在一个域中,能不能同时拥有两台GC?

bigsw

在一个域中,能不能同时拥有两台GC?<br>
<br>
在我们公司本地局域网中设置了两台GC(GC_A和GC_B),目的是想其中任何一台起到另外一台备份的作用.(理论上可以吗?我还没找到相关资料.)两个星期前,我的第一台GC(GC_A)当机了,所有的user反映登录时相当慢,在GC_B上AD user&computer和DNS可以打开,但domain policy security打不开,但是我可以在GC_B上找到SYSVOL共享的文件夹,而且里面的内容和GC_A的SYSVOL一模一样,但策略就是起不来.当重启GC_A后,两台GC一切正常.<br>
<br>
在我的网络环境中,GC_B是GC_A的辅助DC,DHCP是另外一台server,内网的主dns是GC_A,辅dns是GC_B<br>
<br>
在一个域中设置两台GC有意义吗?

钉子

在我的深象中，域中只要存在一个GC，而我想，实际上，两个GC存在，也不可能共同工作。

bigsw

同一域中拥有两台GC的确没有什么意义。主域控制器的FMSO的5种角色必须要通过迁移才可以转换。<br>
<br>
以前没认真想过这个问题，简单认为在2000域中，主域控制器和额外域控制器的地位是一样的。<br>
<br>
下面是转贴微软亚洲技术社区的一篇文档，介绍如何在主域控制器当机的情况下FMSO的5种角色的转移及恢复。有些小错误，但瑕不掩瑜，受益非浅，与兄弟们共享：<br>
<br>
---------------------------------------------------------------------------------------------------<br>
<br>
<br>
<br>
<b>多域控制器环境下Active Directory灾难恢复<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
摘要<br>
本文讲述了在多域控制器环境下，主域控制器由于硬件故障突然损坏，而又事先又没有做好备份，如何使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，如何使损坏的主域控制器恢复。<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
目录<br>
Active Directory操作主机角色概述<br>
环境分析<br>
从AD中清除主域控制器DC-01.test.com 对象<br>
在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作<br>
设置额外域控制器为ＧＣ（全局编录）<br>
重新安装并恢复损坏主域控制器<br>
附:用于检测AD中五种操作主机角色的脚本<br>
参考信息<br>
作者介绍<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
一、Active Directory操作主机角色概述<br>
Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）： <br>
架构主机 schema master、<br>
域命名主机 domain naming master<br>
相对标识号 (RID) 主机 RID master<br>
主域控制器模拟器 (PDCE) <br>
基础结构主机 infrastructure master<br>
而每种操作主机角色负担不同的工作，具有不同的功能：<br>
架构主机<br>
具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。 架构主机是基于目录林的，整个目录林中只有一个架构主机。<br>
域命名主机 <br>
具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC： <br>
向目录林中添加新域。 <br>
从目录林中删除现有的域。 <br>
添加或删除描述外部目录的交叉引用对象。 <br>
相对标识号 (RID) 主机<br>
此操作主机负责向其它 DC 分配 RID 池。只有一个服务器执行此任务。在创建安全主体（例如用户、<br>
组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。 每一个 <br>
Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。RID 主机通过分配不同的池来确保这<br>
些 ID 在每一个 DC 上都是唯一的。通过 RID 主机，还可以在同一目录林中的不同域之间移动所有对象。<br>
域命名主机是基于目录林的，整个目录林中只有一个域命名主机。相对标识号（RID）主机是基于域的，目录林中的每个域都有自己的相对标识号（RID）主机<br>
PDCE <br>
主域控制器模拟器提供以下主要功能： <br>
向后兼容低级客户端和服务器，允许 Windows NT4.0 备份域控制器 (BDC) 加入到新的 Windows 2000 环境。 本机 Windows 2000 环境将密码更改转发到 PDCE。每当 DC 验证密码失败后，它会与 PDCE 取得联系，以查看该密码是否可以在那里得到验证，也许其原因在于密码更改还没有被复制到验证 DC 中。 <br>
时间同步 — 目录林中各个域的 PDCE 都会与目录林的根域中的 PDCE 进行同步。<br>
PDCE是基于域的，目录林中的每个域都有自己的PDCE。 <br>
基础结构主机<br>
基础结构主机确保所有域间操作对象的一致性。当引用另一个域中的对象时，此引用包含该对象的<br>
全局唯一标识符 (GUID)、安全标识符 (SID) 和可分辨的名称 (DN)。如果被引用的对象移动，则在域中担<br>
当结构主机角色的 DC 会负责更新该域中跨域对象引用中的 SID 和 DN。<br>
基础结构主机是基于域的，目录林中的每个域都有自己的基础结构主机<br>
默认，这五种ＦＭＳＯ存在于目录林根域的第一台DC（主域控制器）上，而子域中的相对标识号 (RID) 主机、PDCE 、基础结构主机存在于子域中的第一台DC。<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
二、环境分析<br>
公司Test.com（虚拟）有一台主域控制器DC-01.test.com，还有一台额外域控制器DC-02.test.com。现主域控制器（DC-01.test.com）由于硬件故障突然损坏，事先又没有DC-01.test.com的系统状态备份，没办法通过备份修复主域控制器（DC-01.test.com），我们怎么让额外域控制器（DC-02.test.com）替代主域控制器，使Acitvie Directory继续正常运行，并在损坏的主域控制器硬件修理好之后，如何使损坏的主域控制器恢复。<br>
如果你的第一台ＤＣ坏了，还有额外域控制器正常，需要在一台额外域控制器上夺取这五种ＦＭＳＯ，并需要把额外域控制器设置为GC。<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
三、从AD中清除主域控制器DC-01.test.com对象<br>
3.1在额外域控制器(DC-02.test.com)上通过ntdsutil.exe工具把主域控制器(DC-01.test.com)从ＡＤ中删除；<br>
c:>ntdsutil<br>
ntdsutil: metadata cleanup<br>
metadata cleanup: select operation target<br>
select operation target: connections<br>
server connections: connect to domain test.com<br>
select operation target: list sites<br>
Found 1 site(s)<br>
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
select operation target: select site 0<br>
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
No current domain<br>
No current server<br>
No current Naming Context<br>
select operation target: List domains in site<br>
