深入理解AD域环境操作主角色.docVIP

深入理解AD域环境中操作主机角色概述 在Win2003多主机复制环境中，任何域控制器理论上都可以更改ActiveDirectory中的任何对象。但实际上并非如此，某些AD功能不允许在多台DC上完成，否则可能会造成AD数据库一致性错误，这些特殊的功能称为“灵活单一主机操作”，常用FSMO来表示，拥有这些特殊功能执行能力的主机被称为FSMO角色主机。在Win2003 AD域中，FSMO有五种角色,分成两大类:I]y]$OpgRI\51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|? ? 林林级别 在整个林中只能有一台DC拥有访主机角色 U X S lr@9^~51CTO技术论坛? ? 1：架构主机 Schema Master wmH!w a7~r N%S51CTO技术论坛? ? 2：域命令主机 Domain Naming Master 51CTO技术论坛J
Km`|
h.N 域级别 在域中只有一台DC拥有该角色 P W hbV F5s*u 3：PDC模拟器 PDC Emulator 9LfD
y:is4Rzn? ? 4：RID主机 RID Master 51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|U
H UNk;V/a*^hP3| 5：基础架构主机 Infrastructure Master jKL1h~3Eb$Cl ` ct,M? ? 本文分别从以下几个方面深入理解操作主机51CTO技术论坛 L
O3y@-EC+Pd2R? ?● FSMO操作主机角色功能TV/ ;b\F? ?● 查看和更改操作主机角色的方法51CTO技术论坛#Ink/W+j|9B0yEgL? ?● 操作主机放置优化建议51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|qkG!R_B2s5A l:XQe一：FSMO角色功能7l6T+R;c+h I? ? 1：架构主机y
sAyAq51CTO技术论坛? ? 控制活动目录整个林中所有对象和属性的定义，具有架构主机角色的DC是可以更新目录架构的唯一 DC。这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。 架构主机是基于目录林的，整个目录林中只有一个架构主机。]6yK
r? W 2：域命令主机c%l0M$Kv8J? ? 向目录林中添加新域。/S:m2O BhEN,F 从目录林中删除现有的域。 @4z?h.x%[1l? ? 添加或删除描述外部目录的交叉引用对象.1jtC*z+\/Fd y-li? ? 3：PDC模拟器*U+pw1[-q4P? ? ●向后兼容低级客户端和服务器，担任NT系统中PDC角色_g;bz$U4bP6? ? ●时间同步服务源，作为本域权威时间服务器，为本域中其它DC以及客户机提供时间同步服务，林中根域的PDC模拟器又为其它域PDC模拟器提供时间同步!aLPp-A Y;M%T x G ●密码最终验证服务器，当一用户在本地DC登录，而本地DC验证本地用户输入密码无效时，本地DC会查询PDC模拟器，询问密码是否正确。51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|U+sY/L| ●首选的组策略存放位置，组策略对象 GPO 由两部分构成：GPT和GPC，其中GPC存放在AD数据库中，GPT默认存放PDC模拟器在[url file://windows/sysvol/sysvol/%3Cdomain]\\windows\sysvol\sysvol\目录下，然后通过DFS复制到本域其它DC中。51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|,i W jKn? zFqy7A ●域主机浏览器，提供通过网上邻居查看域环境中所有主机的功能6bk pF!x7Y 4：主机角色：RID主机VTh+xSW
Q51CTO|计算机|网络|信息|技术|安全|路由器|网管|Windows|Vista|数据库|网站|开发|下载|灌水|? ? Win2003环境中，所有的安全主体都有SID，SID由域SID+序列号组合而成，后者称为“相对ID” Relative ID,RID ,在Win2003环境中，由于任何DC都可以创建安全主体，为保证整个域中每个DC所创建的安全主体对应的