Windows Server 2003 主辅域控搭建与 FSMO 迁移避坑实战-北京尧图网络

简介围绕主域控制器与辅助域控制器的部署及迁移这份文档面向正在学习 Windows Server 活动目录、需要完成域控实验或运维交接的初中级技术人员重点解决主域搭建、额外域控加入以及 FSMO 角色与全局编录转移等实操问题。资源包仅含 1 个 docx 文件约 566KB以步骤说明和命令清单形式组织便于按章节查阅与对照练习。内容从 Windows Server 2003 环境下使用 dcpromo 新建 Jiajie.com 域讲起依次覆盖辅助域控的 IP/DNS 设置与额外域控安装、系统状态备份、RID/PDC/基础结构/域命名/架构五大主机角色迁移并给出 ntdsutil 的 transfer 与 seize 命令及全局编录调整方法。已有 2064 人学习适合用作域控迁移的实验手册和排错参考能帮助读者理清操作顺序、理解角色转移与强制夺取的适用场景。1. 接手一台 Windows Server 2003最怕的不是蓝屏接手一套 Microsoft Windows Server 2003 Enterprise Edition 的老域时最怕的往往不是开机蓝屏而是域还在跑、却没人说得清当初是怎么搭起来的。主域控和辅助域控这种双机结构当年在机房里几乎人手一套真到了要加一台额外域控或者把主域控整体迁到新机器上dcpromo 会停在哪一页、辅助域控的 DNS 该指向谁、五个 FSMO 角色用界面点还是用 ntdsutil 抢没亲手走过一遍的人是真不敢按下一步。这篇不打算先讲活动目录的原理直接按我搭过的那一轮顺序走两台 Server 2003 从 IP 和主机名规划开始装主域控、加辅助域控、再做主域控制器的迁移中间哪几个参数不能随手改、哪几个坑能让人折腾到后半夜都写在下面。2. 主域控搭建从 IP 规划到 dcpromo 跑完重启动手之前先把两台机器的身份信息固定下来。这一步很多人图快直接开虚拟机装完就敲 dcpromo结果装到一半发现主机名跟后面要用的域控名对不上改主机名又要重启前面填的东西白填。先把表填好后面每一步都有对照。2.1 两台机器的 IP、掩码、DNS 对照表项目主域控A辅助域控B操作系统Windows Server 2003 Enterprise Edition同左计算机名ABIP 地址1.1.1.11.1.1.2子网掩码255.0.0.0255.0.0.0默认网关同网段不填同网段不填首选 DNS1.1.1.1自身实际 IP1.1.1.1域全名Jiajie.comJiajie.comNetBIOS 名JIAJIEJIAJIE目录服务还原密码adchinaadchina255.0.0.0 是 A 类掩码配上去之后 1.1.1.1 和 1.1.1.2 落在同一个子网里做实验最省事。注意这是实验环境的取法1.1.1.0/8 是公网地址段搬到真实内网一定要换成规划过的私网段否则以后接路由器会出乱子。首选 DNS 这里有个细节值得说主域控装完活动目录之后首选 DNS 指 127.0.0.1 也能跑但我更习惯填自身实际 IP 1.1.1.1。原因是某些老版本网卡驱动在回环地址上注册 SRV 记录会漏项用实际 IP 少一层玄学。辅助域控 B 的首选 DNS 必须填 1.1.1.1不能填自己这一点后面加域时会反复用到。2.2 dcpromo 之前必须验的三件事在 A 上执行 dcpromo 之前先花两分钟做三项检查比事后翻日志省事得多。:: 1. 确认主机名、IP、DNS 都已经是规划好的值 ipconfig /all hostname :: 2. 确认 DNS 解析链路正常装之前没有域记录返回失败是正常的 ping 1.1.1.1 :: 3. 确认系统盘以外还有可用空间目录数据库和日志别全堆在 C 盘 dir c:\ipconfig /all输出里重点看三项Host Name 是不是 A、IP Address 是不是 1.1.1.1、DNS Servers 是不是 1.1.1.1。hostname再确认一次短名因为 dcpromo 会拿这个短名去拼 FQDN短名写错了后面生成的 A.jiajie.com 对不上SRV 记录也会跟着歪。磁盘这一项是血泪经验。Server 2003 默认把 NTDS 数据库、事务日志和 SYSVOL 全放在 C:\WINDOWS 下实验环境跑跑没问题但一旦域里有几百个对象日志写满系统盘是很常见的翻车现场。如果虚拟机挂了第二块盘向导里那两页存储位置就改到 D 盘去只有一块盘就老实接受默认值别为了「规范」把 C 盘切得太小。