Netdom query fsmo не удается найти указанный файл
Миграция роли Active Directory и перенос контроллера домена на другой сервер
Posted by Retifff на 27.07.2011
Введение
Как недавно выяснилось, процесс миграции домена с Windows Server 2003 на Windows Server 2008/R2 (либо просто на другой сервер) для начинающих системных администраторов представляет сложности и даже вызывает некоторую боязнь, хотя на самом деле он настолько прост, что о написании такой статьи я даже и не задумывался никогда, тем более что в интернете их полно.
Тем не менее, целью данной статьи было объединить типовые действия, возникающие при миграции, поэтому приступим. Статья будет представлять собой пошаговый мануал, с наиболее распространенным случаем миграции с 2003 на 2008 R2 и с необходимыми отступлениями для других вариантов. Собственно шаги:
Исходные данные и техзадание
Сетевые настройки контроллера:
Подготовительные работы
В первую очередь определяем держателя FSMO-ролей в домене, командой:
Далее, устанавливаем операционную систему Windows Server 2008 R2 на новый сервер, даем имя скажем dc02, задаем сетевые настройки:
и вводим его в существующий домен, testcompany.local в нашем случае.
Обновление схемы леса и домена
Для выполнения команды adprep /forestprep никаких требований к функциональному режиму леса нет. Для выполнения команды adprep /domainprep требуется, чтобы в домене использовался функциональный уровень домена не ниже Windows 2000 native.
X:\support\adprep>adprep32.exe /forestprep
После предупреждения о том, что все контроллеры домена Windows 2000 должны быть минимум с SP4 вводим С и нажимаем Enter:
Команда отрабатывает довольно долго, несколько минут и должна завершиться следующей фразой:
Adprep successfully updated the forest-wide information.
После этого вводим команду:
X:\support\adprep>adprep32.exe /domainprep /gpprep
Которая отработает не в пример быстрее:
Так как освещение процесса установки контроллера домена в эту статью не входит, остановлюсь лишь на некоторых ключевых моментах. На шаге Additional Domain Controller Options поставьте обе галки, DNS Server и Global catalog.
Если галку Global Catalog и DNS Server не поставить, придется их переносить отдельно. А при миграции с 2003 на 2003 это придется делать в любом случае, так как в Windows 2003 такой возможности нет. О переносе глобального каталога и DNS-сервера будет немного ниже.
Завершаем установку контроллера домена, перезагружаем сервер. Теперь у нас есть два контроллера домена, работающих одновременно.
Передача ролей FSMO
- Передача роли Schema Master.
- Передача роли Domain Naming Master.
- Передача ролей RID Master, PDC Emulator и Infrastructure Master.
Передача роли Schema Master
Заходим на сервер dc02, на тот, на который будем передавать роли. Для того, чтобы получить доступ к оснастке Active Directory Schema, сначала необходимо зарегистрировать библиотеку schmmgmt.dll. Это делается с помощью команды:
Далее, Start > Run > вводим mmc > Enter. В окне оснастки находим и добавляем компонент Active Directory Schema.
В дереве оснастки нужно щелкнуть правой кнопкой мыши элемент Active Directory Schema и выбрать пункт Change Domain Controller. Там меняем контроллер на dc02.
Далее опять нажимаем правой кнопкой мыши элемент Active Directory Schema и выбираем пункт Operations Master. Появляется вот такое окно:
Нажимаем Change > Yes > OK и закрываем все эти окна.
Передача роли Domain Naming Master
Открываем оснастку Active Directory Domains and Trusts, щелкаем правой кнопкой мыши элемент Active Directory Domains and Trusts и выбираем команду Change Active Directory Domain Controller. Это действие необходимо, если работа ведется не с контроллера домена, которому передается роль. Пропустите его, если подключение к контроллеру домена, чья роль передается, уже установлено. В открывшемся окне выбираем контроллер домена, которому присваивается роль (dc02 в нашем случае), в списке и нажимаем кнопку ОК.
В оснастке щелкаем правой кнопкой мыши элемент Active Directory Domains and Trusts и выбираем пункт Operations Master. В появившемся окне нажимаем кнопку Change.
