简介一份面向Windows Server 2003域控管理员、系统运维及网络技术人员的操作文档系统梳理了主域控、辅助域控的搭建流程以及主域控制器的迁移方法。文档采用docx格式压缩包内仅1个文件大小566KB内容精炼、便于按章节查阅。目前已有2061人学习浏览适合正在部署或迁移Active Directory域控环境的读者参考。正文从环境准备、网络参数配置到dcpromo向导中的域类型选择、DNS与NETBIOS命名均有清晰说明在迁移部分重点演示了RID、PDC、基础结构、域命名、架构五大FSMO角色的图形化迁移操作并给出ntdsutil命令行转移与强制占用seize角色的完整命令流程同时涵盖全局编录的设置与域控制器备份要点。读者可据此规范域控搭建步骤减少误操作提升迁移成功率是一份可直接对照操作的实用手册。1. 主域控、辅助域控的搭建与主域控制器迁移这份文档解决的是故障转移与角色交接问题如果你手上还有 Windows Server 2003 时代的遗留业务或者你在学习 AD 域控的底层机制这份资源正好踩在你的痛点上。它不是讲理论而是直接把主域控搭建、辅助域控加入、以及主域控故障后的 FSMO 角色迁移全流程给出了一套可复现的步骤。整套操作围绕一个核心问题当主域控必须退役或者已经起不来时怎么让辅助域控顶上去并且让五个 FSMO 角色和全局编录全部交接干净。适合的对象是接手旧环境的运维新人以及想在测试环境里完整走一遍域控迁移流程的工程师。搭建本身不复杂真正容易翻车的环节在迁移阶段特别是强制夺取与全局编录的切换顺序下面逐步拆开讲。2. 主域控的搭建从 dcpromo 向导到 DNS 注册诊断2.1 环境规划是第一步计算机名、IP 地址与 DNS 自指在运行 dcpromo 之前先把两台机器的角色定下来。文档里主计算机名是 A辅助计算机名是 B域名用 Jiajie.comNetBIOS 名 JIAJIE。这台主域控的 IP 是 1.1.1.1掩码 255.0.0.0。虽然这套地址规划在现代网络里不太常见但在隔离的实验环境或遗留内网里直接照用没问题。如果你是在已有网络里操作建议把 IP 换成你实际网段关键是主域控的 IP 必须是静态地址并且 DNS 服务器地址指向自己。操作系统版本建议直接用 Microsoft Windows Server 2003 Enterprise Edition。若你的机器是后续版本界面文字可能不同但 dcpromo 向导的选项结构是一样的。建议在干净的机器上做不要拿已经加入过其他域的成员服务器直接升域控否则残留的计算机账号信息会干扰后续复制。2.2 dcpromo 向导的关键节点解读在运行对话框输入 dcpromo进入 Active Directory 安装向导。界面会提示你是否要成为域控制器直接下一步然后按如下选择操作。域控制器类型新域的域控制器 创建一个新域在新林中的域 DNS 全名Jiajie.com NetBIOS 域名JIAJIE 数据库和日志文件位置默认 C:\WINDOWS\NTDS 共享的系统卷位置默认 C:\WINDOWS\SYSVOL每一项目前不需要深究但你要知道它们各自的用途。域控制器类型选择“新域的域控制器”意味着这是林里的第一台 DC这一步选错会导致后续辅助域控加入时找错方向。数据库和日志文件路径在生产环境建议放到非系统盘但实验环境保持默认即可。SYSVOL 用于存放组策略模板和脚本路径确认后不要手工改动否则复制时会出莫名其妙的问题。接下来是 DNS 注册诊断。文档里选择第二项意思是“在这台计算机上安装 DNS 服务器并将这台 DNS 服务器设置为这台计算机的首选 DNS 服务器”。这是比较稳妥的选项因为域控依赖 DNS SRV 记录来让其他机器找到它先装 DNS 再升域控可以省掉后面手动补记录的麻烦。2.3 权限兼容级别与还原密码的设置权限兼容级别这步文档选的是 Windows 2000 或 Windows Server 2003 兼容权限。如果你所在的域里还有老版本成员服务器选这个没问题如果全是高版本系统选“只与 Windows Server 2003 兼容”会更严格但实际影响不大因为这里控制的是匿名访问旧版 RAS 服务器的权限普通环境下保持兼容模式最省事。目录服务还原密码设置为 adchina。这个密码在开机按 F8 进入目录服务还原模式时要用不要忘记。注意它和域管理员密码是两个概念即便重装系统只要还想恢复 AD 数据库这个密码就得在。安装完成后强制重启。重启后可以在运行里输入 dcpromo 再次确认状态或者用 dcdiag 做基础健康检查。第一次搭建时最容易忽略的是重启后登录时用的账号此时要使用域名前缀加管理员账号登录即 JIAJIE\Administrator而不是本机管理员。2.4 主域控搭建完成后的自检项重启完成后建议按以下顺序做一遍确认避免带着隐患进入辅助域控阶段。