naming master Enterprise Admins seize domain naming master Schema master Enterprise Admins seize schema master Infrastructure master Domain Admins seize infrastructure master PDC emulator Domain Admins seize pdc RID master Domain Admins seize rid master
Надеюсь, статья спасет кому нибуть добрую тонну нервов.
UPD:
В Win2k8R2 команды немного другие:
fsmo maintenance:?
? — Вывод этой справочной информации Connections — Подключение к определенному DC/LDS-экземпляру AD Help — Вывод этой справочной информации Quit — Возврат к предыдущему меню Seize infrastructure master — Перезаписать роль инфраструктуры на подключенном сервере Seize naming master — Перезаписать роль хозяина именования на подключенном сервере Seize PDC — Перезаписать роль PDC на подключенном сервере Seize RID master — Перезаписать роль RID на подключенном сервере Seize schema master — Перезаписать роль схемы на подключенном сервере Select operation target — Выбор сайтов, серверов, доменов, ролей, контекстов именования Transfer infrastructure master — Сделать подключенный сервер хозяином инфраструктуры Transfer naming master — Сделать подключенный сервер хозяином именования Transfer PDC — Сделать подключенный сервер PDC Transfer RID master — Сделать подключенный сервер хозяином RID Transfer schema master — Сделать подключенный сервер хозяином схемы
ИСТОЧНИКИ:
