标签: domain-controller

有一篇 Microsoft KB 文章讨论了在 VM 上运行 DC 的最佳实践。其中一个注意事项是“不要在运行域控制器的虚拟机上使用导出功能”。要导出 VM，需要关闭 VM。如果您关闭 DC VM，将其导出，将其导入另一台服务器，然后重新打开 VM，只要原始（导出的）VM 从未重新打开电源，就不会有风险。有人可以向我解释为什么不支持吗？在谷歌上进行了一些搜索后，我发现的网站只是从知识库文章中反驳了这一行，但没有提供任何关于为什么不支持的解释。

我对此感到非常沮丧，因为我在任何地方都没有得到正确的答案。让我再说一遍同样的场景。

1. 我有一个名为 DC-1 的 DC 和另一个名为 DC-2 的 DC。DC-1 和 DC-2 都是名称服务器。
2. DC-1 担任所有 5 个角色。
3. DC-1 由于硬件故障（假设）而停机，并且不再可用。我什至无法启动它。
4. 现在我的问题是如何将 ADC（DC-2）作为活动 DC 启动，因为我的所有角色都属于 DC-1。
5. 如果它与抓住并将角色从 DC-1 转移到 DC-2 相关，是的，我试过了。让我分享结果。

i) 我在 DC-2 上访问 DSRM 并尝试了这样的 ntdsutil 命令：ntdsutil>roles>connections>connect to server：

ii) 当我尝试连接到服务器时，我无法连接任何 DC-1 或 DC-2。我也尝试过“设置信用”，但我没有工作。

iii) 尝试连接域没有运气:(

iv) 由于这是一个测试环境，我将 DC-1 带回并再次尝试了 DC-2 的步骤，结果成功。我能够连接到服务器。但我们不想要这个。当 DC-1 完全处于死机状态时，我们希望这样做。

好的。我希望你们都理解我的危机.. 任何人都可以在这里提供帮助。我是不是在做错误的步骤或任何其他方法来在没有 DC-1 的情况下启动所有角色的 DC-2。请分享您宝贵的知识和专业知识！

我要么无法理解 DNS 的工作原理，要么无法正确配置我的 DNS（两者都不好）。我目前正在使用一个域，我将其称为webdomain.com，我需要允许我们所有的内部用户像世界其他地方一样访问 dotster 以获取我们的公共 DNS 条目。然后，最重要的是，我希望能够提供一些覆盖 DNS 条目，用于测试未公开提供的服务器和设备。举个例子：

• public.webdomain.com - 应该从 dotster 获取

• external.webdomain.com - 也应该从 dotster 获取

• testing.webdomain.com - 应该从我的内部 dns 控制器获取

我似乎处处遇到的问题是，如果我有一个包含 webdomain.com 区域的内部 DNS 控制器，那么我可以获取指定的内部条目，但永远不会从公共 DNS 服务器获取任何内容。无论我使用什么类型的 DNS 服务器，这都是正确的——我已经尝试了 Linux Bind9 和 Windows 2008 域控制器。

我想我的大问题是：我认为系统应该能够检查我指定的内部 DNS 并且在请求的条目不存在的情况下它应该故障转移到指定的公共 dns 服务器是不合理的 - 或者 -这难道不是 DNS 的工作方式，而我迷失在酱汁中吗？

看起来它应该像告诉我的内部 DNS 服务器将它无法满足的任何请求转发给 dotster 一样简单，但这似乎不起作用。这可能是防火墙问题吗？

提前致谢

扩展

好的，所以我做了大量的研究，并且已经为此做了几个小时。我的named.conf中有这个，我仍然看到相同的结果。内部调用被馈送，但任何外部（在区域控制域中）都被转储。任何帮助都会很棒！此外，这是我正在使用的 Ubuntu 9.04 操作系统。

Code removed because it was wrong.

正确的方法——在问题结束后添加

好吧，多亏了 serverfault 上的人，我现在可以在我的服务器上以更简洁的方式完美地运行它。这是你如何做到的。从 bind9 的基本安装编辑您的 named.conf.local …

我们有一台运行我们的域的 Windows Server 2008R2 服务器。

我们有大约 40 个用户和大约 30 台计算机。大多数用户都有自己的专用工作站，但是每天早上大约有 5 台计算机由一个人登录，然后每个人只在需要检查某些内容的短暂时间内使用他们的配置文件（通常一次大约 2 分钟）。

