操作主机的管理.pps

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,操作主机的管理,主讲：丁文,本讲主要内容：,操作主机的功能,找出操作主机角色的扮演者,传送操作主机角色的实例,占用操作主机角色的实例,10.1,操作主机的功能,Active Directory,内外共定义了五个操作主机角色：,架构主机,域命名主机,RID,主机,PDC,模拟主机,基础结构主机,10.1.1,架构主机,扮演“架构主机”角色的域控制器，负责更新与修改,schema,内的对象与属性数据。只有,Schema,Admins,组内的成员，才有权利修改,schema,内的数据。同一个时间内，整个林中只能有一台“架构主机”。,如果“架构主机”出现故障或离线，可能会影响某些软件的运作。例如某些服务器级的软件在安装时，会在,schema,内添加对象，如果“架构主机”出现故障或离线，将无法安装这些软件。,10.1.2,域命名主机,扮演“域命名主机”角色的域控制器，负责管理林内域的添加与删除工作。同一个时间内，整个林中只能有一台“域命名主机”。,如果“域命名主机”出现故障或离线，将无法在林内添加或删除域。,10.1.3 RID,主机,同一个时间内，每一个域内只能有一台域控制器扮演“,RID,主机”的角色。“,RID,主机”所负责的工作有：发送,RID,、移动对象。,如果“,RID,主机”出现故障或离线，可能无法添加对象，也无法将对象转移到其他域。,10.1.4 PDC,模拟主机,同一个时间内，每个域内只能有一台域控制器扮演“,PDC,模拟主机,”,的角色。“,PDC,模拟主机,”,所负责的工作有：支持旧客户端计算机、减少因为密码复制延迟所造成的问题、负责整个域时间的同步。,10.1.5,基础结构主机,同一个时间内，每个域内只能有一台域控制器扮演“基础结构主机”的角色。,如果域内有对象参考到其他域的对象时，“基础结构主机”会负责更新这些参考对象的数据，例如本域内有一个组的成员包含另外一个域的用户账户，则当这个用户账户有变动时（删除或转移），“基础结构主机”就负责更新这个组的内容，并将其复制到同一个域内的其他域控制器。,“,基础结构主机”是通过“全局编录”来得到这些参考数据的最新版本，因为“全局编录”会收到由每一个域所复制来得最新变动资料。,如果整个林中只有一个域，则“基础结构主机”就没有作用了，因为没有其他域的对象可供参考。,10.2,找出操作主机角色的扮演者,在建立域时，系统会自动选择域控制器来扮演操作主机。不同操作主机的角色可以利用的,Active Directory,管理控制台来检查。,角色,管理控制台,架构主机,Active Directory,架构,域命名主机,Active Directory,域及信任,RID,主机,Active Directory,用户和计算机,PDC,主机,Active Directory,用户和计算机,基础架构主机,Active Directory,用户和计算机,10.2.1,找出架构主机,利用“,Active Directory,架构,”控制台来找出目前扮演“架构主机”角色的域控制器。,安装“,Active Directory,架构,”：,“开始,运行”，输入,regsvr32,schmmgmt.dll,“,开始,运行”，输入,MMC,。“文件,添加,/,删除嵌入式管理单元,”,，选择“,Active Directory,架构”。存储该管理控制台。,10.2.2,找出域命名主机,利用“,Active Directory,域及信任,”,控制台来找出目前扮演“域命名主机”角色的域控制器。,10.2.3,找出,RID,、,PDC,仿真器与基础结构主机,利用“,Active Directory,用户和计算机,”,控制台来找出目前扮演这,3,个操作主机角色的域控制器。,10.3,传送操作主机角色的实例,当建立域时，系统会自动选择域控制器来扮演操作主机；当将扮演操作主机角色的域控制器降级为成员服务器，系统也会自动将操作主机的角色传送到另外一台域控制器，因此在大部分情况下不需要自行传送操作主机角色。,如果需要自行传送操作主机角色，例如原来扮演操作主机的域控制器作主机的域控制器负荷太重，你可以将其操作主机角色传送的另一台指定的域控制器上，以降低原操作主机的负荷。,角色,有权限的组,架构主机,Schema,Admins,域命名主机,Enterprise,Admins,RID,主机,Domain,Admins,PDC,主机,Domain,Admins,基础架构主机,Domain,Admins,执行安全传送操作之前，应注意以下事项：,确定两台域控制器都已经连上网络，可以相互沟通。,传送角色的过程中并不会有数据丢失。,请不要将“基础架构主机”传送到具备“全局编录”功能的域控制器，除非是以下情况：,整个域只有一台域控制器。,所有域控制器都是“全局编录”。,只有一个域。,如果“林功能”级别为“,Windows 2000”,，请将“域命名主机”与“全局编录”设为同一台域控制器，但是如果“林功能”级别为“,Windows Server 2003”,，两者可以不是同一台域控制器。,10.4,占用操作主机角色的实例,如果扮演操作主机角色的域控制器出现故障或网络有问题时，你可以采用“占用”操作主机角色的方法，来将操作主机的角色强迫传送到另外一台域控制器。