Чтобы подтвердить передачу роли, нажимаем кнопку ОК, а затем — Close.
Передача ролей RID Master, PDC Emulator и Infrastructure Master
Открываем оснастку Active Directory Users and Computers. Щелкаем правой кнопкой мыши элемент Active Directory Users and Computers и выбираем команду Change Domain Controller. Пропустите его, если подключение к контроллеру домена, чья роль передается, уже установлено. В открывшемся окне выбираем контроллер домена, которому присваивается роль (dc02 в нашем случае), в списке и нажимаем кнопку ОК.
В оснастке щелкаем правой кнопкой мыши элемент Active Directory Users and Computers, выбираем пункт All Tasks, а затем Operations Master.
Выбираем вкладку, соответствующую передаваемой роли (RID, PDC или Infrastructure Master), и нажимаем кнопку Change.
Чтобы подтвердить передачу роли, нажимаем кнопку ОК, а затем — Close.
Перенос глобального каталога
Если мы делаем миграцию не на 2008, а на 2003, в котором при добавлении добавочного контроллера домена глобальный каталог не ставиться, либо вы не поставили галку Global Catalog в шаге 2, тогда нужно назначить роль глобального каталога новому контроллеру домена вручную. Для этого, заходим в оснастку Active Directory Sites and Services, ракрываем Sites > сайт Default-First-Site-Name > Servers > DC02 > щелкаем правой кнопкой мыши по NTDS Settings > Properties. В открывшемся окне ставим галку Global Catalog > OK.
Ждем пять минут и дожидаемся события 1119 о том, что этот контроллер стал глобальным каталогом.
Перенастройка интерфейсов, DNS и другие послеустановочные задачи
Далее, так как DNS-сервер на dc02 мы установили, теперь нужно в свойствах сетевого интерфейса первичным DNS-сервером указать самого себя, т.е. адрес 192.168.1.12. И на dc01 соответственно поменять на 192.168.1.12.
В свойствах DNS-сервера на dc02 проверьте вкладку Forwarders, на 2003, в отличие от 2008, она не реплицируется. После этого можно понижать контроллер домена dc01 до рядового сервера.
Если вам необходимо у нового контроллера оставить старое имя и IP-адрес, то это также делается без проблем. Имя меняется как для обычного компьютера, либо подобной командой netdom renamecomputer.
После смены IP-адреса выполните команды ipconfig /registerdns и dcdiag /fix.
Веселье у меня продолжается , когда я занимался копанием в системе (VPN , netdiag) , я заглянул в логи и ужаснулся обилию ошибок связанных с FSMO id 4510.
Анамнез такой :
Какое то время назад из строя вышел 1 из 2х КД , я перенастроил резервный КД под основной установил туда DNS и DHCP , по мануалам передал ему Роли FSMO и в данный момент не было нареканий т.к все работало как часы и жалоб никаких небыло.Старый КД я реанимировал (поменял запчасти) , снял с него все полномочия и сделал его резервным КД (сменил ему имя , но не Ip).
В данный момент есть 4 сервера под управлением Win2k3 Sp2 SE , из них 2 КД на одном из КД стоит DHCP , DNS ( собственно на нем и ошибки) и резервный КД только с АД.
Видимо у меня не хватает знаний , да и опыта переноса и понижения КД не было никогда. Очень хочу разобраться.Может быть стоит удалить АД с сервера который был главным?
Благодарю за помощь и понимание.
Покажите вывод netdom query fsmo с первого КД и вывод ipconfig /all с обоих КД.Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.
| Конфигурация компьютера | |
| Процессор: Core™i5 (3427M) | |
| Память: 8Gb DDR3 | |
| Видеокарта: Intel HD Graphics | |
| Ноутбук/нетбук: Dell Latitude 6430u | |
| ОС: Windows 7 Enterprise |
| Какое то время назад из строя вышел 1 из 2х КД , я перенастроил резервный КД под основной установил туда DNS и DHCP , по мануалам передал ему Роли FSMO и в данный момент не было нареканий т.к все работало как часы и жалоб никаких небыло » |
| Старый КД я реанимировал (поменял запчасти) , снял с него все полномочия и сделал его резервным КД (сменил ему имя , но не Ip). » |
интересно как вы сняли, если был захват, а не передача ролей?