注意主机名改完必须重启才生效别在同一会话里改完名字直接敲 dcpromo。我踩过一次向导读到的还是旧名装完的域控 FQDN 跟规划差一截最后只能 dcpromo /forceremoval 拆掉重来。2.3 向导十一页逐页说清楚填什么准备就绪后在 A 上打开运行框输入 dcpromo剩下的是十一页向导。这一节把每页的选择和背后的理由一次讲透照着填就行。:: 开始 - 运行或者直接 WinR dcpromo向导各页的填写内容与判断依据如下欢迎页与操作系统兼容性直接下一步。Server 2003 会提示跟 Windows 95、NT 4.0 早期版本的兼容性问题实验环境不用管。域控制器类型选「新域的域控制器」。这一页决定这台机器是新建域还是加入已有域选错了后面整套流程都不一样只能重来。创建一个新域选「在新林中的域」。这是林里的第一台域控没有上级域可选。新的域名填Jiajie.com。这个就是 DNS 全名后面所有 SRV 记录都挂在这下面一旦定下来再改就要走域重命名2003 时代基本等于重装。新的 NetBIOS 域名自动带出JIAJIE保持默认。老客户端和部分只认短名的应用靠它登录。数据库和日志文件文件夹默认C:\WINDOWS\NTDS。有两块盘就分别指向 D 盘的两个不同目录日志和数据分盘能减少 I/O 争抢。共享的系统卷默认C:\WINDOWS\SYSVOL。这一份会被复制到所有域控上装完会自动共享成 SYSVOL 和 NETLOGON。DNS 注册诊断选第二项让向导「在这台计算机上安装并配置 DNS 服务器使它与该域一起使用」。这是整套流程里最关键的一页选错会得到一个装好了 AD 但解析不了自己的域控。权限选「只与 Windows 2000 或 Windows Server 2003 兼容」。除非域里真有 NT 4.0 的成员服务器要加进来否则不要选兼容早期版本那一项它会放宽匿名访问的权限。目录服务还原模式的管理员密码填adchina。这一页的弹窗标题是 Restore Mode Password指的是目录服务还原模式密码跟 Administrator 的登录密码是两回事别混。摘要核对一遍域名、NetBIOS 名和路径点下一步开始安装装完提示重启。第 8 页值得单独展开。DNS 注册诊断页在装之前会报一个「无法联系到处理该名称的 DNS 服务器」的警告这是正常的因为此刻还没有 DNS。页面下方给出两个选项第一项是「在这台计算机上安装并配置 DNS 服务器使它与该域一起使用」第二项是同样的描述但明确标注推荐。区别在于第一项装完后 DNS 只做基础配置第二项会把正向查找区域和 SRV 记录一并建好。选第二项装完直接在 DNS 控制台里能看到_msdcs、_sites、_tcp、_udp四个文件夹说明记录注册成功。第 10 页的密码也有讲究。adchina只有七位、全小写、不含数字和符号按域级别的密码策略是过不了的。之所以能填进去是因为此刻域还不存在校验用的是本机的本地安全策略而 Server 2003 的本地策略默认没开密码复杂度。装完之后域默认策略一启用这个密码就成了历史遗留问题。常见做法是装完立刻把目录服务还原密码改成一个符合复杂度的值用ntdsutil里的set dsrm password命令改别等到真要还原的时候才发现密码登不进去。2.4 重启之后先别急着加第二台主域控重启完很多人第一反应是赶紧去配 B。先停一下在 A 上把这三项验完不然后面加域控出问题你分不清是主域控本身没装好还是网络没通。:: 1. 目录服务健康检查把详细输出落到文件里慢慢看 dcdiag /v c:\dcdiag_after_dcpromo.txt :: 2. 确认 SYSVOL 和 NETLOGON 两个共享已经自动建好 net share :: 3. 确认域控的 SRV 记录已经注册到 DNS 里 nslookup -typesrv _ldap._tcp.dc._msdcs.jiajie.com 1.1.1.1dcdiag /v的输出里重点看 Connectivity、Advertising、NetLogons、Replications 这几项的结论是不是 passed。net share输出里必须有 SYSVOL 和 NETLOGON 两行缺任何一个都说明 sysvol 还没共享出来通常是文件复制服务还没跑完等几分钟再查实在不行重启一次 Netlogon 服务。nslookup那条查询如果能返回 A.jiajie.com 和 1.1.1.1说明 SRV 记录注册正常辅助域控加域时才能靠 DNS 找到主域控。三项都过了再往下走。这一步花的时间比后面加域控失败回头排查要少得多。