域控制器转移与覆盖

域控制器权限转移
转移主域控权限，通常称为转移主域控制器的FSMO（Flexible Single Master Operation）角色。FSMO角色有五个，其中两个是林级别的角色（架构主机和域命名主机），三个是域级别的角色（PDC、RID主机和基础结构主机）。转移这些角色通常需要使用Active Directory用户和计算机、Active Directory域和信任、Active Directory架构管理或命令行工具。

以下是如何转移FSMO角色的步骤：

1、转移RID、PDC、基础结构

打开Active Directory用户和计算机
连接到目标域控制器：右键单击“Active Directory用户和计算机”工具的根节点，然后选择“更改域控制器”。选择要将FSMO角色转移到的域控制器。

转移域级别角色：

右键单击根节点，选择“操作主机”。
转到“RID主机”、“PDC”和“基础结构主机”选项卡，点击“更改”按钮，将这些角色转移到新域控制器。

2、转移架构主机和域命名主机

打开Active Directory域和信任：

在当前持有FSMO角色的域控制器上，打开“Active Directory域和信任”管理工具。
连接到目标域控制器：右键单击根节点，然后选择“更改域控制器”。
选择要将域命名主机角色转移到的域控制器。

转移域命名主机角色：
右键单击根节点，选择“操作主机”。

在“域命名主机”选项卡，点击“更改”按钮，将该角色转移到新域控制器。

注册Active Directory架构管理：

打开命令提示符，输入 regsvr32 schmmgmt.dll 并按Enter。

打开Active Directory架构管理：

在“运行”对话框中输入 mmc，然后按Enter。

在控制台窗口中，选择“文件” > “添加/删除管理单元”，选择“Active Directory架构”并点击“添加”。
连接到目标域控制器：

右键单击“Active Directory架构”节点，然后选择“连接到域控制器主机”。
选择要将架构主机角色转移到的域控制器。

转移架构主机角色：右键单击“Active Directory架构”节点，选择“操作主机”。

在“架构主机”选项卡，点击“更改”按钮，将该角色转移到新域控制器。

使用命令行工具（如ntdsutil）：
打开命令提示符：

以管理员身份打开命令提示符。
启动ntdsutil工具：

在命令提示符中输入 ntdsutil，并按Enter。

连接到域控制器：

输入 roles，并按Enter。
输入 connections，并按Enter。
输入 connect to server <目标域控制器名>，并按Enter。
转移角色：
输入 quit，返回到fsmo maintenance模式。
使用以下命令分别转移角色：
transfer schema master
transfer naming master
transfer RID master
transfer PDC
transfer infrastructure master
输入 quit 退出ntdsutil。
请确保在转移角色之前备份当前的域控制器，并确保目标域控制器处于健康状态且已同步所有的Active Directory数据。

抢夺域控制器
强制转移FSMO角色的步骤：
打开命令提示符：

在可以访问的域控制器上，以管理员身份打开命令提示符。
启动ntdsutil工具：

在命令提示符中输入 ntdsutil，并按Enter。
进入角色维护模式：

在 ntdsutil: 提示符下，输入 roles，并按Enter。
连接到目标域控制器：

在 fsmo maintenance: 提示符下，输入 connections，并按Enter。
输入 connect to server <目标域控制器名>，并按Enter。确保目标域控制器是一个运行中的域控制器。
例如 Connect to server WIN-SIKHVFEE62Q.dao.org 或 Connect to domain dao.org
退出连接子菜单：

在 server connections: 提示符下，输入 quit，返回到 fsmo maintenance: 提示符。
强制转移角色：

使用以下命令强制转移各个角色：
seize schema master：强制占用架构主机角色。
seize naming master：强制占用域命名主机角色。
seize RID master：强制占用RID主机角色。
seize PDC：强制占用PDC角色。
seize infrastructure master：强制占用基础结构主机角色。
确认角色转移成功：

每执行一个 seize 命令后，工具会提示您确认是否要执行强制占用。选择“是”继续。
退出ntdsutil：

输入 quit 退出 fsmo maintenance，然后再次输入 quit 退出ntdsutil工具。
注意事项：
多余角色持有者的处理：在成功强制占用角色后，之前持有FSMO角色的域控制器（如果它恢复上线）不应再承担这些角色，以避免域内冲突。最好将其从域中移除并重新引入域。
确保域内一致性：在强制转移角色后，验证Active Directory的健康状态，并确保所有域控制器之间的复制正常工作。
在强制转移FSMO角色之后，应进行全面的测试和验证，以确保所有服务（如登录、DNS、组策略等）正常运行