есть у меня подозрения что это не всё.
-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.
cameron,
Я наверное не корректно выражаюсь , по мануалам которые я читал было написано что если КД с ролями упал можно насильно назначить роли на живой КД с помощью ntdsutil (вроде так было написано) что я и сделал.Видимо зря ибо я реанимировал первый КД.
netdom query fsmo
Это с КД который был первый изначально.
| Microsoft Windows [Версия 5.2.3790] (С) Корпорация Майкрософт, 1985-2003. C:\Documents and Settings\Администратор>netdom query fsmo Schema owner KPACHbIu.bpark.local Не удается найти указанный файл. The command failed to complete successfully. C:\Documents and Settings\Администратор> |
Это тот которому я вроде как передал роли.
C:\Documents and Settings\Администратор.BPARK>netdom query fsmo
Schema owner KPACHbIu.bpark.local
Не удается найти указанный файл.
The command failed to complete successfully.
Ipconfig /all
Изначально первый КД
Microsoft Windows [Версия 5.2.3790]
(С) Корпорация Майкрософт, 1985-2003.
C:\Documents and Settings\Администратор>ipconfig /all
Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : Mir1
Основной DNS-суффикс . . . . . . : bpark.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : нет
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : bpark.local
Подключение по локальной сети - Ethernet адаптер:
DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Intel(R) PRO/1000 EB Network Connection w
ith I/O Acceleration
Физический адрес. . . . . . . . . : 00-15-17-22-79-94
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.0.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.0.3
DNS-серверы . . . . . . . . . . . : 192.168.0.253
C:\Documents and Settings\Администратор>
Microsoft Windows [Версия 5.2.3790]
(С) Корпорация Майкрософт, 1985-2003.
C:\Documents and Settings\Администратор.BPARK>ipconfig /all
Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : KPACHbIu
Основной DNS-суффикс . . . . . . : bpark.local
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : нет
Порядок просмотра суффиксов DNS . : bpark.local
Подключение по локальной сети 2 - Ethernet адаптер:
Давайте выполним в командной строке вот такую команду:
Нужные мне три нижние роли принадлежат dc10. их и будем забирать. Для этого вы должны быть, как минимум администратором домена.
Вот вам пример реальной ситуации, когда перед удалением контроллера домена, мне нужно было принудительно захватить роли мастеров операций.
Не удается передать роль хозяина операций по следующей причине: Ошибка требуемой операции FSMO. Нет связи с текущим владельцем FSMO.Это я увидел в оснастке Active Directory - Пользователи и компьютеры, при попытке по правильному передать роль RID.
Если попытаться получить роль PDC эмулятора с недоступных контроллером, то он даст вам это сделать в ADUC, но вы увидите предупреждение.
Ошибка требуемой операции FSMO. Нет связи с текущим владельцем FSMO. Не удается связаться с текущим хозяином операций для передачи этой роли другому компьютеру. В некоторых случаях допускается принудительная передача роли. Вы хотите выполнить?
Все роль PDC получена.
Тоже самое проделаем с мастером инфраструктуры. Выполнив опять запрос в командной строке, кто держит FSMO роли, видим, что это уже для двух нижних ролей, dc7, новый контроллер.
Теперь захватим роль RID, в этом нам поможет утилита ntdsutil. Открываем командную строку для принудительного захвата.
- Вводим ntdsutil, попадем в исполняемую среду.
- Далее пишем roles
- в fsmo maintenance: пишем connections
- в server connections: пишем connect to server имя сервера у меня это dc7
- server connections: q
- пишем в fsmo maintenance: seize RID master
У вас выскочит окно с подтверждением операции, нажимаем "Да." В итоге роль все равно передастся, это можно увидеть сразу в ADUC.
Если нужно принудительно захватить с помощью ntdsutil оставшиеся роли, то их ключи для последней команды:
- seize PDC
- seize infrastructure master
- seize domain naming master (Seize naming master )
- seize schema master
Вот так вот по правильному происходит принудительная передача ролей мастер операций в Active Directory, если есть вопросы, то пишите их в комментариях.