3. 辅助域控搭建额外域控怎么加、复制怎么验辅助域控在活动目录里的正式叫法是「现有域的额外域控制器」它不是备份域控BDC那一套老机制而是多主复制里的另一台 DC。装对了主域控上的用户、组、组策略会自动复制过来装错了最常见的结果是两台机器各说各话事件日志里刷复制错误。3.1 加域前先把 IP 和 DNS 指到主域控在 B 上先改网络配置这一步做错后面 dcpromo 一定会卡在「找不到域」那一页。:: 在 B 上配置静态 IPDNS 必须指向主域控 netsh interface ip set address name本地连接 static 1.1.1.2 255.0.0.0 netsh interface ip set dns name本地连接 static 1.1.1.1 :: 验证连通性和域名解析 ping 1.1.1.1 nslookup jiajie.com 1.1.1.1 nslookup -typesrv _ldap._tcp.dc._msdcs.jiajie.com 1.1.1.1ping 1.1.1.1只证明三层通不证明 AD 能用。真正要看的是后面两条 nslookupnslookup jiajie.com 1.1.1.1应该返回主域控的 IP-typesrv那条应该返回 A.jiajie.com 和 389 端口。如果 ping 通但 nslookup 超时问题一定在 DNS 上可能是 B 的首选 DNS 没改、也可能是 A 上的 DNS 服务没监听 1.1.1.1先解决这个再谈 dcpromo。端口层面也顺手看一眼。AD 认证依赖 389LDAP、445SMB、135RPC 端点映射、53DNS可以用 telnet 直接探telnet 1.1.1.1 389 telnet 1.1.1.1 445能连上会看到黑屏或者直接断开连不上会提示连接失败。Server 2003 默认没装 telnet 客户端的话用portqry -n 1.1.1.1 -p tcp -o 389,445,135,53也行portqry 在 Support Tools 里。这一招在排查「网络通但加不了域」时特别管用比抓包快得多。还有一件事容易被忽略把 B 的计算机名确认成 B并且不要提前把 B 手动加入域。很多人习惯先在「我的电脑 → 属性 → 计算机名」里把机器加入 jiajie.com然后再跑 dcpromo多这一步不但没必要还经常因为 DNS 配错卡在「找不到域控制器」。dcpromo 在额外域控流程里会自己完成加入动作前提是网络凭据页给的账号有权限。3.2 dcpromo 选「现有域的额外域控制器」的完整页序在 B 上打开运行框同样是 dcpromo但向导走的是另一条分支。:: 在 B 上执行跟主域控是同一个命令分支由第二页决定 dcpromo各页的填法欢迎页与兼容性提示下一步。域控制器类型选「现有域的额外域控制器」。这一页选错成「新域的域控制器」就会在一台已经有域的机器上再建一个新林两台 DC 从此互不相干。网络凭据用户名填JIAJIE\Administrator密码填主域控的本地管理员密码域填JIAJIE。这里的账号必须在目标域里有「域管理员」或至少「企业管理员」权限普通域用户过不去。额外域控制器域名填Jiajie.com。注意这里填的是 DNS 全名不是 NetBIOS 名填 JIAJIE 会报「无法联系到域」。数据库和日志文件文件夹跟主域控保持一致的规划有两块盘就分开放。共享的系统卷默认路径装完后 B 上也会有 SYSVOL 和 NETLOGON 共享。目录服务还原密码填adchina跟主域控保持一致。两台机器的还原密码不同并不是错误但运维时容易记混统一更省心。复制来源选「通过网络从下列服务器复制」服务器列表里选A.jiajie.com。如果这一步留空向导会自己挑一台可用的 DC在只有两台机器的环境里结果一样但显式指定能避免以后加第三台时搞不清初始数据是从谁那儿来的。摘要核对后点下一步开始复制初始数据完成后重启。第 3 页的网络凭据是最容易翻车的地方。填jiajie\administrator时要注意反斜杠方向填成jiajie/administrator会直接报凭据无效另外如果主域控的 Administrator 账号被改过名这里必须用改后的名字用 Administrator 会提示「用户名或密码不正确」明知密码没错也会卡住。3.3 复制验收到事件日志为止B 重启之后两台域控之间的复制是自动的默认间隔 15 分钟。但「能自动复制」和「现在就复制成功」是两件事加完域控立刻做一次手动触发能提前发现问题。