域控制器修复过程.doc

1、域控制器修复过程 第一步，通过重新安装还原 DC ，清除操作，例如从 Active Directory 中删除出现故障的 DC对象 通过重新安装进行恢复的步骤和创建新 DC 的步骤相同。要通过重新安装进行还原，在目标域中必须至少有一台工作正常的 DC。理想情况下，此 DC 应该和要复制的 DC 新的 DC 位于同一 Active Directory站点中； 清理操作如下所述。步骤 2 和步骤 3 是在阅读本文时假设您已具备的知识。有关提升过程的更多信息，可以在 Windows 2000 Server Resource Kit 的 Distributed Systems Guide 中获得。清除

2、操作与新 DC 的名称是否与故障计算机的名称相同有关。 如果新 DC 的名称与故障 DC 的名称相同，则必须删除故障 DC 中的 ntdsDSA 对象： 1. 在命令行中，键入 ntdsutil。 2. 在 ntdsutil:提示符下键入 metadata cleanup， 然后按 Enter 键。 3. 现在，需要连接到现有的域控制器，以便在上面删除故障 DC 中的 ntdsDSA 对象。 4. 在 metadata cleanup 提示符下键入 connections，然后按 Enter 键。 5. 键入 connect to server ，然后按 Enter 键。其中 是从其上清除元数

3、据的 DC（同一域中的任何工作正常的 DC）。 6. 键入 quit，然后按 Enter 键。将返回元数据清除菜单。 7. 键入 select operation target，然后按 Enter 键。 8. 键入 list domains，然后按 Enter 键。将列出目录林中所有的域，其中每一个域都和一个编号相关联。 9. 键入 select domain ，然后按 Enter键，其中 是与故障服务器所在的域对应的编号。 10. 键入 list sites，然后按 Enter 键。 11. 键入 select site ，然后按 Enter键，其中 是指该 DC 所在站点的编号。 12.

4、键入 list serv ers in site，然后按 Enter 键。将列出该站点中所有的服务器，其中每一个服务器都有一个对应的编号。 13. 键入 select server ，然后按 Enter 键，其中 是指要删除的 DC。 14. 键入 quit，然后按 Enter 键。将显示元数据清除菜单。 15. 键入 remov e selected server，然后按 Enter键。 此时 ，应出现一条说明该 DC 已成功删除的确认信息。如果接收到一个错误，指出没有找到该对象，则可能该对象已经从 Active Directory 中删除了。 16. 键入 quit，然后重复按 Enter

5、 键，以返回到命令提示符。 注意 由于此过程需要修改配置命名上下文，所以此操作需要企业管理员权限。 如果新的 DC 名称与故障 DC 的名称不同，则应该执行以下附加步骤： 从 站点和服务 管理单元中删除故障服务器对象： 1. 打开 站点和服务 管理单元。 2. 选择适当的站点。 3. 删除与故障 DC 相关联的服务器对象。 从 用户和计算机 管理 单元中删除故障计算机的帐户： 4. 打开 用户和计算机 管理单元。 5. 选择域控制器容器。 6. 删除与故障 DC 相关联的计算机对象。 警告 如果新计算机的名称与故障计算机的名称相同，请不要执行上述附加步骤。确保问题不是由硬件故障引起的。如果不更

6、换故障硬件，则通过重新安装进行还原的方法会无济于事。 第二步，从站点和服务管理单元中删除故障服务器对象时，出现无法删除 DSA 对象处理 症状 如果您尝试在 “Active Directory 用户和计算机 ”中删除域控制器的计算机帐户，您可能会收到以下错误消息： Error:DSA object cannot be deleted（错误：无法删除 DSA 对象） 如果在您通过在域控制器上运行 dcpromo 进程以将其降级之后删除该计算机帐户，就会发生此问题。 原因 若 UserAccountControl 的值设置为 8192，则会发生此问题。 解决方案 要解决此问题，请把 UserAcc