,注意：,只要能利用安全传送的方法，就不要用“占用”的方法。,10.4.1,操作主机故障所造成的影响,某些操作主机出现故障时，短时间内就能对网络造成明显的影响，但有的却不会，一般来说，只有在原操作主机永远无法在提供服务时，才需要执行占用的步骤。,注意：,一旦“架构主机”、“域命名主机,”,、“,RID,主机”的角色被占用后，请永远不要将原来扮演该角色的操作主机在连接到网络上。建议将该域控制器的硬盘格式化。,“构架主机”发生故障时,“构架主机”暂时无法提供服务，对网络用户并没有影响，而对系统管理员来说，除非要安装一个将修改,schema,的软件，否则也不会察觉到“构架主机”已经故障，所以暂时可以不执行占用的步骤。如果“架构主机”发生故障的时间太久，则应该占用操作主机角色，改由另外一台域控制器来扮演。,“域命名主机”发生故障时,“域命名主机”暂时无法提供服务，对网络用户并没有影响，而对系统管理员来说，除非要添加或删除域，否则也不会察觉到“域命名主机”已经发生故障，所以暂时可以不执行占用步骤。如果“域命名主机,”,发生故障的时间太久，则应该占用操作主机角色，改由另外一台域控制器来扮演。,“,RID,主机”故障时,“,RID,主机”暂时无法提供服务，对网络用户并没有影响，而对系统管理员来说，除非要在域内添加对象，或先前所索取的,RID,已经用完，否则也不会察觉到“,RID,主机”已经发生故障，所以暂时可以不执行占用步骤。如果“,RID,主机,”,发生故障的时间太久，则应该占用操作主机角色，改由另外一台域控制器来扮演。,“,PDC,模拟主机,”,发生故障时,“,PDC,模拟主机”无法提供服务时，网络用户会很快的察觉到，例如计算机时间无法同步、密码更新的延迟时间会拉长、旧客户端无法改变密码等，因此你需要立刻执行占用的步骤。,“,PDC,模拟主机,”,的角色占用后，原来扮演“,PDC,模拟主机,”,的域控制器正常后，还是可以连接到网络上，在与新的操作主机复制,Active Directory,后，察觉到角色已经被占用，并自动放弃“,PDC,模拟主机,”,的角色，不过还是可以将角色在传送回原来的域控器。,“基础结构主机”发生故障时,“基础结构主机,”,暂时无法提供服务，对网络用户并没有影响，而对系统管理员来说，除非最近转移大量帐户或改变大量帐户的名称，否则也不会察觉到“基础结构主机”已经发生故障，所以暂时可以不执行占用步骤。如果“基础结构主机,”,发生故障的时间太久，则应该占用操作主机角色，改由另外一台未启用“全局编录”功能的域控制器来扮演。,“,基础结构主机,”,的角色占用后，原来扮演“基础结构主机,”,的域控制器正常后，还是可以连接到网络上，在与新的操作主机复制,Active Directory,后，察觉到角色已经被占用，并自动放弃“基础结构主机,”,的角色，不过还是可以将角色在传送回原来的域控器。,10.4.2,占用操作主机角色实例,实例,1,假设网络内只有一个域，而且是采用默认值，也就是说,5,个操作主机角色与“全局编录”都是由默认的域控制器（第一台域控制器）来扮演。现在这台域控制器也因故无法使用，因此需要占用,5,个操作主机角色，改由另外一台域控制来扮演，并将在这台域控制设置为“全局编录”。,操作步骤：,“,开始,命令提示符”，运行：,ntdsutil,在,ntdutil,提示符下，输入：,roles,在,fsmo,maintenance,提示符下，输入：,connections,在,server connections,提示符下，输入：,connect to server,欲扮演操作主机的域控制器名称,在,server connections,提示符下，输入：,quit,在,fsmo,maintenance,提示符下，输入：,seize schema master,在对话框中选择“是”，,继续分别运行以下,4,个命令占用其它,4,个操作主机角色,seize domain,naming,master,seize PDC,seize RID master,seize infrastructure master,执行“,Active Directory,站点和服务,”,将这台域控制器设置为“全局编录”。,最后，注意,DNS,服务器是否正常。,实例,2,假设网络内只有一个域，而且是采用默认值，也就是说,5,个操作主机角色与“全局编录”都是由默认的域控制器所扮演。现在该域控因故无法使用，而你欲通过将另台域控制器降级的方式来删除该域，但是确无将其降级。,操作步骤：,按前例将,5,个操作主机与“全局编录”的角色改由另一台域控制器来扮演。,执行：“,Active Directory,站点和服务,”,在展开的原操作主机上右击“,NTDS Setting”,选择”删除”,将最后这台域控制器降级，同时将域删除。,可以使用“,Active Directory,安装向导,”,来删除“应用程序目录分区”。,手动将应用程序目录分区”删除。,运行“命令提示符”,ntdsutil,domain management,connectionsconnect to sever,欲降级域控名称,quit,listdelete,nc,DC=,DomainDnsZones,DC=,lab,DC,=net,Delete,nc,DC=,ForestDnsZones,DC=,lab,DC,=net,