在辅助域控 B 上打开「Active Directory 站点和服务」展开 Sites → Default-First-Site-Name → Servers → A → NTDS Settings右键选「立即复制」然后在 B 自己的 NTDS Settings 上做同样的操作往反方向推一次。图形界面之外用命令行更直接:: 查看复制伙伴和最近一次复制结果 repadmin /showrepl :: 生成一份复制健康摘要重点看 error 数量 repadmin /replsummary :: 手动触发一次从 A 到 B 的复制 repadmin /replicate B.jiajie.com A.jiajie.com DCjiajie,DCcom :: 只测复制这一项 dcdiag /test:replications /vrepadmin /showrepl的输出会按分区列出每个复制伙伴重点看「Last replication was ... ago」和失败计数正常情况下最近一次同步应该在一刻钟以内。repadmin /replsummary更直观直接给出最大延迟和错误数两台的错误数都应该是 0。repadmin /replicate那条命令的参数顺序要记清楚第一个是目标 DC把数据写到谁那儿第二个是源 DC数据从谁那儿来第三个是要复制的命名上下文。写反了不会报错只是方向相反容易在排查时误判。最土也最有效的验收方法是在主域控上新建一个测试用户然后到辅助域控上打开「Active Directory 用户和计算机」找这个用户。命令行触发完复制后如果 B 上立刻能看到说明整条链路是通的如果看不到先看事件查看器里「目录服务」日志有没有 1869、1311 这类复制错误码1311 通常意味着两台机器的 DNS 后缀或者站点配置不一致。原文里那句「经测试主域控制器的数据能及时复制到辅助域控上面」靠的就是这一套验证。别只看 dcpromo 最后那页打了个勾就完事复制是会中途出问题的。4. FSMO 五角色迁移界面点选与 ntdsutil 命令对照演练到这一步两台域控都在跑数据也在互相复制接下来才是真正的主域控制器迁移。活动目录里有五个操作主机角色也就是常说的 FSMO分布在林的根域和各个域里架构主机和域命名主机是林级别的各只有一台RID 主机、PDC 仿真主机、基础结构主机是域级别的每个域各一台。迁移的目标是把这五个角色从 A 挪到 B再配合全局编录的调整让 B 成为实际的主力。4.1 动手前先 ntbackup 备份 system state迁移本身不算高风险操作但迁移过程中如果出意外没有备份就只能靠 seize 硬抢抢完老域控基本报废。所以第一步永远是备份。:: 开始 - 运行打开自带的备份工具 ntbackup打开后切到「备份」选项卡在左侧树里勾选「System State」这是系统状态包含注册表、SYSVOL、活动目录数据库、证书服务等关键内容。目标位置选一块空闲空间够大的盘生成的 .bkf 文件大小通常在两三百兆到一两个 G 之间视域规模而定。命令行也能做适合写进计划任务:: 用命令行做一次系统状态备份/j 指定任务名/f 指定输出文件 ntbackup backup systemstate /j FSMO迁移前备份 /f D:\backup\sysstate_pre_fsmo.bak /l D:\backup\backup.log参数里/j是这次备份的任务标识后续在备份工具的还原界面里能按这个名字找回/f是备份文件路径注意目录必须事先存在ntbackup 不会自己建目录/l是日志文件出问题时靠它定位。备份做完一定要做一次「还原验证」哪怕只是打开备份工具点「还原和管理媒体」确认文件能被识别。我见过备份文件因为磁盘写满只写了一半的情况等到真要还原才发现文件损坏那时候已经没有后悔药了。4.2 RID、PDC、基础结构在「AD 用户和计算机」里转移三个域级别角色的转移路径是一样的都在「Active Directory 用户和计算机」里操作。第一步是让控制台连到目标域控 B而不是默认的 A打开「Active Directory 用户和计算机」在域名jiajie.com上右键点「连接到域控制器」。在弹出的列表里选中B.jiajie.com确定。这一步不做后面所有的「更改」都是把角色在 A 内部转来转去等于没做。第二步是逐个转移在域名上右键点「操作主机」弹出三个选项卡RID、PDC、基础结构。当前持有者会显示成A.jiajie.com点「更改」确认后变成B.jiajie.com。PDC 和基础结构两个页签重复同样的动作。三个页签里PDC 仿真主机的意义最实在它承担密码修改的最终裁决、时间同步源、以及组策略编辑时的默认连接点。