Обновлено 20.01.2019
Добрый день уважаемые читатели и гости блога Pyatilistnik.org, сегодня будет очень жизненная и на сто процентов практическая статья и посвящена она будет, трабшутингу Active Directory. Не так давно я вам рассказывал, как производится правильное удаление неисправного или недоступного контроллера домена, все хорошо, но может получиться ситуация, что именно он является носителем ролей FSMO, и перед его удалением вам нужно будет произвести принудительный захват ролей мастера-операций Active Directory.
Давайте выполним в командной строке вот такую команду:
Нужные мне три нижние роли принадлежат dc10. их и будем забирать. Для этого вы должны быть, как минимум администратором домена.
Вот вам пример реальной ситуации, когда перед удалением контроллера домена, мне нужно было принудительно захватить роли мастеров операций.
Не удается передать роль хозяина операций по следующей причине: Ошибка требуемой операции FSMO. Нет связи с текущим владельцем FSMO.
Это я увидел в оснастке Active Directory — Пользователи и компьютеры, при попытке по правильному передать роль RID.
Если попытаться получить роль PDC эмулятора с недоступных контроллером, то он даст вам это сделать в ADUC, но вы увидите предупреждение.
Ошибка требуемой операции FSMO. Нет связи с текущим владельцем FSMO. Не удается связаться с текущим хозяином операций для передачи этой роли другому компьютеру. В некоторых случаях допускается принудительная передача роли. Вы хотите выполнить?
Говорим «Да»
Все роль PDC получена.
Тоже самое проделаем с мастером инфраструктуры. Выполнив опять запрос в командной строке, кто держит FSMO роли, видим, что это уже для двух нижних ролей, dc7, новый контроллер.
Теперь захватим роль RID, в этом нам поможет утилита ntdsutil. Открываем командную строку для принудительного захвата.
- Вводим ntdsutil, попадем в исполняемую среду.
- Далее пишем roles
- в fsmo maintenance: пишем connections
- в server connections: пишем connect to server имя сервера у меня это dc7
- server connections:
q - пишем в fsmo maintenance: seize RID master
Вам напишут: Попытка безопасной передачи RID FSMO перед захватом. Ошибка ldap_modify_sW, код ошибки 0x34<52 (Нет данных). Расширенное сообщение об ошибке LDAP 000020AF: SvcErr: DSID-03210F70, problem 5002, data 1722. Возвращенная ошибка Win32 0x20af (Ошибка требуемой операции FSMO. Нет связи с текущим владельцем FSMO).
У вас выскочит окно с подтверждением операции, нажимаем «Да.» В итоге роль все равно передастся, это можно увидеть сразу в ADUC.
Если нужно принудительно захватить с помощью ntdsutil оставшиеся роли, то их ключи для последней команды:
- seize PDC
- seize infrastructure master
- seize domain naming master (Seize naming master )
- seize schema master
Вот так вот по правильному происходит принудительная передача ролей мастер операций в Active Directory, если есть вопросы, то пишите их в комментариях.
- Remove From My Forums
-
Вопрос
-
Доброго времени суток, уважаемые.
возникла проблема: Есть сеть — PDC под Server 2008 и BDC под Server 2008 R2. pdc потерял загрузочный раздел в
результате не знаю чего, но когда я приехал комп не грузился совсем. BDC на что-то ругнулся (сейчас уже и не вспомню). но на тот момент гугл выдал кучу рекомендации по Seize всех ролей. что я и проделал. в результате, BDC
сейчас вообще не отвечает на запросы о включении в домен не показывает несколько вкладок в свойствах пользователей и других компонентов АД. и периодически вообще роняет AD без комментов в логах. просто и со вкусом — «домена
не существует или он недоступен.
Решил поднять PDC из архива. удалось. теперь собственно о чем прошу.
PDC грузится только в режиме восстановления домена. Внутри ntdsutil не получается ничего делать из-за ошибки
«Не удалось инициализировать модуль Jet: Ошибка Jet -546»
запустил
esentutl /p «%windir»ntdsntds.dit»
утилита сообщила об успешном восстановлении, но при входе в ntdsutil продолжает вылезать ошибка.что пытался делать:
ntdsutil: Activate Instance ntds
Активный экземпляр — «ntds».ntdsutil: Authoritative restore
Не удалось инициализировать модуль Jet: Ошибка Jet -546.
Не удается проверить, доступен ли контроллер домена только для чтения, 0x8000fff
f(Разрушительный сбой)
Ошибка при синтаксическом разборе ввода — неправильный синтаксис.ntdsutil: roles
fsmo maintenance: Select operation target
select operation target: list sites
select operation target: connections
server connections: connect to server server
Привязка к server …
DsBindWithSpnExW ошибка 0x6d9(В системе отображения конечных точек не осталось д
оступных конечных точек.)Очень прошу — помогите, пожалуйста Подскажите как поднять домен?