我想知道是否有可能将这 5 台计算机放在域上自己的 OU 中，然后以某种方式让它们自动登录到没有任何常用驱动器映射等的通用用户帐户。

有人可以在早上打开机器电源，然后他们直接启动到锁定版本的通常用户配置文件。

这可能吗？

在我读到的关于 FSMO 角色的任何地方都写到，在它被捕获后，FSMO 角色无法转移回其原始服务器。

有人知道为什么吗？可以说我抓住了 Schema Master 然后我尝试将它转移回来？会发生什么？

当然，这不适用于 PDC Emulator 或 Infrastructure master。

我的公司刚刚购买了带有 48 gig ram 4tb 磁盘 4x4 gb 以太网端口的戴尔 PowerEdge t710 服务器。我的工作是在这台服务器上配置虚拟（hyperV）系统基础设施。要求是：1) 域控制器 2) 文件服务器 3) microsoft exhchage 服务器 4) 内网服务器 - shareponint 5) 开发服务器（SVN 和 SQL server 2008）

我的第一个想法是将域控制器作为服务器的第一个操作系统，然后使用 hyper v 安装其他服务器，但我不同意，因为域控制器获取更新并需要重新启动它会暂停所有其他成员服务器。我还认为必须安装 Windows server 2008 Standard edition 作为服务器的操作系统，然后通过 hyperv 安装其他服务器或服务

请你建议一些配置。将域控制器作为虚拟服务器有什么问题吗？或者如果你们中的一些人可以告诉我如何规划这个基础设施。

对不起，如果我很复杂，但请尽量理解我，因为我是系统集成的新手。

我们有一个现有的 Windows Server 2003 域，并且该网络上还有其他几台计算机（即，我们有 Windows Server 2008 成员服务器、其他 Windows Server 2003 成员服务器、Windows 7 和 XP 工作站，甚至还有一台 Windows 2000 Server 成员服务器）。在第一台 Windows Server 2012 服务器出现之前，一切都运行良好。

我们需要将此 Windows Server 2012 服务器作为成员服务器添加到我们现有的域中。我们不希望它成为域控制器，甚至不是备份域控制器——只是网络上的另一台服务器。

当我们尝试使用系统属性中的标准计算机名称/域更改对话框将其添加到域时，它永远找不到域控制器。我们收到消息“指定的域不存在或无法联系。” 当然，域是在线的，所有网络都很好，我们使用的是管理员（域和本地管理员用户帐户），但是……什么也没有。

将 Windows Server 2012 服务器作为成员服务器添加到现有域是否有一些“技巧”？

我还能尝试什么？

早些时候，我在将我的一个工作站（客户端）连接到我的域时遇到问题，我认为这是因为域尚未归我所有（参考：this question）。但是，由于答案，我相信还有其他事情发生？我已经在互联网上搜索过，但无法真正找出为什么我仍然遇到问题，所以我想我会要求看看这条错误消息的可能原因是什么。这是我的设置：

Server (DC)
==============================
IP:              192.168.0.2
Subnet Mask:     255.255.255.0
Default Gateway: 192.168.0.1
Preferred DNS:   192.168.0.2

Workstation
==============================
IP:              DHCP
Subnet Mask:     
Default Gateway: 
Preferred DNS:   192.168.0.2

此外，我的本地域 (internal.domain.com) 有一个正向查找区域。这是客户端和服务器的 nslookups 的转储：

> nslookup internal.domain.com
Server:  cdns02.comcast.net
Address: 2001:558:feed::2

Non-authoritative answer:
Name:    internal.domain.com
Address: 50.19.***.*** (definitely not my IP address)

> nslookup -type=SRV _Kerberos._tcp.dc._msds.internal.domain.com
Server:  cdns02.comcast.net
Address: 2001:558:feed::2

         primary name server = ns.buydomains.com
         responsible mail addr = hostmaster.buydomains.com
         serial  = ...
         refresh = ...
         retry   = …

我们的 Windows 域有 3 个 DC。其中一个 DC 正在复制对其他 DC 所做的更改，但不会复制对自身所做的任何更改。

我们不知道哪个具有最新的 AD，因此我们想将其他 2 个与不起作用的 1 个进行比较。

是否可以导出每个对象（OU、CN、用户、组等）的属性以便我可以比较它们？也许是一个xml文件？

也许有一个 PowerShell 或 vbScript 可以做到这一点？

我正在将一些 Active Directory 任务委派给一组用户。这些用户没有域管理权限，只会执行诸如在单个 OU 中创建/禁用帐户之类的任务。我有两个问题：

a) 为了让用户能够从他们的工作站执行这些操作，除了安装远程服务器和管理工具之外还有其他方法吗？我可以以某种方式只安装“Active Directory 用户和计算机”管理单元吗？

b) 尽管使用 mmc.exe 创建自定义 AD 管理单元，因此要管理的单个 OU 位于根目录，但我惊讶地发现用户仍然对整个 AD 域结构具有读取访问权限。这是设计使然还是我的权限在某处出错了？

非常感谢！