RID 主机负责给新创建的安全主体分配 RID 池短期内分配完了会影响新用户创建。基础结构主机负责跨域引用对象的更新在只有一个域的环境里它几乎不干活但角色还是得转否则单点故障依然存在。注意「操作主机」对话框里的「更改」按钮是灰色的九成是因为当前控制台连的还是原域控或者登录账号不是企业管理员/域管理员。先回到「连接到域控制器」那一步确认连接目标。4.3 域命名主机换个控制台域命名主机管的是林里新增、删除、重命名域的操作路径不在「AD 用户和计算机」里而在「Active Directory 域和信任关系」。打开「Active Directory 域和信任关系」在根节点上右键点「连接到域控制器」选B.jiajie.com。再次在根节点上右键点「操作主机」这一页只有一个域命名主机选项卡。点「更改」确认后角色转到 B。这一步的坑在于控制台连接状态不共享。你在「AD 用户和计算机」里连到 B不代表「AD 域和信任关系」也连到了 B两个控制台各管各的。所以每换一个控制台都要重新做一次「连接到域控制器」。4.4 架构主机先 regsvr32 schmmgmt.dll 再开 MMC架构主机是五个角色里最麻烦的一个因为它默认在管理工具里根本没有对应的入口必须先注册一个 DLL再手工往 MMC 控制台里添加管理单元。:: 注册架构管理单元的动态链接库 regsvr32 schmmgmt.dll执行成功会弹一个「DllRegisterServer in schmmgmt.dll succeeded」的对话框。如果提示找不到模块说明这个文件不在系统里Server 2003 上它一般在C:\WINDOWS\System32下确认路径后可以用完整路径注册。注册完之后手工搭控制台运行框输入mmc打开一个空白控制台。按 CtrlM 或者点「文件 → 添加/删除管理单元」。在列表里找到「Active Directory 架构」点「添加」再点「关闭」最后「确定」。回到控制台在「Active Directory 架构」节点上右键点「更改域控制器」。选「指定名称」输入B.jiajie.com确定。再次右键点「操作主机」点「更改」。第 5 步是很多人漏掉的。如果直接用默认连接控制台连的是 A点「更改」就是把架构主机从 A 改到 A走完一圈发现角色没动还以为是权限问题。判定方法很简单改完之后看「操作主机」对话框里显示的当前持有者必须是 B.jiajie.com 才算成功。还有一个隐性前提操作架构主机需要当前账号在 Schema Admins 组里。这个组默认只有 Administrator如果用的是别的管理员账号先把账号加进去重新登录一次让组成员身份生效否则「更改」按钮会一直是灰的。4.5 全局编录站点和服务里的一勾一取消全局编录不是 FSMO 角色但它在多域控环境里的作用跟角色迁移同样关键。全局编录服务器保存了林里所有域的部分属性副本登录认证、Exchange 地址簿查询、跨域组嵌套解析都要找它。默认情况下林里的第一台域控就是全局编录服务器如果 A 要下线这个身份必须交给 B。操作在「Active Directory 站点和服务」里打开控制台在根节点上右键点「连接到域控制器」选B.jiajie.com。依次展开 Sites → Default-First-Site-Name → Servers → A → NTDS Settings。右键 NTDS Settings点「属性」把「全局编录」前面的勾去掉。再展开 Servers → B → NTDS Settings同样右键属性把「全局编录」勾上。顺序不能反。先给 B 勾上等复制完成后再给 A 取消中间这段两台都是全局编录属于正常状态。反过来先取消 A 再勾 B中间会有一段时间林里没有全局编录服务器用户登录会报「目前没有可用的登录服务器」排查起来很费劲。勾选之后建议留出至少一轮复制间隔再验证。在 B 上打开事件查看器看「目录服务」日志里有没有 1126 事件它表示全局编录已经启动完成用nltest /dsgetdc:jiajie.com /gc也能直接查出当前响应全局编录请求的是哪台机器。4.6 ntdsutiltransfer 和 seize 的分界线图形界面适合角色都健康、两台机器都在线的场景。如果原域控已经彻底起不来了图形界面根本连不上它「更改」按钮永远点不动这时候只能用命令行。ntdsutil 提供两组动词transfer 是「转移」要求原持有者还活着并且能通信seize 是「占用」直接把角色抢过来不管原持有者在不在。