标签: domain-controller

Server 2012 R2、Hyper-V VM-PDC（带 AD DS、DNS）

我最初有一个事件 ID 12，并成功设置了时间服务，如本文所述。启动期间不再显示事件 ID 12。然而，我现在看到事件 ID 144，它不时重复说

The time service has stopped advertising as a good time source

那么，当 ID 144 出现后，时间服务是否会重新发布良好的广告，或者是否会“消失直至修复”？

因此我的问题是，如何检查时间服务是否再次发布广告？

另外，什么原因导致它停止广告？是否只是偶尔无法进行外部同步？如果我必须采取措施来解决这个问题，我该从哪里开始？

在技​​术人员计算机上使用适用于 Windows 10 的 RSAT。我知道 RSAT 允许访问计算机所属域中的 AD 管理工具。但是有没有办法通过这个MMC访问多个域呢？谢谢。

我听说这个网站可以提供一些与 IT 相关的问题的帮助，所以我想我可以试一试。

我正在学习有关Active Directory和经常在教科书中我看到相同的符号，这指的是域控制器/ Active Directory时使用。

我的问题是：您可以在哪台机器上安装 Active Directory 和域控制器。如果我的任务是为多个站点建立一个集中式网络，我将使用/需要哪些设备？我需要服务器机架吗？

我希望将 2 个额外的 Windows Server 2003 域控制器与安装在常规网络中的 6 个 DC 一起部署到一个单独的机密 DMZ 中，总共有 8 个 DC。2 个机密 DC 将通过 IPSec 通过防火墙与常规网络 DC 通信。

但是，我想知道如何阻止常规网络工作站和服务器尝试向机密 DC 进行身份验证？有没有办法使用 AD 站点和服务来阻止常规网络工作站和服务器尝试与这些机密 DC 通信？

我想说的是，是否会出现问题，或者当常规网络工作站或服务器尝试使用机密 DC 进行身份验证时，这会导致问题，还是会超时并尝试另一个 DC 并继续？

过去建议域服务器不包含其他功能。

CEO 和外部 IT 公司不断提出他们希望将这些服务器用于附加功能 - 例如 FTP/邮件/等。

安全性是否有所提高以使这种情况正常？我对 CEO 的建议并不感到惊讶，但我很惊讶外部 IT 公司会提出这样的建议。我是不是跟不上时代了？

域服务器的妥协似乎非常严重，以至于我将这些机器完全锁定。

编辑 - 感谢您的回复

听起来事情没有改变，DC 上不应该安装任何东西。我真的对外部 IT 组织的建议感到困惑。他们都在暗示这是可以的。

我必须将一个域实施到一个拥有约 200 个用户帐户的企业中。作为一个 unix 人，samba 似乎是第一选择。

但是，经过一些有关易于管理（将委托给支持人员）和易于实施的讨论后，Windows 2003 Server 成为另一种选择。

我想了解您对 PDC Samba+ldap（我也希望对 postfix 进行身份验证）与 Windows 2003 Server 域控制器的意见。

是否可以使用 GC（全局编录）的副本从 RODC（只读域控制器）还原 Active Directory 域？复制 AD 的异地 DC 是否需要是完整的域控制器才能为灾难恢复提供足够的最新 AD 备份？

我有一个在 Hyper-V 上的 VM 中运行的 Server 2008 R2 域控制器，速度快 7 分钟，我需要修复它。我知道这可能归结为在 VM 中运行的 DC。

我想知道的是如何纠正它？

我相信我可以将 DC 设置为使用公共/互联网 NTP 服务器，但我不知道或不知道该怎么做。另外根据一些论坛，如果 DC 上的时间更改并且该时间超过 3 分钟，我可能会遇到问题。

如果有人可以帮助我将不胜感激！

这是我们的场景。

我们有两台机器，机器 A 是一台设置为域控制器的 Windows Server 2003 SP2 机器。机器 B 是一台 Windows XP SP3 机器，它要加入到机器 A 的域控制器中。两台机器都有一个 LAN 卡。

两台计算机都连接到我们的公司局域网。由于我们公司的 LAN 启用了 DHCP，两台计算机都自动分配了它们的动态 IP 和 DNS 服务器（两个 LAN 卡都设置为“自动获取 IP 地址”和“自动获取 DNS 服务器地址”）

机器 B 已加入域（ian.sd.local -- 机器 A）。在请求域管理员帐户后，该计算机已成功加入域（通过欢迎消息验证）。然后它要求重新启动。

重新启动后，我们使用域管理员帐户登录到域。正常进去了。然后我们创建了一个新文件夹，然后共享它以检查我们是否可以从域控制器检索帐户，我们不能。从共享选项卡 -> 权限 -> 添加 -> 选择用户或组对话框中，单击位置按钮，DC 不会显示。

另一件事，使用 FQDN 从客户端计算机 ping 域控制器将失败。仅使用机器名称对其进行 ping 操作会成功。

我以某种方式知道问题是什么。由于客户端机器设置为自动获取DNS服务器地址，我们公司局域网给了我们自己的“公司DNS服务器”（由我们公司域控制器使用），从而导致客户端机器无法“解析”FQDN . 但是，我仍然不确定为什么在“选择用户或组”对话框中找不到“域控制器”。

无论如何，将域控制器的 IP 地址硬编码为客户端的首选主 DNS 服务器可以解决问题。

我的问题是，是否有“官方”Microsoft 文档告诉用户将域控制器的 IP 地址设置为客户端的首选主 DNS 服务器？我问是因为我们公司的测试人员使用上述设置来安装我们的一个软件，因此它失败了。我需要向他证明这是一个配置问题，而不是软件的问题。

谢谢！

当 Active Directory 域控制器成为域中的孤儿时，是否可以将其配置为继续作为健康的 DC 运行，而无需执行强制降级、然后重新加入和升级的过程？

考虑以下会导致孤立 DC 的场景：

1. 域中存在两个域控制器 DC1 和 DC2。
2. DC2 暂时关闭。
3. 添加了一个新的 DC，DC3。
4. DC1 永久关闭。
5. DC2 重新上线。

此时，DC02 失去了进入域的唯一联系点。DNS 区域肯定会过时，没有 DC03 的条目。复制也会失败，因为它只知道来自不再存在的 DC01 的复制链接。假设 DC1 拥有 FSMO 角色，它也会对当前拥有 FSMO 角色的服务器有错误的引用。

那么，是否可以手动重新构建链接，以便 DC02 开始与 DC03 通信，而无需从头开始？