第一确认 DNS 服务已启动并且服务器上有 _tcp、_udp、_sites 等 SRV 记录。第二打开 Active Directory 用户和计算机确认能正常浏览域结构。第三确认 SYSVOL 目录已共享共享名是 SYSVOL。第四事件查看器里没有任何来源为 NTDS 或 DNS 的错误级别记录。我一般会把 DNS 记录截图留档尤其是 _msdcs.jiajie.com 下的 SRV 记录。后面辅助域控找不到主域控时九成是这里出了问题。3. 辅助域控的搭建加入现有域之前要先驯服 DNS 指向3.1 网络参数的设置逻辑辅助域控要加入现有域之前最核心的一步是 IP 和 DNS。主域控 IP 是 1.1.1.1掩码 255.0.0.0。辅助域控 IP 设置成 1.1.1.2掩码同样是 255.0.0.0DNS 指向主域控 1.1.1.1。这里有个关键点辅助域控的首选 DNS 必须指向主域控而不是指向自己或网关。原因很简单辅助域控在安装过程中需要向 DNS 查询主域控的 SRV 记录如果 DNS 指向错误它会根本找不到要加入的域。常见做法是先用 ping 验证主辅互通再检查 DNS 能否解析 jiajie.com。ping 1.1.1.1 通过只能说明二层网络通不代表域控服务可用。最好再用 nslookup 查询 jiajie.com 的 SRV 记录能返回主域控 A 的主机记录才说明 DNS 正常。ping 1.1.1.1 nslookup -typesrv _ldap._tcp.dc._msdcs.jiajie.com第二条命令如果返回了指向 A.jiajie.com 的记录说明 DNS 解析链路是通的。我见过太多案例辅助域控安装时卡在“找不到域控制器”这一步最后发现不是网络不通而是 DNS 没设到主域控。这种问题排查起来很玄学实际上就是地址指向错了。3.2 dcpromo 安装辅助域控的选项差异在运行里输入 dcpromo 后安装向导的内容和主域控有明显区别。域控制器类型处不能选错要选“现有域的额外域控制器”然后输入具备权限的用户名、密码和域。这里的账号一般是域管理员格式建议写 JIAJIE\Administrator密码输入对应值。接着输入额外域控制器的域名 Jiajie.com。系统会开始尝试连接主域控期间会往主域控复制 AD 数据库、SYSVOL 等内容。整段时间由数据量决定实验环境几分钟就能完成生产环境则可能需要更久。最后设置目录服务还原密码文档里是 adchina。这个密码可以跟主域控的还原密码一致也可以不同但要记住它只对本机生效。域控制器类型现有域的额外域控制器 账户信息JIAJIE\Administrator 密码 额外域控制器域名Jiajie.com 目录服务还原密码adchina安装完成后重启辅助域控的 Netlogon、NTDS 等核心服务会自动启动。此时打开事件查看器看 Directory Service 的日志里有没有 1984 之类的复制事件如果出现说明复制链路已建立。3.3 验证主辅域控数据复制的两条路径文档中提到“经测试主域控制器的数据能及时复制到辅助域控上面”这个结论要靠验证支撑不能等出了问题再发现。第一个验证方式是直接在辅助域控上打开 Active Directory 用户和计算机在域节点确认能看到主域控创建的测试用户。如果能看到说明 AD 数据库部分复制成功。第二个验证方式是用 repadmin 查看复制状态。虽然 2003 自带 repadmin 的完整版在 Support Tools 里但系统盘一般已经带了基础版本可以试着执行repadmin /showrepl B.jiajie.com输出结果里如果显示“Last Success”并且时间戳是最近说明入站复制正常。如果显示“Last Failure”就需要检查防火墙对 389、135、445 等端口的放行情况还有 DNS 里 B 的记录是否已经注册进来。很多人在这步会忽略辅助域控重启后忘了确认自己的 DNS 记录导致复制一会儿通一会儿断。3.4 辅助域控搭建中的两个常见误操作第一个误操作是把辅助域控的 DNS 同时填了主域控和辅助域控自己的 IP想着做个冗余。实际效果往往是辅助域控在向自己查询时记录还没创建好导致安装卡死。所以安装阶段首选 DNS 只填 1.1.1.1等安装完成确认复制正常后再考虑追加其他 DNS。第二个误操作是在主域控没有开启 DNS 动态更新的情况下强行安装。主域控的 DNS 区域默认允许安全动态更新但如果你之前手工改过区域设置辅助域控注册 SRV 记录时可能被拒绝。安装前最好进入 DNS 管理控制台确认 jiajie.com 区域的动态更新设置是“安全”或“非安全和安全”否则辅助域控装完无法被其他客户端发现。检查办法是在主域控的 DNS 管理器中右键点击区域查看属性中的动态更新下拉框。4. 