AD --- 活动目录的日常管理操作(2)

第一节:FSMO规划最佳实践:将森林级别的FSMO角色放置于森林根域的全局编目服务器上将两个森林级别的FSMO角色放置于同一台域控制器上将三个域级别的FSMO角色放置于同一台高性能的域控制器上不建议将域级别的FSMO角色放置于全局编目服务器上降低PDC仿真器的负载--修改注册表架构主控的规划:占有架构主控的域控制器必需保证高可用性,但是不是必需拥有高性能域命名主控的规划:占有域名命主控的域控制器必需保证高可用性,但是不是必需拥有高性能.且该DC必需同时也是全局编录服务器 PDC仿问器的规划:占有PDC仿真器的域控制器必需保证同时拥有高可用性和高性能 RID主控的规划:占有RID主控的域控制器必需保证高可用性,但是不是必需拥有高性能基础架构主控的规划:占有RID主控的域控制器可以忽略可用性和性能方面的考虑,但是不能把基础架构主控同全局编目服务器放在同一台与控制器上

第二节:转移操作主控强占操作主控

首先从windows server 2000安装光盘里面找到SUPPORT文件夹--TOOLS--双击SETUP把这个工具安装上通过开始--运行--输入cmd按确定来打开命令提示符在命令提示符里面输入netdom query fsmo /domain:Nwtraders.Msft按回车键后可以看到5种角色了都是在Beijing这台计算机上因为Beijing这台DC是整个森林内第一台DC 所以森林里面的Schema owner Domain role owner 这两个角色在这台计算机上森林根域的 PDC role RID pool manager Infrastructure owner这三个角色也在这台计算机上 netdom这个工具可以本标识出当前域内的所有FSMO角色我再来查那个子域的FSMO角色看一下输入netdom query fsmo /domain:Subdom.Nwtraders.Msft按回车键后也可以看到5种角色因为它是一个子域森林里面的两个角色在Beijing这台计算机上而森林根域的三个角色就在本计算机上(Hangzhou)

通过开始--程序--Windows 2000 Support Tools--Tools--按ADSI Edit 实际上就是打开活动目录数据库了比如我现想查谁是Schema Master 对着CN=Schema,CN=Configuration,DC=Nwtraders,DC=Msft这一项右键--选择属性在Select a property to view那一项选择fSMORoleOwner那一项在Value(s)那一项可以看到BEIJING那台DC是Schema Master 另外那四种角色也同样就这样查的就是在Select a property to view那一项选择fSMORoleOwner那一项然后在Value(s)里面就可以看到这个角色是在那台计算机上了

SID的组成是这样的 s-1-5-21-xxxx-yyyy-zzz-mmmm 中间那三段叫做Domain sid 这三段是用来标识一个域的换句话说同一个域内的所有的用户这三段都是一样的最后一段mmmm就叫做rid 如果要保证同一个域内的用户它们的sid是不冲突的关键是rid不一样就可以了怎么样确保rid不一样呢？就是RIDMaster的作用它分配可用的RID池给域内DC 防止安全主体的SID冲突这个可用的RID池实际上是有600个RID 当你的DC去创建用户的时候就从可用RID池里面拿只要这个DC保证不分配重复的RID就可以了假如一个域有10台DC RIDMaster主要确保这10台DC可用的RID池是不一样的不管在那台DC上创建用户创建出来的每个用户的SID都不一样

在命令提示符里面输入dcdiag /v 按回车键后可以看到一项Starting test:RidManager 可以看到这个域可用的RID池是从2101到1073741823 可以看到Beijing这台计算机是RID Master 当前这台DC可用的范围是从1101到1600 rIDNextRID:1106 这个表示也就是下一次创建的用户它的RID是1106

谁是nwtraders.msft这个名称空间下的DC呢? 可以查什么得到呢? 可以查SRV记录得到展开nwtraders.msft这个域--msdcs--dc--按tcp 可以看到beijing这台计算机是DC shanghai那台计算机也是DC 客户端通过DNS去查询客户端到底要用那台DC呢? 一般情况下优先级越低会越被优先使用负担越高会越被优先使用怎么样降低PDC的负载呢? 通过修改PDC的SRV记录 beijing这台计算机是PDC 我现在把beijing这台计算机的优先级改成10 负担改成50 这个时候就不会被优先使用beijing这台DC了注意:不要在ldap属性里面改在这里改是没有用的一旦重启计算机就又变成原值了在命令提示符里面输入net stop netlogon & net start netlogon按回车键后就停止Net Logon服务并且再重启NetLogon服务当你重启计算机的时候这个服务一定会重启的当你重启net logon服务后 beijing这台DC的优先级和负担又变成原值了你不应该通过这种方式改怎么改呢? 修改注册表