В этой статье мы рассмотрим, как определить контроллеры домена с ролями FSMO в Active Directory, способы передачи одной или нескольких FSMO ролей другому контроллеру домена (дополнительному), а также способ принудительного захвата FSMO ролей в случае выхода из строя контроллера домена, которой является владельцем роли.
Для чего нужны FSMO роли в домене Active Directory?
Кратко попытаюсь напомнить для чего нужный роли FSMO (Flexible Single Master Operation, операции с одним исполнителем) в домене Active Directory.
Не секрет, что в Active Directory большинство стандартных операций (таких как заведение новых учетных записей пользователей, групп безопасности, добавление компьютера в домен) можно выполнять на любом контроллере домена. За распространение этих изменений по всему каталогу AD отвечает служба репликации AD. Различные конфликты (например, одновременное переименование пользователя на нескольких контроллерах домена) разрешаются по простому принципу — кто последний тот и прав. Однако есть ряд операций, при выполнении которых недопустимо наличие конфликта (например, при создании нового дочернего домена/леса, изменении схемы AD и т.д). Для выполнения операций, требующих обязательной уникальности нужны контроллеры домена с ролями FSMO. Основная задача ролей FSMO – не допустить конфликты такого рода
Всего в домене Active Directory может быть пять ролей FSMO.
Две уникальные роли для леса AD:
- Хозяин схемы (Schema master) – отвечает за внесение изменение в схему Active Directory, например, при расширении с помощью команды adprep /forestprep (для управления ролью нужны права “Schema admins”);
- Хозяин именования домена (Domain naming master) – обеспечивает уникальность имен для всех создаваемых доменов и разделов приложений в лесу AD (для управления нужны права “Enterprise admins”);
И три роли для каждого домена (для управления этими ролями ваша учетная запись должна состоять в группе “Domain Admins”):
Просмотр владельцев FSMO ролей в домене
Как определить какой контролер домена является хозяином/владельцем конкретной FSMO роли?
Чтобы найти всех владельцев FSMO ролей в домене AD, выполните команду:
netdom query fsmo
Можно просмотреть FSMO роли для другого домена:
В этом примере видно, что все FSMO роли расположены на контроллере домена DC01. При развертывании нового леса AD (домена), все FSMO роли помещаются на первый DC. Любой контроллер домена кроме RODC может быть хозяином любой FSMO роли. Соответственно, администратора домена может передать любую FSMO роль на любой другой контроллер домен.
Можно получить информацию о FSMO ролях в домене через PowerShell с помощью Get-ADDomainController (должен быть установлен модуль Active Directory для PowerShell из состава RSAT):
Get-ADDomainController -Filter * | Select-Object Name, Domain, Forest, OperationMasterRoles |Where-Object
Или можно получить FSMO роли уровня леса и уровня домена так:
Get-ADDomain | Select-Object InfrastructureMaster, RIDMaster, PDCEmulator
Get-ADForest | Select-Object DomainNamingMaster, SchemaMaster
Общие рекомендации Microsoft по размещении FSMO ролей на контроллерах домена:
- Роли уровня леса (Schema master и Domain naming master) нужно расположить на контроллере корневого домена, который одновременно является сервером глобального каталога (Global Catalog);
- Все 3 доменные FSMO роли нужно разместить на одном DC с достаточной производительностью;
- Все DC в лесу должны быть серверами глобального каталога, т.к. это повышает надежность и производительность AD, при этом роль Infrastructure Master фактически не нужна. Если у вас в домене есть DC без роли Global Catalog, нужно поместить FSMO роль Infrastructure Master именно на него;
- Не размешайте другие задачи на DC, владельцах FSMO ролей.
