Windows server 2012 利用ntdsutil工具實現AD角色轉移及刪除域控方法

本章博文講述Windows server 2012 域控制器之間角色轉移及刪除域控方法 。針對不同的應用場景，對操作方法進行了歸納與總結 。

    場景1：主域控制器與輔助域控制器運行正常，相互間可以實現AD復制功能。需要把輔助域控制器提升為主域控制器 ，把主域控制器降級為普通成員服務器；這種場景一般應用到原主域控制器進行系統升級（先轉移域角色，再降級，再安裝或升級高版本系統，再次轉移角色恢復到主域控制器角色）或使用配置更高的服務器替代原主域控制器起到主域控制的作用（使用高配置的服務器配置成輔助域控制器，然后把原主域控制器角色轉移到該主機，原主機成為輔助域控制器，高配置主機成為主域控制器）

    場景2：輔助域控服務器運行正常，主域控服務器因突發性緊急故障造成Down機且主域無法正常運行。需要輔助域控服務器強制奪取RID、PDC、Domain、Schema、Naming角色及GC功能成為新主域控，并強制刪除域中殘留原有主域控信息 ；這種場景一般應用到主域系統或數據損壞無法正常工作，由輔助域控強制爭奪5種角色提升為主域控制器，同時刪除殘留原主域控制器信息。原有主域控主機在重新加入域環境時（重新安裝系統后），建議使用不同的主機名及ip地址。

場景一：

環境：主域控制器ds01.bicionline.org ，輔域控制器pdc01.bicionline.org  ， 兩臺域控服務器運行正常，相互間可以實現AD復制。

目的：主域控服務器把RID、PDC、Domain、Schema、Naming角色及GC功能轉移到輔助域控制器，并降級成普通服務器。

解決思路：通過圖形界面或命令行界面進行角色轉移， 通過服務管理器進行域降級 ，刪除DNS服務器中所有區域內的原有主域控DNS 記錄 ，刪除‘站點與服務’里原主域控server 。

圖形界面操作：

1. 傳遞PDC、RID 、基礎結構角色 ：

   登錄pdc01.bicionline.org 輔助域服務器 ，進入“Active Directory 用戶和計算機 pdc01.bicionline.org”，右擊“bicionline.org”選擇操作主機 ，對3個主機角色進行更改：如下圖 

   

    

   

   
   

2. 傳遞架構主機角色：

   Windwos  server 2012  注冊 regsvr32 schmmgmt  命令，通過mmc查看域架構 。如下圖 

   a、注冊域架構 

   

   
   

   b、打開mmc控制臺，添加單元“Active Directory 架構”。

   

   
   

   c、右擊“Active Directory 架構 pdc01.bicionline.org”選擇“操作主機” 選項。

   

   
   

3. 傳遞域命名操作主機：

   進入“Active Directory 域和信任關系 pdc01.bicionline.org”，右擊選擇操作主機 ，對Naming角色進行更改：如下圖 

   

   
   

   

命令行操作：

1. 前面步驟是通過圖形界面進行的操作，另通過ntdsutil 工具方式亦可實現角色轉移 ：步驟如下

   運行-cmd -ntdsutil 回車  #

   技巧： 輸入 ？  ，可以查看該模式下可輸入的命令行及命令功能注釋 。

   roles 回車             //角色功能選項

   connections 回車    //進入連接模式

   connect to server pdc01.bicionline.org  回車   //連接pdc01 服務器

   quit  回車                                         //退出 

   transfer  naming master  回車   //將已連接服務器定為命名主機 

   transfer infrastructure master 回車

   transfer PDC 回車

   transfer RID master  回車

   transfer schema master 回車

   

場景二：

環境 ：主域控制器ds01.bicionline.org ，輔域控制器pdc01.bicionline.org  ，輔助域控服務器運行正常，主域控服務器Down機且無法恢復。

目的：輔助域控服務器強制奪取RID、PDC、Domain、Schema、Naming角色及GC功能成為新主域控，并強制刪除域中殘留原有主域控信息 。

解決思路：通過Ntdsutil工具強制奪取5種角色， 并刪除原主域控server ，另刪除DNS服務器中所有區域內的原有主域控DNS 記錄 ，刪除‘站點與服務’里原主域控server 。

解決步驟：

1. 另通過ntdsutil 工具方式亦可實現角色轉移 ：步驟如下

   運行-cmd -ntdsutil 回車  #

   技巧： 輸入 ？  ，可以查看該模式下可輸入的命令行及命令功能注釋 。

   roles 回車             //角色功能選項

   connections 回車    //進入連接模式

   connect to server pdc01.bicionline.org  回車   //連接pdc01 服務器

   quit  回車                                         //退出 

   seize  naming master  回車   //在已連接的服務器上覆蓋命名主機角色 

   seize infrastructure master 回車

   seize PDC 回車

   seize RID master  回車

   seize schema master 回車

   

   
   

2. 清理ds01 server的殘留信息（元數據）

   運行--cmd---ntdsutil 

   metadata cleanup 回車     //進入服務器對象清理模式

   select operation target   回車     //進入操作對象選擇模式

   connections  回車      //進入連接模式

   connect to server pdc01  回車  //連接到pdc01服務器端

   quit  回車

   list sites   回車 //列出當前連接的域中的站點

   select site 0  //選擇站點0

   list domains in site  /列出站點中的域

   select domain 0   //選擇域0

   list servers for domain in site //列出0站點0域內所有服務器

   select server ０  //選擇域中的將要刪掉服務器(域控)

   remove selected server     //刪除選擇的服務器(域控)

   

   
   

3. 刪除DNS服務器中每一個區域中關于ds01的 DNS 記錄 ，刪除‘站點與服務’里DS01 server ，并配置pdc01 為GC （全局編錄） ，這些點容易被忽略，請謹記 。

綜上所述，針對不同的場景實現主域控制器與輔助域控制器之間的角色轉移 ，建議在做操作前務必做好數據備份工作 ，且在清理主域殘留信息時慎重操作。