主域控制器的迁移五大 FSMO 角色与全局编录的交接4.1 迁移前置工作千万不要跳过 System State 备份文档把备份放在迁移第一步这点非常重要。先说明为什么要在迁移前备份 System State以及备份的实操命令。System State 里包含注册表、SYSVOL、AD 数据库文件等一旦迁移过程中出现意外可以用它恢复主域控的原始状态。ntbackup backup systemstate /J System State Backup /F D:\backup\DC_SystemState.bkf参数说明J 参数指定备份集标签F 参数指定生成的备份文件路径。备份完成后检查一下 .bkf 文件的体积正常情况下至少在几百 MB 以上如果只有几十 MB先检查系统事件日志里有没有 VSS 相关错误。备份文件存储位置要选择非系统盘否则主域控坏了连备份文件一起丢。这一步做完后再进行后续的角色迁移。你的心态会完全不同因为即使中途出错大不了用备份把系统还原到迁移前的状态这相当于给自己留了一颗后悔药。4.2 GUI 方式迁移逐个角色操作与全局编录切换迁移过程分两条路可以先走 GUI再走命令行。GUI 方式的好处是直观每一步都有明确提示适合新手第一次操作。命令行方式效率高适合批量处理多个角色。文档里先阐述 GUI 部分。RID、PDC、基础结构主机这三个角色在 Active Directory 用户和计算机里完成。具体操作路径是打开 Active Directory 用户和计算机右击域名节点选择“连接到域控制器”选择辅助域控 B确认连接。再次右击域名节点选择“操作主机”在 RID 选项卡里点击“更改”系统会弹出确认框点击确定。PDC 和基础结构主机选项卡操作方式相同不再赘述。域命名主机要换一个管理单元。在辅助域控上打开 Active Directory 域和信任关系右击顶级节点选择“连接到域控制器”选 B然后右击顶级节点选择“操作主机”点击更改并确认。架构主机迁移相对特殊。先打开命令提示符注册架构管理单元regsvr32 schmmgmt.dll。注册成功后打开 MMC 控制台按下 CtrlM 进入添加管理单元界面选择 Active Directory 架构依次点击添加、关闭、确定。随后右击 Active Directory 架构点击“更改域控制器”选择“指定名称”输入 B 的计算机名确认。最后右击 Active Directory 架构选择“操作主机”点击更改。注意架构角色迁移时需要有 Schema Admins 组成员权限否则系统会提示访问被拒绝。4.3 命令行方式转移 FSMO 角色ntdsutil 操作详解GUI 方式适合点选命令行方式适合远程批量操作。下表是转移角色对应的命令以转移 RID 主机角色为例完整执行流程如下。ntdsutil roles connection connect to server B.jiajie.com quit transfer RID master每一条命令的含义需要说清楚。第一条 ntdsutil 进入目录服务管理工具第二条 roles 进入 FSMO 维护模式第三条 connection 进入服务器连接模式第四条 connect to server B.jiajie.com 指定目标辅助域控为 B注意这个名称要能被 DNS 解析否则会提示找不到服务器第五条 quit 返回到 FSMO 维护提示符第六条 transfer RID master 执行角色转移随后会弹出确认框点击“是”完成。剩余四个角色的转移命令参照下表转移命令作用说明transfer PDC转移 PDС 仿真主机角色transfer RID master转移 RID 主机角色transfer infrastructure master转移基础结构主机角色transfer domain naming master转移域命名主机角色transfer schema master转移架构主机角色填写五条命令时需要注意的是schema master 转移环节会先弹出一个提示告诉你架构主机一旦转移不可回退确认即可domain naming master 转移时要保证目标域控上运行着 Domain Naming Master 服务服务停了直接报错。执行完 transfer 命令后用 ntdsutil 的 query 选项确认角色归属已经变更为 B再做全局编录切换。4.4 全局编录的迁移勾选框顺序决定登录体验全局编录角色转移通过 Active Directory 站点和服务管理单元完成。打开 Active Directory 站点和服务右击顶部节点选择“连接到域控制器”选择 B确定。接下来展开 Sites、Default-First-Site-Name、Servers先找到 A 的节点右击 NTDS Settings选择属性去掉“全局编录”前的勾选。