В Active Directory вы можете передать FSMO роли несколькими способами: с помощью графических mmc оснасток AD, с помощью утилиты ntdsutil.exe или через PowerShell. О переносе ролей FSMO обычно задумываются при оптимизации инфраструктуры AD, при выводе из эксплуатации или поломке контроллера домена с ролью FSMO. Есть два способа передачи FSMO ролей: добровольный (когда оба DC доступны) или принудительный (когда DC с ролью FSMO недоступен/вышел из строя)
Передача FSMO ролей с помощью PowerShell
Самый простой и быстрый способ передачи FSMO ролей в домене – PowerShell командлет Move-ADDirectoryServerOperationMasterRole.
Вы можете передать на указанный DC одну или несколько FSMO ролей за раз. Следующая команда выполнит передачу двух ролей на DC02:
Move-ADDirectoryServerOperationMasterRole -Identity dc02 -OperationMasterRole PDCEmulator, RIDMaster
В аргументе OperationMasterRole можно указать как имя FSMO роли, так и ее индекс в соответствии с таблицей:
| PDCEmulator | 0 |
| RIDMaster | 1 |
| InfrastructureMaster | 2 |
| SchemaMaster | 3 |
| DomainNamingMaster | 4 |
Предыдущая команда в более коротком виде выглядит так:
Move-ADDirectoryServerOperationMasterRole -Identity dc02 -OperationMasterRole 0,1
А чтобы передать сразу все FSMO роли на дополнительный контроллер домена, выполните:
Move-ADDirectoryServerOperationMasterRole -Identity dc03 -OperationMasterRole 0,1,2,3,4
Передача FSMO ролей из графических оснасток Active Directory
Для переноса FSMO ролей можно использовать стандартные графические оснастки Active Directory. Операцию переноса желательно выполнять на DC с FSMO ролью. Если же консоль сервера не доступна, необходимо выполнить команду Change Domain Controller и выбрать контроллер домена в mmc-оснастке.
Передача ролей RID Master, PDC Emulator и Infrastructure Master
Для передачи ролей уровня домена (RID, PDC, Infrastructure Master) используется стандартная консоль Active Directory Users and Computers (DSA.msc)
Передача роли Schema Master
Для переноса FSMO уровня леса Schema Master используется оснастка Active Directory Schema.
Передача FSMO роли Domain naming master
Передача FSMO ролей из командной строки с помощью утилиты ntdsutil
Внимание: Использовать утилиту ntdsutil необходимо с осторожностью, четко понимая, что вы делаете, иначе можно просто сломать ваш домен Active Directory!- На контроллере домена откройте командную строку и введите команду: ntdsutil
- Наберите команду: roles
- Затем: connections
- Затем нужно подключиться к DC, на который вы хотите передать роль. Для этого наберите: connect to server <servername>
- Введите q и нажмите Enter.
- Для передачи FSMO роли используется команда: transfer role , где <role> это роль которую вы хотите передать. Например: transfer schema master , transfer RID и т.д.
- Подтвердите перенос FSMO роли;
- После переноса ролей нажмите q и Enter, чтобы завершить работу с ntdsutil.exe;
- Перезагрузите контроллер домена.
Принудительный захват FSMO ролей Active Directory
Если DC с одной из FSMO ролью вышел из строя (и его не возможно восстановить), или недоступен длительное время, вы можете принудительно перехватить у него любую из FSMO ролей. Но при этом крайне важно убедиться, что сервер, у которого забрали FSMO роль никогда не должен появится в сети, если вы не хотите новых проблем с AD (даже если вы позднее восстановите DC из резервной копии). Если вы захотите вернуть потерянный сервер в домен, единственный правильный способ – удаление его из AD, чистая переустановка Windows под новым именем, установка роли ADDS и повышение сервера до контроллера домена
Вы можете принудительно захватить FSMO роли с помощью PowerShell или утилиты NTDSUtil.
Проще всего захватить FSMO роль через PowerShell. Для этого используется тот-же самый командлет Move-ADDirectoryServerOperationMasterRole, что и для переноса роли, но добавляется параметр –Force.
