简述Win 2003域控制器的迁移

简述Win 2003域控制器的迁移域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库…… 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑

简述Win 2003域控制器的迁移

域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库…… 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。

如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows 共享出来的资源，这样就在一定程度上保护了网络上的资源。以上讲的便是域控制器的优越性之一，由于域控制器的种种优势，当今众多企业分别采用域的管理模式管理企业内部的计算机。与此同时，种种问题也相应出现，对域控制器的迁移问题作为microsoft 的忠实用户应该并不陌生，网上对域控制器迁移的操作步骤的文章也算少。不过在多级域下的域控制器作迁移工作的文章则寥寥无几，我们在此便讨论一下这个问题。

说明：根据上图可知A 为B 的主域控，在此我们只给大家作了一个模拟环境，实际当中，主域和子域可以不在一个网段内，也可以分布在用VPN 相连的Intranet 内，其原理是一样的。我们在此仅对A 域控下的B 域控做迁移工作，迁移过程为：首先B 域控迁移到准备替换DC 的PC 上，down 掉B 域控，使得客户端工作无影响，再次对B 主机作重灌windows 2003 server ，并替换PC 的DC ，这个过程中要求对客户端无任何影响。以下为操作步骤： 步骤1. 备份DC 的安装

(1)选用一台PC ，安装windows 2003 server ，设置IP 为192.168.10.2; 主机名为adbak ，重新启动。

(2)BDC的安装:运行-dcpromo-下一步-选择：现有域的额外域控制器-下一步-输入用户名、密码、域[此账户名和密码为主域控制器的账户名密码，权限为管理级，域为主域的域名]-下一步-下一步-下一步-下一步-还原模式密码[本主机域的登陆密码-确认密码]-下一步-到向导配置[需花几分钟]-完成

(3)重新启动计算机

步骤2. 备份DC 的DNS 安装

(1)在adbak 上，用主域控A 的管理帐户密码登陆到A 的域内。

(2)开始-控制面板-添加或删除程序-添加或删除window 组件-选择网路服务-点击详细信息-勾选域名系统(DNS)-下一步-完成

(3)打开dnsmgmt-设置属性-点击转发器-添加转发的IP 地址表192.168.10.100、192.168.10.1-确定

(4)解析DNS ：解析B 的域名会得到2个IP 地址即192.168.10.1和192.168.10.2，以及各个主机记录是否解析正常

(5)Active Directory站点和服务，设置adbak NTDS setting属性为全局编录-确定

(6)在CMD 命令下，键入net stop netlogon 再键入 net start netlogon

步骤3.FSMO 夺取过程及其他操作

(1)在CMD 命令行下键入：ntdsutil-roles-connections-connections to server b.abcd.com 成功连接

(2)角色的转移(后接命令, 请用问号, 有详细的中文说明) ：[transfer domain nameing master][transfer infrastructure master][transfer PDC][transfer RID

master][transfer schema master] 若转移不成功也可以选用夺取seize

(3)转移成功后，重启计算机，重启后观察各记录是否转移无误，并用nslookup 作相应的验证。

步骤4.down 掉B 域控后，客户端的访问情况

(1)修改adbak 主机的IP 地址为192.168.10.1 DNS为192.168.10.1

(1)开启客户端登陆到b.adcd.com 内，观察是否能登陆以及登陆后的界面是否有变化，在夺取成功的情况下对客户端不受任何影响。

(2)cmd命令行下，用ping 命令检测网络是否通顺，包括与主域控、adbak 域控，并在ping 过程中第一要对IP 地址进行ping ，第二则根据主机名进行ping ，用来检测DNS 解析是否正常。

(3)文件夹的访问，如：2.168.10.100访问需不需要再进行认证。

步骤5. 主域控A 与PC 域控的信任关系测试

(1)Active Directory 域和信任关系界面下确认信任关系是否存在，属性-信任-选择域(内向信任)-属性-验证-选择(是，验证传入信任)-输入用户名密码-确认-跳出该信任以通过验证，他已到位并处于活动状态，表明信任存在。

(2)内向信任和外向信任都进行(1)操作观察是否存在信任。

步骤6.B 主机域控制器的重建过程

(1)安装windows 2003 server，设置IP 为192.168.10.2，DNS 设置为192.168.10.1，主机名为ad ，重新启动。

(2)用ping 命令检测B 主机是否和其他主机网络通顺，若通顺，重启

(3)建域控制器：运行-dcpromo-下一步-选择：现有域的额外域控制器-下一步-输入用户名、密码、域[此账户名和密码为主域控制器的账户名密码，权限为管理级，域为主域的域名]-下一步-点击游览选择b.abcd.com 域-下一步-下一步-还原模式密码[本主机域的登陆密码-确认密码]-下一步-到向导配置[需花几分钟]-完成-重启

(4)在新的B 主机上，用主域控A 的管理帐户密码登陆到A 的域内，根据步骤2建立DNS

(5)用ping 命令检测网络情况，要求网络通顺。

步骤7.B 域控制器新建后，客户端的访问情况和解析--------操作步骤参照步骤4 步骤8.FSMO 再次转移过程-------转移过程参照步骤3

步骤9.adbak 关机后，新的B 域控制器替代过程

(1)修改B 主机的IP 地址为192.168.10.1 DNS为192.168.10.1

(2)用nslookup 解析域名，主机名; 用ping 命令检测IP 地址、主机名、主域和子域的网络是否连通。

(3)清理与主机adbak 、与IP 地址192.168.10.2的所有记录

步骤10. 新的B 域控制器替代后，客户端的情况---------参照步骤4

步骤11. 新的B 域控制器替代后，主域控A 与新B 的信任关系--------参照步骤5