通过开始--运行--输入regedit按确定来打开注册表编辑器在注册表编辑器里面的找到左下角那个路径按Parameters 在右边的空白处右键--新建--选择双字节值创建二个一个叫做ldapsrvpriority(优先级)数值数据为50 一个叫做ldapsrvweight(负担)数值数据为10 在命令提示符里面输入net stop netlogon & net start netlogon按回车键重启net logon服务后你就发现跟这个DC所有相关的SRV记录都变成我在注册表编辑器里面设置的值了所以你可以在注册表编辑器里面加这二个键值来降低客户端对PDC的访问展开pdc--按tcp--双击ldap后就可以看到优先级变成50 负担变成10了

在命令提示符里面输入netdom query fsmo按回车键后可以看到这个域内的5种角色都给Beijing这台计算机占用但是因为Beijing这台计算机的性能的原因我觉得它不适合充当这个角色了我想把它转移走怎么转移呢? 实际上是有二种方式一种是通过图形页面转移打开Active Directory用户和计算机对着域名右键--选择操作主机可以看到RID PDC 结构你可以在这里面做转移另一种方式是在命令提示符里面操作输入ntdsutil按回车键输入roles按回车键输入con按回车键输入con to ser shanghai.nwtraders.msft按回车键就是说我现在要绑定到shanghai这台计算机上我要把我的所有角色都转移到shanghai那台计算机上输入quit按回车键输入trans sch ma按回车键后它就问您确实想让服务器"shanghai.nwtraders.msft" 到为企业传送架构主机? 你按是就ok了

在命令提示符里面输入netdom query fsmo /domain:nwtraders.msft按回车键后就可以看到刚才转移的Schema owner 已经给Shanghai这台计算机了在命令提示符里面输入trans pdc按回车键后它就问您确实想让服务器"shanghai.nwtraders.msft"到将主机送到域? 你按是就ok了同样可以在命令提示符里面输入netdom query fsmo /domain:nwtraders.msft按回车键后就看到PDC已经转移到shanghai这台计算机了

我现把shanghai那台计算机关掉了反正当作不存在了不可用DC了在命令提示符里面输入ntdsutil按回车键输入roles按回车键输入con按回车键输入con to ser beijing.nwtraders.msft按回车键后就绑定在beijing这台计算机上了输入quit按回车键输入trans pdc按回车键后很久没有反应然后就出现错误了请求的 FSMO 操作失败不能连接当前的 FSMO 盒就是说我现在要把以前转移给shanghai那台DC的二个角色抢占过来输入seize pdc按回车键后它就问您确实想让服务器"beijing.nwtraders.msft" 用下列值取代PDC角色? 你按是就ok了注意:抢占操作会导致数据丢失我们绝对不建议抢占操作的当你把shanghai那台DC的角色抢占过来后再也不要修复shanghai那台DC了如果你再把shanghai那台DC修复好再启动后会发生一些不可预知的事情就是说你以前有一台DC 它有操作主控后来被人抢占走了那要记住原来那台DC最好不要让它回到原来那个域当中了不要再启动它了

通过开始--运行--输入%systemroot%/ntds按确定按工具--选择文件夹选项--查看--把隐藏受保护的操作系统文件(推荐)的沟去掉选择显示所有的文件和文件夹把隐藏已知文件类型的扩展名的沟去掉按确定后就可以看到ntds.dit这个文件整个活动目录数据库都在这个文件里面 edb.log这个文件代表事务日志文件 edb.chk是检查点文件 res1.log res2.log是保留日志文件

第二节:活动目录数据库维护什么情况下手动维护数据库:数据库所在分区磁盘空间低数据库容量太大导致备份时间过长硬件失败转移活动目录数据库:确定活动目录数据库大小备份系统状态数据重新启动计算机进入DSRM模式使用NTDSUTIL.exe转移活动目录数据库重新启动计算机备份系统状态数据