Ответы
-
Для того, чтобы удостовериться, что контроллеру домена не даёт объявлять себя служба FRS (Служба репликации файлов), проверьте её журнал событий: если там после запуска службы нет события (информационного) с сообщением о том,
что она больше не препятствует объявлению сервера контроллером домена, то дело в ней.Если это так, то, поскольку PDC, как я понял, у вас восстановлению не подлежит, и вы решили восстанавливать BDC (как я понимаю, он называется 1cserver), то выполняйте полномочное восстановление SYSVOL на нём: остановите службу репликации
файлов, скопируйте содержимое папки C:SYSVOLdomain (там должны быть папки Policies и Scripts) с PDC на BDC, установите в реестре параметр HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNtFrsParametersBackup/RestoreProcess
at StartupBurFlags в значение d4 (шестнадцатеричное) и запускайте службу.После этого, проверьте, что контроллер домена функционирует, принудительно понижайте PDC (команда dcpromo /forceremoval), в оснастке AD Sites and Services удаляйте подобъект NTDS Settings для его объекта сервера (или сам объект
сервера — он потом будет создан при повышении), а затем делайте с PDC что хотите (можете, к примеру, его обратно повысить до контроллера домена).
Слава России!
-
Помечено в качестве ответа
4 сентября 2016 г. 12:56
-
Снята пометка об ответе
Daddy_Dave
4 сентября 2016 г. 13:32 -
Помечено в качестве ответа
Daddy_Dave
4 сентября 2016 г. 15:23
-
Помечено в качестве ответа
- Remove From My Forums
ntdsutil — Seize domain naming master — Invalid syntax?!?
-
Question
-
I am running NTDSUtil on my Win2008 R2 DC. I connected to the server that I want to transfer the domain naming master to. When I run «seize domain naming master» it gives the error: «Error parsing Input — Invalid Syntax»
All of the other seize commands work fine.
A little history…I lost 2 of the DCs and I have 2 left. I manually deleted the old DCs from the domain, but I’m not sure if this is the issue or not?
Answers
-
-
Marked as answer by
Thursday, April 29, 2010 11:06 AM
-
Marked as answer by
- Remove From My Forums
ntdsutil — Seize domain naming master — Invalid syntax?!?
-
Question
-
I am running NTDSUtil on my Win2008 R2 DC. I connected to the server that I want to transfer the domain naming master to. When I run «seize domain naming master» it gives the error: «Error parsing Input — Invalid Syntax»
All of the other seize commands work fine.
A little history…I lost 2 of the DCs and I have 2 left. I manually deleted the old DCs from the domain, but I’m not sure if this is the issue or not?
Answers
-
-
Marked as answer by
Thursday, April 29, 2010 11:06 AM
-
Marked as answer by
Hello forum,
While trying to reset the directory services restore mode password on my Windows 2012 Essentials server using ntdsutil, I get «Error parsing Input — Invalid Syntax» when I type anything for the password. The only response that works is blank. I’ve tried long and short passwords, complex and simple passwords, single-character passwords — nothing works. I’ve tried by running ntdsutil.exe in its own cmd window using the Run box, and by typing ntdsutil into an elevated command prompt.
I am logged in as the administrator. I am typing «set dsrm password.»
What am I doing wrong?
Active Directory* ntdsutil
Not exactly the question you had in mind?
Sign up for an EE membership and get your own personalized solution. With an EE membership, you can ask unlimited troubleshooting, research, or opinion questions.
ask a question
I started with Experts Exchange in 2004 and it’s been a mainstay of my professional computing life since. It helped me launch a career as a programmer / Oracle data analyst
Принудительный захват ролей FSMO в Active Directory
Принудительный захват ролей FSMO в Active Directory
Добрый день уважаемые читатели и гости блога Pyatilistnik.org, сегодня будет очень жизненная и на сто процентов практическая статья и посвящена она будет, трабшутингу Active Directory. Не так давно я вам рассказывал, как производится правильное удаление неисправного или недоступного контроллера домена, все хорошо, но может получиться ситуация, что именно он является носителем ролей FSMO, и перед его удалением вам нужно будет произвести принудительный захват ролей мастера-операций Active Directory.
Давайте выполним в командной строке вот такую команду:
Нужные мне три нижние роли принадлежат dc10. их и будем забирать. Для этого вы должны быть, как минимум администратором домена.
Вот вам пример реальной ситуации, когда перед удалением контроллера домена, мне нужно было принудительно захватить роли мастеров операций.
Это я увидел в оснастке Active Directory — Пользователи и компьютеры, при попытке по правильному передать роль RID.
Если попытаться получить роль PDC эмулятора с недоступных контроллером, то он даст вам это сделать в ADUC, но вы увидите предупреждение.
Все роль PDC получена.
Тоже самое проделаем с мастером инфраструктуры. Выполнив опять запрос в командной строке, кто держит FSMO роли, видим, что это уже для двух нижних ролей, dc7, новый контроллер.
Теперь захватим роль RID, в этом нам поможет утилита ntdsutil. Открываем командную строку для принудительного захвата.
- Вводим ntdsutil, попадем в исполняемую среду.