先看转移的完整流程以 RID 主机为例:: 进入 ntdsutil 交互环境 ntdsutil :: 进入角色维护模式 roles :: 建立到目标域控的连接 connections connect to server B.jiajie.com quit :: 执行转移 transfer RID master逐段解释ntdsutil是入口进去之后提示符变成ntdsutil:输入roles进入 FSMO 维护模式提示符变成fsmo maintenance:connections进入连接子模式提示符变成server connections:这时候才可以用connect to server指定要连哪台 DCquit退回上一级最后transfer RID master执行转移成功会提示「正在将 RID 主机角色从 A.jiajie.com 转移到 B.jiajie.com」。把所有转移命令列出来对照命令行作用transfer PDC转移 PDC 仿真主机transfer RID master转移 RID 主机transfer infrastructure master转移基础结构主机transfer domain naming master转移域命名主机transfer schema master转移架构主机原域控彻底损坏、无法开机时把transfer换成seizentdsutil roles connections connect to server B.jiajie.com quit seize RID master seize PDC seize infrastructure master seize domain naming master seize schema master quit quit这五条对应的就是上面那张表的五个角色动词换成 seize。执行前必须确认一件事原域控 A 以后绝对不会再以任何形式接入网络。因为 seize 之后A 的数据库里仍然认为自己是这五个角色的持有者一旦它重新上线就会出现两个 RID 主机同时分配 RID 池的情况产生的安全标识符冲突是不可逆的只能做元数据清理ntdsutil里的metadata cleanup把 A 的记录彻底删掉。5. 避坑排查主域控迁移里五个最容易翻车的点5.1 ping 得通dcpromo 却报「找不到域」现象辅助域控 B 上能 ping 通 1.1.1.1资源共享也能访问但 dcpromo 走到「额外域控制器域名」那一页填入 Jiajie.com 之后报「无法联系到域 jiajie.com 的域控制器」。原因dcpromo 找域控靠的不是 ICMP是 DNS 里的 SRV 记录。ping 通只说明三层可达如果 B 的首选 DNS 没有指向 1.1.1.1或者主域控的 DNS 服务没起来、SRV 记录没注册dcpromo 就找不到入口。解决先在 B 上执行nslookup -typesrv _ldap._tcp.dc._msdcs.jiajie.com 1.1.1.1能返回 A.jiajie.com 和 389 端口才叫正常。返回不了就回主域控查 DNS 控制台看_msdcs、_sites、_tcp这几个文件夹在不在不在的话重启主域控的 Netlogon 服务让它重新注册注册完再回来跑 dcpromo。5.2 「操作主机」里更改按钮是灰的现象打开「AD 用户和计算机」右键域名点「操作主机」对话框能弹出来但「更改」按钮点不动或者点了之后当前持有者还是 A。原因两个可能。一是控制台没有连接到目标域控 B所有操作都还在 A 上打转二是当前登录账号权限不够不在 Domain Admins 或 Enterprise Admins 组里。解决先在域名上右键点「连接到域控制器」把目标改成 B.jiajie.com 再操作。权限问题用whoami /groups确认当前账号的组成员身份如果刚把账号加进管理员组必须注销重新登录才生效光刷新没用。5.3 架构主机页面根本找不到现象打开 MMC 想添加「Active Directory 架构」管理单元列表里翻遍了也没有这一项。原因schmmgmt.dll没有注册管理单元没在系统里登记自然列不出来。解决运行regsvr32 schmmgmt.dll看到成功提示后重新打开 mmc再按 CtrlM 添加。如果提示模块找不到用完整路径regsvr32 C:\WINDOWS\System32\schmmgmt.dll再试一次。注册完不需要重启。5.4 取消全局编录之后登录突然变慢现象在 A 上把全局编录的勾去掉之后域用户登录时间从几秒变成几十秒偶尔报「目前没有可用的登录服务器」。原因站点里没有其他全局编录服务器或者 B 上的全局编录还没完成初始同步。