在地址里面输入c:\boot.ini按回车键后就可以看到里面的内容了然后你把multi(0)disk(0)rdisk(0)partition(1)\WINNT="Microsoft Windows 2000 Advanced Server" /fastdetect复制粘贴到下一行再加上DSRM /safeboot:dsrepair按保存就ok了当你再重新启动的时候就出现二个选项你按DSRM那一项就直接进入活动目录还原模式了

注意:在进入活动目录还原模式前一步的管理员密码不是域管理员密码而是你安装活动目录的时候输入的密码假如我忘记活动目录还原模式密码了怎么办呢？如果是在windows2000上就用域管理员登录到常规模式在命令提示符里面输入setpwd按回车键然后再重新设置活动目录还原模式的密码就ok了

我现在已经进活动目录还原模式了在命令提示符里面输入ntdsutil按回车键输入file按回车键输入move db to c:\ntds按回车键就ok了就是说我现在要把活动目录数据库转移到C盘下的ntds文件夹里面可以在命令提示符里面看到工作目录:c:\ntds表示已经转移成功了我现在把ntds这个文件夹打开已经可以看到ntds.dit(活动目录数据库)文件和edb.chk(检查点)文件了

在命令提示符里面输入ntdsutil按回车键输入file按回车键输入move log to c:\ntdslog按回车键就把log文件转移到ntdslog这个文件夹了打开ntdslog这个文件夹后可以看到edb.log res1.log re2.log这三个文件了转移成功后就重新启动计算机马上备份系统状态数据

收缩活动目录数据库:查看数据库空闲空间大小(online) 备份系统状态数据重新启动计算机进入DSRM模式使用ESENTUTL工具查看数据库空间(offline) 使用NTDSUTIL.exe工具收缩数据库重新启动计算机备份系统状态数据

在命令提示符里面输入esentutl /ms c:\ntds\ntds.dit /8按回车键因为活动目录的数据库每个页面大小是8K 所以就在后面加/8 然后可以看到一张表 Owned表示这个活动目录的每一个表格占用了多少页 Available表示这个表格有多少空闲的页最后有一个总结可以看到一共空闲了273页我用计算机来算一下每一页是8K 273X8=2184 可以知道大概空闲2M空间

在命令提示符里面输入ntdsutil按回车键输入file按回车键输入compact to c:\temp按回车键 c:\temp就是说我要把这个压缩文件放到C盘下的temp这个文件夹里面你也可以看到是通过那一个执行指令来完成压缩的压缩完成之后就重新启动计算机备份系统状态数据

从活动目录数据库中删除对象:isDeleted 属性 Deleted Objects 容器 TombStone 周期 Garbage Collection 机制 Garbage Collection 周期

假如我现在把ccc这个联络人删除掉通过开始--运行--输入adsiedit.msc按确定找到CN=Users--CN=ccc 双击它打开属性在Select a property to view那一项选择isDeleted 如果下面Edit Attribute那一项显示为True就表示这个联络人已经被删除掉了

在命令提示符里面输入ldp按回车键按connection--按connect 输入beijing按ok 按connection--按Bind 输入用户名和密码按ok 按View--按Tree 输入cn=deleted objects,dc=nwtraders,dc=msft按ok 这个容器实际上是存在的但是它告诉我无所对象为什么呢？你要看容器里面的东西要做一下设置的按Options--按Controls 在里面输入一些东西在windows2000上要自己手动输入如果你用的是windows 2003的支技工具它把那个GUID给列出来你可以直接在这个地方把OID添加进去就可以了在Contols右边它会列出一项叫做return deleted object 然后你选择return deleted object 选择Check in 再打开这个容器你就可以看到你所有的从这个DC上删除的对象了你可以从这里把一个对象恢复出来对象放在这里有一个TombStone 周期是60天过了60天后就等垃圾回收来清理它

在ADSI Edit里面找到 CN=Directory Service 右键--选择属性在Select a property to view那一项选择garbageCollPeriod 这个表示垃圾回收的一个周期如果我在Edit Attribute里面设置成1 那么过1小时后就把deleted object里面的清理掉已经过期的对象作处理在Select a property to view那一项选择tombstoneLifetime 如果我在Edit Attribute里面设置成1 那么被删除的对象它在deleted object里面存在1天按Set 按确定就开始生效了

本文转自叶俊生 51CTO博客，原文链接:http://blog.51cto.com/yejunsheng/162191