- Далее пишем roles
- в fsmo maintenance: пишем connections
- в server connections: пишем connect to server имя сервера у меня это dc7
- server connections: q
- пишем в fsmo maintenance: seize RID master
6 Responses to Принудительный захват ролей FSMO в Active Directory
Подскажите пожалуйста, у меня обратная проблема:
PDC, Диспетчер пула RID, хозяин инфраструктуры нужный домен DC2 (передал AD-пользователи и компьютеры — Свойства — Хозяева операций), а вот хозяин схемы и хозяин именования доменов DC1 планируемый к выводу домен, как передать Хозяин схемы и Хозяин именования доменов к DC2?
Принадлежность ролей увидел используя netdom query fsmo
DC1 выключен
Спасибо, как всегда на высоте!
Необходимо было отдать роли, исполняемые выключенным контроллером:
1.seize schema master
2.seize domain naming master
использовал ntdsutil
1 без проблем в соответствии с инструкцией.
2 сказала — Ошибка при синтаксическом разборе ввода — неправильный синтаксис.
Пробовал несколько раз (((
Seize naming master — вот правильная команда
Кирил, команда изменилась.
Сейчас надо использовать:
Источник
Как передать fsmo роли другому контроллеру домена Active Directory
Как передать fsmo роли другому контроллеру домена Active Directory
Всем привет, сегодня расскажу как передать fsmo роли другому контроллеру домена Active Directory. Что такое fsmo роли читайте тут. Так же мы уже рассматривали как определить FSMO хозяева операций. Задача следующая у нас есть домен Active Directory с контроллерами домена Windows Server 2008R2, мы с вами установили контроллер под управлением Windows Server 2012 R2. Нам нужно передать ему роли fsmo и в будущем заменить все W2008R2 на W2012R2.
Есть 3 домена dc01 и dc02 это контроллер домена windows 2008 r2 и dc3 это новый с Windows Server 2012 R2. Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
Видим, что все 5 ролей (Хозяин схемы, Хозяин именования доменов, PDC, Диспетчер пула RID, Хозяин инфраструктуры) находятся на dc01.msk.pyatilistnik.org.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-01
Первый способ который будет рассмотрен в первой части это через оснастки.
Как передать fsmo роли другому контроллеру домена Active Directory через оснастки
Передача ролей fsmo через оснастки самый быстрый и наглядный метод.
Передача PDC, Диспетчер пула RID, Хозяин инфраструктуры.
Открываем оснастку Active Directory Пользователи и компьютеры, это можно сделать через пуск набрав dsa.msc.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-02
Видим 3 DC контроллера, у dc3 стоит windows Server 2012 R2
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-03
Щелкаем правым кликом на уровне домена и выбираем Хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-04
Видим, что реально PDC, Диспетчер пула RID, Хозяин инфраструктуры держит DC01
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-05
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-06
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-07
Если вы нажмете кнопку изменить, то выскочит ошибка:
Данный контроллер домена является хозяином операций. Чтобы передать роль хозяина операций другому компьютеру, необходимо сначала подключиться к нему.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-08
Из этого следует что для захвата нужно выбрать контроллер куда мы будем передавать роли, у меня это dc3.
Переходим на dc3 и открываем тоже ADUC
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-09
Выбираем хозяева операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-10
Видим текущий хозяин RID это dco1 и кому передаем это dc3, жмем изменить.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-11
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-12
Роль успешна передана
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-13
Видим, что теперь хозяин RID dc3.msk.pyatilistnik.org
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-14
Тоже самое проделаем с PDC мастером
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-15
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-16
и с Инфраструктурой
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-17
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-18
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
и видим три роли fsmo принадлежат dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-19
Передача Schema master (мастера схемы)
Открываем оснастку Active Directory Схема, как ее добавить Active Directory Схема читаем тут.
правым кликом по корню и выбираем Хозяин операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-20
Мы подключимся к dc01. Нажимаем сменить
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-21
и получаем предупреждение: Текущий контроллер домена Active Directory является хозяином операций. Чтобы передать роль хозяина операций другому DC, нужно нацелить на этот DC схему AD,
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-22
Закрываем его. Щелкаем правым кликом опять по корню и выбираем Сменить контроллер домена Active Directory.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-23
Вылезет окно с сообщением Оснастка схемы AD не подключена к хозяину операций схемы. Выполнение изменений невозможно. Изменения схемы могут быть сделаны только в схеме владельца FSMO.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-24
Снова выбираем хозяина схемы и видим, что теперь сменить дает.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-25
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-26
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-27
Посмотрим кто хозяин ролей, делается это с помощью команды в командной строке:
и видим уже 4 роли у dc3
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-28
Передача Хозяина именования доменов
Открываем оснастку Active Directory домены и доверие
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-29
Выбираем хозяин операций
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-30
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-31
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-32
Роль успешно передана
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-33
Теперь все роли FSMO у контроллер домена windows 2012 r2.
Как передать fsmo роли другому контроллеру домена Active Directory — 1 часть-34
Вот так вот просто передать fsmo роли другому контроллеру домена Active Directory. Советую почитать Как передать fsmo роли другому контроллеру домена Active Directory — 2 часть через командную строку.
Источник
Adblock
detector