Found 1 domain(s)<br>
0 - DC=test,DC=com<br>
Found 1 domain(s)<br>
0 - DC=test,DC=com<br>
select operation target: select domain 0<br>
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
Domain - DC=test,DC=com<br>
No current server<br>
No current Naming Context<br>
select operation target: List servers for domain in site<br>
Found 2 server(s)<br>
0 - CN=DC-01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te<br>
st,DC=com<br>
1 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te<br>
st,DC=com<br>
select operation target: select server ０<br>
select operation target: quit<br>
metadata cleanup:Remove selected server<br>
<br>
出现对话框，按“确定“删除DC-01主控服务器。<br>
metadata cleanup:quit<br>
ntdsutil: quit<br>
<br>
3.2使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中DC-01服务器对象，<br>
ADSI EDIT是Windows 2000 support tools中的工具，你需要安装Windows 2000 support tool，安装程序在windows 2000光盘中的support\tools目录下。打开ADSI EDIT工具，展开Domain NC[DC-02.test.com]，展开OU=Domain controllers，右击CN=DC-01，然后选择Delete，把DC-01服务器对象删除，如图1：<br>
3.3 在Active Directory Sites and Service中删除DC-01服务器对象<br>
打开Administrative tools中的Active Directory Sites and Service，展开Sites，展开Default-First-Site-Name，展开Servers，右击DC-01，选择Delete，单击Yes按钮，如图2：<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
四、在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作<br>
c:>ntdsutil<br>
ntdsutil: roles<br>
fsmo maintenance: Select operation target<br>
select operation target: connections<br>
server connections: connect to domain test.com<br>
select operation target: list sites<br>
Found 1 site(s)<br>
0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
select operation target: select site 0<br>
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
No current domain<br>
No current server<br>
No current Naming Context<br>
select operation target: List domains in site<br>
Found 1 domain(s)<br>
0 - DC=test,DC=com<br>
select operation target: select domain 0<br>
Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=com<br>
Domain - DC=test,DC=com<br>
No current server<br>
No current Naming Context<br>
select operation target: List servers for domain in site<br>
Found 1 server(s)<br>
0 - CN=DC-02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=te<br>
st,DC=com<br>
select operation target: select server ０<br>
select operation target: quit<br>
fsmo maintenance:Seize domain naming master<br>
出现对话框，按“确定“<br>
fsmo maintenance:Seize infrastructure master<br>
出现对话框，按“确定“<br>
fsmo maintenance:Seize PDC<br>
出现对话框，按“确定“<br>
fsmo maintenance:Seize RID master<br>
出现对话框，按“确定“<br>
fsmo maintenance:Seize schema master<br>
出现对话框，按“确定“<br>
fsmo maintenance:quit<br>
ntdsutil: quit<br>
（注：Seize是在原FSMO不在线时进行操作，如果原FSMO在线，需要使用Transfer操作）<br>
<br>
<br>
--------------------------------------------------------------------------------<br>
<br>
五、设置额外控制(DC-02.test.com)为ＧＣ（全局编录）<br>
打开Administrative Tools中的Active Directory Sites and Services，展开Sites，展开Default-First-Site-Name，展开Servers，展开DC-02.test.com(额外控制器)，右击NTDS Settings选择Properties，然后在"Global Catalog"前面打勾，单击"确定"按钮，然后重新启动服务器。<br>
六、重新安装并恢复损坏主域控制器<br>
修理好DC-01.test.com损坏的硬件之后，在DC-01.test.com服务器重新安装Windows 2000 Server，安装好Windows 2000 Server之后，再运行Dcpromo升成额外的域控制器；如果你需要使DC-01.test.com担任五种FMSO角色，通过ntdsutil工具进行角色转换，进行Transfer操作就行了（注意：不能用Seize）。并通过Active Directory Sites and Services设置DC-01.test.com为GC，取消DC-02.test.com的GC功能。<br>
<br>
--------------------------------------------------------------------------------</b><br>

ericchy

文章真不错！！

钉子

文章区早就收录了这个文章了。<br>
<a target=_blank href=http://5dmail.net/html/2003-11-6/2003116202003.htm>http://5dmail.net/html/2003-11-6/2003116202003.htm</a>

bigsw

呵呵，没看到，看来对5dmai.net还没看熟哦！

Rluo

我以前也有这个想法，在同一域中2台GC互相备份；我也咨询了微软800，他们说是可行的。我也这么做了

huanglr

我的也是.

yx_cwy

请问那位大哥有SMS2.0啊。。。<br>
我现在急用？？？？