客户端登录时会去查全局编录找不到就一路超时重试。解决先在 B 上把全局编录勾上等事件日志里出现 1126 事件确认启动完成再回头取消 A 的勾选。如果已经取消了临时把 A 的勾加回去恢复服务等 B 完全就绪后再操作一次。判定 B 是否就绪可以用nltest /dsgetdc:jiajie.com /gc。5.5 用 seize 抢完角色老域控又开机了现象原主域控硬件故障用 seize 把五个角色抢到 B 上一周后 A 修好被接回网络域里开始出现各种奇怪现象新建用户偶尔登录不上、组策略应用不一致、事件日志里刷 1353 和 1863。原因A 的数据库里仍然认为自己是 FSMO 持有者重新上线后两台机器各自为政RID 池重复分配导致 SID 冲突这种损坏是不可逆的。解决seize 之前就要把 A 的硬盘拆掉或者彻底格式化确保它不可能再以原身份上线。如果已经接回来了立刻断网在 B 上执行ntdsutil的metadata cleanup把 A 的服务器对象、NTDS 设置、复制连接全部删干净然后检查有没有产生重复 SID 的对象把有问题的用户重建。6. 验证装完之后怎么确认这套域真的跑通了迁移做完不等于结束还得有一套固定的收尾检查。我一般按下面这张表走一遍全部通过才算交付。检查项命令或位置期望结果五个角色落在哪台netdom query fsmo五项全部显示 B.jiajie.com域控清单netdom query dc列出 A 和 B 两台复制健康度repadmin /replsummary两台的错误数为 0最大延迟小于 15 分钟目录服务整体dcdiag /test:replications /test:fsmocheck全部 passed全局编录nltest /dsgetdc:jiajie.com /gc返回 B.jiajie.com共享卷net shareSYSVOL、NETLOGON 都在netdom在 Server 2003 的 Support Tools 里装完光盘里的support\tools\suptools.msi就有。它比翻三个图形界面快得多一条命令直接列出五个角色的当前持有者是迁移收尾最省事的验证手段。用 ntdsutil 也能看适合没装 Support Tools 的机器ntdsutil roles connections connect to server B.jiajie.com quit ?最后那个问号会列出所有角色命令以及当前的持有者输出里能看到五行都是 B.jiajie.com 就对了。除了命令还有两个体感验证值得做。一是在辅助域控 B 上新建一个用户然后到 A 上此时 A 已经不是主力确认能看到说明复制是双向的二是找一台成员机把 DNS 指向 B用域账号登录一次能登进去说明认证链路完整。这两步比任何命令都更接近真实使用场景。从那以后我每次动 FSMO 之前都强制自己先跑一遍netdom query fsmo把结果存成文本快照迁移完再跑一遍做对比。这个习惯救过我两次一次是架构主机根本没转成功但没人发现一次是全局编录提前取消了导致第二天早上一片登录失败。慢一步做记录比事后通宵排查划算得多。希望帮到你。本文还有配套的精品资源点击获取

Windows Server 2003 主辅域控搭建与 FSMO 迁移避坑实战

相关推荐

数据治理实战指南：从白皮书体系到数仓质量规则落地

Windows XP与Linux双系统分区与GRUB引导排错

秦九韶算法：用1个循环将多项式求值乘法降70%的数值优化核心

更多资讯

23个AI角色如何重塑全栈开发工作流

PyTorch模型导出ONNX避坑指南：从trace到部署验证全解析

图论入门核心概念与实战解析：从欧拉图到邻接表

吉林大学C++上机实验：面向对象工程实践与内存安全训练

人口预测模型实战：Logistic拟合与Leslie矩阵的MATLAB实现

讯飞人行动结业测试5.0备考全攻略：题型拆解与避坑指南

今日更新

MATLAB缩进快捷键与批量格式化实战指南

用Poco实现Qt风格信号与槽的跨平台C++方案

ESXi裸机虚拟化安装指南：从硬件兼容到虚拟机部署

本周精选

金融AI落地指南：从调研报告到技术选型与工程实践

大模型上下文成本与注意力优化技术深度解析——为何O(n²)平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测

基于GMM的语音识别系统原理与MATLAB实现详解

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？