再找到 B 的节点打开 NTDS Settings 属性勾选“全局编录”。这个顺序不能反。如果先把 B 的全局编录取消再勾选 A整个域内可能存在一段时间没有任何全局编录服务器用户登录时会卡在“找不到全局编录”的状态。正确顺序是先让 B 成为全局编录服务器复制完成后再把 A 的全局编录角色摘掉。切换完成后全局编录与五大 FSMO 角色一并交接到 B主域控理论上已经可以降级退役。4.5 当主域控无法恢复时seize 强抢模式的操作差异上面说的 transfer 适用于主域控还在线的情况如果主域控彻底宕机transfer 会一直报连接失败。此时只能走强抢流程把 transfer 命令换成 seize 命令其余步骤完全一致。ntdsutil roles connection connect to server B.jiajie.com quit seize RID master注意 seize 和 transfer 最本质的区别transfer 是主域控把角色主动交出去过程温和seize 是目标域控直接抢走角色不需要主域控在线确认但会遗留主域控的 AD 对象后续必须做元数据清理把已经消失的主域控条目从 Active Directory 用户和计算机、站点和服务里一并删除。如果忽略这个步骤旧主域控哪天重新上线域内会同时出现两个持有相同角色标识的域控复制冲突会让整个域不稳定。对应 seize 命令对照表参见下表示例。强抢命令适用场景说明seize PDC主域控宕机但 PDС 角色未转移seize RID master主域控彻底丢失且 RID 池未耗尽seize infrastructure master跨域对象引用受影响的场景seize domain naming master域命名主机不可达seize schema master架构角色必须在新机器上重建时强制夺取的顺序建议遵循文档排列先 RID再 PDC再基础结构再域命名最后架构。前五个角色里域命名主机和架构主机不建议顺序颠倒因为架构主机控制整个林的架构变化域命名主机管理域的新增和删除。实际操作时你会发现 seize 命令执行速度比 transfer 快很多因为少了与旧主域控协商的过程但后续元数据清理的工作量才是大头。5. 迁移实操避坑五个最容易翻车的细节与对应解法5.1 安装了 DNS 却找不到 SRV 记录主域控“失联”现象辅助域控执行 dcpromo填写域名后等待较长时间最后报错“找不到域控制器”。检查主域控 DNS_msdcs.jiajie.com 区域里只有少部分记录_tcp 没出现。原因主域控自带 DNS 服务的区域没有启用动态更新。默认状态下区域设置是“安全”动态更新但若之前手工创建过区域默认设置可能被改成“无动态更新”。此时辅助域控无法向主域控注册自己的 SRV 记录连带主域控自己的记录也可能缺失。解决进入 DNS 管理控制台找到 jiajie.com 区域右键选择属性把动态更新改成“非安全和安全”等待几分钟然后执行 ipconfig /registerdns 强制刷新。刷新完成后重新加载 nslookup_ldap._tcp.dc._msdcs 子区域出现记录后再跑 dcpromo。我习惯在搭建完成的半小时后复查一次 SRV 记录因为有些系统服务的延迟注册会导致记录在早期阶段不完整。5.2 主域控重启后登录域账号失败密码正确却不认账现象主域控搭建完成后重启系统用 JIAJIE\Administrator 登录提示密码错误。明明安装向导里输入的密码没问题。原因登录对话框里的用户名没有加域名前缀系统把它当本地账户验证。域控上的本地账户数据库在升级后被禁用所以本机验证不通过。这不算故障但新手很容易被误导去重设密码。解决在登录界面用户名处输入 JIAJIE\Administrator或者直接输入 Administratorjiajie.com。确认域名框里显示的是 JIAJIE 而不是本机名。遇到这类问题先看登录的是哪个域不要急着重置密码重置密码会影响域内所有信任关系。5.3 迁移全局编录后客户端登录缓慢有时直接超时现象全局编录角色已切换到 B但从客户端登录域账号时等待时间变长部分机器甚至直接报“找不到域控制器”。原因B 只是勾选了全局编录但 AD 的完整分区复制尚未完成。全局编录需要从主域控复制整个林的目录分区数据量大时可能需要十几分钟甚至更久。在此期间查询请求会超时。另一个潜在原因是客户端的 DNS 指向没有改成指向 B仍试图找 A而 A 已经退役。解决在 B 上打开事件查看器等出现事件 ID 1119提示全局编录已完全同步后再切客户端 DNS。客户端 DNS 的主服务器地址改成 1.1.1.2备用指向 1.1.1.1。如果刚才没有等待直接测试可以考虑在 B 上用 repadmin /syncall 手动触发一次完整同步等同步完成再做登录测试。