Например, чтобы захватить роль PDCEmulator и принудительно передать ее на DC02, выполните:
Move-ADDirectoryServerOperationMasterRole -Identity DC2 -OperationMasterRole PDCEmulator –Force
Также вы можете перенести роли FSMO на сервер DC02 с помощью утилиты ntdsutil. Процедура захвата роли через ntdsutil похожа на обычную передачу. Используйте следующие команды:
ntdsutil
roles
connections
connect to server DC02 (на этот сервер вы перенесете роль)
quit
Для захвата различных ролей FSMO используйте команды:
seize schema master
seize naming master
seize rid master
seize pdc
seize infrastructure master
quit
В этой статье предоставляется решение ошибок, которые возникают при использовании средства Adprep вместе с /gpprep аргументом.
Применяется к: Windows Server 2012 R2
Исходный номер КБ: 2743345
Симптомы
Вы используете средство Adprep вместе с аргументом /gpprep в Windows Server 2012 R2. Например, вы запустите следующие аргументы:
adprep.exe /domainprep /gpprep
При этом вы получите следующую ошибку:
Если вы используете Adprep.exe, включенную в Windows Server 2012 R2, Adprep.exe сбои, и вы получите ошибку, которая напоминает следующее:
Nt5DS перестал работать
Подпись проблемы:
Имя события проблемы: APPCRASH
Имя приложения: adprep.exe
Версия приложения: 6.1.7601.17514
Время применения: 4ce7a045
Имя модуля ошибки: StackHash_9a46
Версия модуля ошибки: 6.1.7601.17725
Время разлома модуля: 4ec4aa8e
Код исключения: c0000374
Смещение исключения: 0000000000c40f2
ВЕРСИЯ ОС: 6.1.7601.2.1.0.274.10
Локальный ID: 1033
Дополнительные сведения 1: 9a46
Дополнительные сведения 2: 9a46fc9b92ce31eadc29a5f5673559ea
Дополнительные сведения 3: ec6e
Дополнительные сведения 4: ec6ee41ac19ad12f608f0599c2c1bb6f
Причина
Владелец роли для операций инфраструктуры в этом домене реализует несоединяемую область имен. Adprep.exe предполагает, что имена компьютеров будут соответствовать их доменным именам, так как это соответствует по умолчанию во всех версиях Windows.
Решение
Все действия требуют членства в группе администраторов домена. Кроме того, запустите команды по повышенной командной подсказке.
Найдите владельца главную роль инфраструктуры в домене. Для этого запустите команду: netdom.exe query fsmo .
Отключить репликацию входящих и исходящие (также известные как входящие и исходящие) репликации на сервере с ролью Мастер инфраструктуры. Для этого выполните следующую команду.
Войдите на сервер с ролью Мастер инфраструктуры и измените суффикс системы доменных имен (DNS). Для этого выполните следующие действия:
- Начните SYSDM.CPL, выберите ОК, выберите Изменение, а затем выберите More
- Установите суффикс в суффиксе первичной DNS этого компьютерного окна, чтобы соответствовать доменным именем Active Directory Domain Services (AD DS) вместо текущего несоединяемого имени.
Перезапустите и войдите на сервер с ролью Мастер инфраструктуры, а затем запустите команду: adprep.exe /domainprep /gpprep .
Используйте SYSDM.CPL, а затем выполните шаги на шаге 3, за исключением этого времени в шаге 3B, необходимо установить суффикс в суффиксе первичного DNS этого компьютерного окна, чтобы соответствовать исходному несоединяемого имени на сервере с ролью Master инфраструктуры.
Перезапустите и войдите на сервер с ролью Master инфраструктуры и впустите репликацию входящие и исходящие. Для этого выполните следующую команду:
Дополнительная информация
Gpprep добавляет функции планирования между доменами для групповой политики и режима планирования результатов политики (RSOP). Добавление этой функции требует обновления файловой системы в разрешениях SYSVOL и AD DS для существующих групповых политик. В среде уже могут содержаться настраиваемые или делегированные разрешения, которые были реализованы администраторами вручную. В этом случае gpprep запускает репликацию всех файлов групповой политики в SYSVOL и может запретить функции RSOP делегируемым пользователям до тех пор, пока их разрешения не будут восстановлены администраторами. Поэтому администраторы должны запускать gpprep только один раз в истории домена. Gpprep не следует запускать с каждым обновлением.
Читайте также: