服务器在 AD 上意外更改为 BDC？

Question

我有两个 AD 虚拟机在 HyperV 上运行。AD1(PDC) 与 pool.ntp.org 同步其时间，AD2(BDC) 与 AD1 同步以获得正确的时间。两者都是 Windows Server 2008 服务器。

这在一段时间内运行良好，但最近服务器似乎从 AD1 退出并改为使用 AD2 进行身份验证，即使 AD1 已启动并正在运行。

我试图关闭 AD2 并重新启动域上的所有服务器，以强制它们对 AD1 进行身份验证，这工作正常。但是每当我再次将 AD2 放在网络上时，服务器仍会在重新启动时对 AD2 进行身份验证。

我不知道这种行为，我很难解决这个问题。

Answer 1

1. 这与时间同步没有任何关系。根据您在问题中的陈述，您的时间同步配置似乎是正确的。拥有 PDCe 角色的 DC 应与可靠的外部时间源同步。所有其他域成员应与域层次结构同步。这包括所有其他域控制器。

2. 不要再称呼它们为 PDC 和 BDC。该术语不再有效，暗示您对 AD 的理解并不完全符合要求。AD 使用多主模型（称为灵活的单主操作或 FSMO），您可以在此链接中阅读该模型。- https://support.microsoft.com/en-us/kb/197132

3. 您的域客户端的行为完全符合预期。AD 域客户端可以向任何可用的域控制器进行身份验证。你既不应该试图控制这种行为，也不应该阻止它。您将其视为需要解决的问题这一事实是您对 AD 确实没有很好理解的另一个线索。它可能有助于您对该主题进行一些深入的阅读。