AD活動目錄排錯掃盲

A.我的活動目錄中的DNS伺服器上的SRV記錄丢失了，怎麼辦？

Q.首先确認你的伺服器TCP/IP屬性中的DNS設定是正确的，然後檢查DNS區域是否正确，并且打開自動更新的功能,完成以上操作後，進入指令提示符模式，輸入以下指令來完成操作：

net stop dns

net start dns

net stop netlogon

net start netlogon

通過以上指令可以重新注冊SRV記錄，最終實作找到丢失的SRV記錄，當然此方法也常用的DNS的解決方法之一。

<b>A.我的企業環境中有1台DC（域控制器），由于購買了新的伺服器來替代老的伺服器，怎麼操作？</b>

Q.這個問題的解決主要是通過将新的伺服器提升為現有域的輔助域控制器，加入成功後重新啟動起來，進入指令行提示符，通過輸入ntdsutil來傳送FSMO（5種主要角色）到新的伺服器上，然後将新的伺服器設定為GC既可，關于FSMO的介紹可以檢視本社群相關文章。具體操作如下：

1.打開指令行,輸入ntdsutil 回車

2.再輸入:roles 回車

3.再輸入connections 回車

4.再輸入connect to server dc-1 --&gt; （備注：這裡的dc-1是指伺服器名稱）

5.提示綁定成功後，輸入q退出

6.輸入？回車可看到以下資訊：

Connections                  - 連接配接到一個特定域控制器

Help                          - 顯示這個幫助資訊

Quit                          - 傳回到上一個菜單

Seize domain naming master    - 在已連接配接的伺服器上覆寫域角色

Seize infrastructure master  - 在已連接配接的伺服器上覆寫結構角色

Seize PDC                    - 在已連接配接的伺服器上覆寫 PDC 角色

Seize RID master              - 在已連接配接的伺服器上覆寫 RID 角色

Seize schema master          - 在已連接配接的伺服器上覆寫架構角色

Select operation target      - 選擇的站點，伺服器，域，角色和命名上下文

Transfer domain naming master - 将已連接配接的伺服器定為域命名主機

Transfer infrastructure master - 将已連接配接的伺服器定為結構主機

Transfer PDC                  - 将已連接配接的伺服器定為 PDC

Transfer RID master          - 将已連接配接的伺服器定為 RID 主機

Transfer schema master        - 将已連接配接的伺服器定為架構主機

<b>然後分别輸入</b>：

Transfer domain naming master 回車

Transfer infrastructure master  回車

Transfer PDC                  回車

Transfer RID master          回車

Transfer schema master        回車

以上的指令在輸入完成一條後都會有提示是否傳送角色到新的伺服器，選擇YES，然後接着一條一條完成既可，完成以上步驟後退出界面，安裝Windows Server安裝CD光牒中的Support目錄下的support tools工具，然後打開提示符輸入：netdom query fsmo用于檢查FSMO的狀态來确認是否傳送成功。檢查無誤後進入活動目錄站點選擇NTDS找到伺服器設定為GC既可。

（備注：如果以上操作還不熟悉可以搜尋本站活動目錄區域相關内容的文章）

<b>3.我的環境中有2台DC，其中一台壞掉了并且修複不好了，我想加入另外一台伺服器成為DC，請問需要删除以前的資訊嗎？</b>

Q.這樣的情況是需要删除壞掉DC的資訊的，因為老的DC資訊如果在活動目錄中存在會影響活動目錄複制和拓撲的，是以是必須删除的，方法有2中，1通過安裝Support tools工具，并且使用ADSIEDIT工具進行删除，2.通過ntdsutil工具進行中繼資料清除，這裡我不詳細介紹操作過程了，具體内容見本站相關内容貼搜尋。

<b>4.我的活動目錄出現了嚴重的問題，需要降級活動目錄，但是操作過程中提示無法降級，請問能強制降級嗎？</b>Q.當出現嚴重的活動目錄問題導緻無法降級的時候是可以強制降級的，在Windows 2000 打了SP4後可以使用dcpromo/forceremoval指令進行強制降級，該方法同樣适用與Windows 2003,不過需要提示的是如果這樣操作後還需要删除活動目錄的一些遺留檔案等，因為強制降級是屬于非正常降級不會删除所有的活動目錄資訊，例如sysvol檔案夾等。

<b>5.我是Windows Server 2003的作業系統，并且提升了活動目錄，由于預設的域控制器安全政策和預設的安全政策被亂改了，想恢複預設可以嗎？</b>Q.使用Windows Server 2003是可以做這樣的恢複的，在指令行提示符下面輸入以下指令用于恢複政策：

dcgpofix ，該指令隻能運作在域控制器上。

<b>6.我的企業由于需要更改域控制器名稱，我想咨詢是否可以更改？</b>

Q.Windows 2000的域控制器是沒有辦法更改伺服器名稱的，隻能降級更名後再提升，如果是Windows Server 2003的域控制器，并且是Windows 2003的域級别功能模式，是可以進行更名操作的，具體操作如下：

1.首先找到Windows server作業系統安裝CD光牒，找到Support目錄安裝Support tools工具

2.安裝完成後，打開指令提示符輸入:

netdom computername CurrentComputerName /add:NewComputerName

該指令将更新這台計算機的 Active Directory 中的服務主體名稱 (SPN) 屬性，并注冊新計算機名的 DNS 資源記錄。計算機帳戶的 SPN 值必須複制到該域的所有域控制器，新計算機名的 DNS 資源記錄必須分布到該域名的所有授權 DNS 伺服器。如果在删除舊計算機名之前沒有進行更新和注冊，那麼某些用戶端可能無法使用新名或舊名找到該計算機。

3.確定計算機帳戶更新和 DNS 注冊完成之後，鍵入： 

netdom computername CurrentComputerName /makeprimary:NewComputerName

4.重新啟動計算機。 

在指令提示符下，鍵入： 

netdom computername NewComputerName /remove:OldComputerName 

值 描述 

CurrentComputerName 正在重命名的計算機的目前或主要計算機名或 IP 位址。 

NewComputerName 該計算機的新名稱。NewComputerName 必須是完全合格的域名 (FQDN)。在 FQDN 中為 NewComputerName 指定的主 DNS 字尾必須與 CurrentComputerName 的主 DNS 字尾相同，或者它必須包含在“domainDns”對象的“msDS-AllowedDNSSuffixes”屬性中指定的允許的 DNS 字尾清單中。 

OldComputerName 重命名的計算機的舊名稱。 

<b></b>

7.我的公司通過活動目錄管理用戶端，但是用戶端使用domain user登陸後權限不足，使用很不友善，請問怎麼才能提升權限呢？

Q.很多管理者都遇到類似的問題，其實我們一般的解決方法是将域使用者加入到本地管理者組，這樣域使用者就可以像以前一樣在本機操作自如，并且也不影響企業的管理。（備注：請一定不要将普通域使用者加入到域管理者組），通過以上方法可解決這樣的問題，具體實作可以通過圖形界面或者指令行，指令如下：

net localgroup administrators domain/user1 /add

本文轉自xury 51CTO部落格，原文連結：http://blog.51cto.com/xury007/64605，如需轉載請自行聯系原作者