5.4 使用 ntbackup 备份 System State 时报“磁盘空间不足”备份文件却只有几百 MB现象备份到一半提示空间不足实际备份文件不大目标盘剩余空间也有几十 GB。原因ntbackup 备份 System State 时需要创建临时文件默认位置在 C 盘的 temp 目录。若系统盘剩余空间不足备份进程会直接中断。另外 2003 的 ntbackup 不支持备份到 SMB 共享的根目录目标路径必须指向具体文件夹。解决设置环境变量 TEMP 和 TMP 指向剩余空间足够的盘重启终端然后再跑备份命令。备份目录先建好独立文件夹路径避免包含中文字符例如 D:\backup。备份期间不要在服务器上执行其他磁盘密集操作否则备份文件可能损坏。我一般会在备份完成后用目录服务还原模式试一次恢复流程虽然费时间但能确认备份文件真的可用。5.5 迁移完五个角色后FSMO 归属查询结果仍然显示旧 DC现象NTDSUTIL 里执行 transfer schema master 已经确认但用其他工具查 FSMO 角色仍然显示旧的域控名称。或者 Active Directory 用户和计算机里还能看到两个一样的域控制器对象。原因旧域控的计算机账号没有完全清除。转移角色和清理域控制器对象是两件独立的事情前者只把 FSMO 归属变更后者要从 AD 数据库里移除旧 DC 的 NTDS Settings 对象。如果旧主域控是直接关机不再恢复必须执行元数据清理。解决在辅助域控上打开 Active Directory 站点和服务找到 Sites、Default-First-Site-Name、Servers 下的旧服务器节点确认删除该服务器同时删除旧服务器 NTDS Settings 下的所有对象。删除后在 Active Directory 用户和计算机里找到 Computers 容器删除旧计算机账号。完成后再跑 ntdsutil 查询角色归属此时的输出应该只包含 B 的条目。6. 迁移完成后的校验链路三条命令确认角色与复制都正常迁移完成不代表可以直接关机旧域控建议按一个固定顺序执行完整性校验。打开命令提示符运行 ntdsutil依次进入 roles、connection、connect to server B.jiajie.com、quit最后输入 q 查询。这次输出里的每一条角色条目都应当指向 B.jiajie.com关注的角色名称术语较多schema owner、domain naming master、PDC、RID、infrastructure。如果发现任何一条仍然指向 A说明前面某一步的转移没有真正生效需要重新执行对应角色的 transfer 或 seize。然后是复制状态校验用 repadmin 查看 B 的入站复制摘要。repadmin /showrepl B.jiajie.com 输出中包含每个目录分区的最后成功复制时间。正常状态下所有分区的 Last Success 时间应该比当前时间早不超过几分钟。checked for replication 不是重点Last Success 才是关键指标。如果出现大量 Last Failure且错误码是 8524优先查 DNS 是否还能解析旧域控的 A 记录残留记录会导致 B 一直尝试给旧域控做复制实际上旧域控已经不可达。最后是 dcdiag。虽然 2003 自带的版本不如后续版本那么丰富但基础的连通性测试可用dcdiag /s:B /test:replications /test:connectivity。连接测试能直接定位出域控之间的 RPC 通道是否顺畅复制测试能看到最近有没有复制失败的事件记录。这台命令只需要在 B 上执行结果末尾如果显示“passed”字样说明链路稳定。若显示 failed展开看具体是哪一步通常集中在防火墙对 445 端口拦截导致 RPC 调用失败。全局编录状态确认完毕后建议顺手检查一次时间同步。域控之间时间偏差超过五分钟会触发 Kerberos 认证失败客户端登录直接被拒。在 B 上执行 w32tm /query /status确认源服务器是 A 或外部时间源。若显示“No Time Source ”手动编组一次 w32tm /config /manualpeerlist:1.1.1.1 /syncfromflags:manual /update然后重启时间服务。这一步几乎不占时间但一旦漏做客户端登录会出现间歇性失败而日志里看不到任何与角色迁移相关的报错排查起来非常折腾。按照这套流程走完迁移后的域控在角色、复制、时间三层都已稳定。从那以后我每迁移一台域控都会强制走一遍这三条命令并把输出截图存档。等到一个月后再拉一次 repadmin确认没有出现延迟增大的情况才敢把旧域控彻底关机。希望这份拆解能帮你在自己的环境里少走几个弯路。本文还有配套的精品资源点击获取