7、ountControl 值更改为 4096。 备注： 只有在下列任一情况属实时才可以使用此解决办法： 您已在域控制器上运行 dcpromo 工具将其降级。 计算机硬件发生故障 ，您使用 ntdsutil 进程清除了帐户元数据，然后从 “Active Directory 站点和服务 ”中删除了帐户，但您仍不能删除该计算机帐户。 单击开始，指向程序，指向 Windows 2000 支持工具，指向工具，然后单击 ADSI 编辑。 展开 Domain NC，展开 dc=domain,dc=com，然后展开 ou=domain controllers。 右键单击此计算机域控制器的名称，然后单击属性。 在

8、属性选项卡上，将 “Select which properties to view”（选择查看哪些属性）列表框中的两个属性都选中。 在 “Select a property to view”（选择一个要查看的属性）列表框中，选择 UserAccountControl。 在属性值下，查看其值。使其值为 4096 以向该计算机帐户赋予成员服务器身份，以便能够删除它。 在编辑属性框中键入 4096。 单击设置按钮。单击应用，然后单击确定。退出 “ADSI 编辑 ”。 注：上述处理后如果还不能删除，就直接用 ADSI 编辑器删除相应对象 第三步，在另一台服务器上安装全新操作系统 ， 运行 DCprom

9、o.exe（ AD 安装工具），以将此计算机提升为域控制器角色 验证另一台服务器 上的 DNS 名称解析 验证第一个域控制器后，请使用下列步骤来验证第二个服务器上的 DNS 名称解析。 1. 以 “管理员 ”身份登录 另一台服务器 。 2. 在 另一台服务器 上打开一个命令提示符。 3. 键入 nslookup pipeline- 然后按 ENTER 键。您将看到下面的结果： 4. C:nslookup pipeline- 5. Server:swpp-1. pipeline- 6. Address: xxx.xxx.xxx.xxx 7. 8. Name: pipeline- 9. Addre

10、ss: xxx.xxx.xxx.xxx 如果没有看到成功的名称解析（即响应中的第二个信息集），则请检查 另一台服务器 上的 IP 设置，以确认它的首选 DNS 服务器是 原域控制器服务器的 IP。 Nslookup 首先告诉您哪个服务器在提供 Nslookup 响应，然后再提供找到的信息。通过检查 DNS MMC 正向搜索区域中的 pipeline- 记录，验证 原域控制器服务器 的 DNS 服 务器上的 DNS 记录。直到 DNS 能正常运行后，才可继续。 在另一台服务器上运行 DCPROMO 完成验证 DNS 名称解析后，请使用下列步骤，将服务器提升为域控制器： 1. 单击 “开始 ”、

11、“运行 ”，键入 dcpromo，然后按 ENTER 键。 2. 单击 “下一步 ”。 3. 选择 “现存域的其他域控制器 ”，然后单击 “下一步 ”。 4. 输入 pipeline- 域的 Enterprise Administrator 凭据，并输入 pipeline- 作为域名，然后单击 “下一步 ”。 5. 输入 pipeline- 作为 “域名 ”，然后单击 “下一步 ”。 6. 按如果您只有一个物理磁盘，请单击 “下一步 ”以接受数据库和日志文件的默认位置。否则，请指定想要的文件位置。 7. 单击 “下一步 ”以接受默认的 SYSVOL 文件夹位置。 8. 输入此服务器的 “目录服

12、务还原模式管理员密码 ”，然后单击 “下一步 ”。 9. 查看设置，然后单击 “下一步 ”以开始 Active Directory 安装向导 (Dcpromo.exe) 配置过程。 10. 单击 “完成 ”。 11. 出现提示后单击 “立即重新启动 ”。 验证另一台服务器名称注册 若要验证 另一台服务器 ，请按下列步骤操作： 1. 重新启动后，请以 “管理员 ”身份登录。 2. 单击 “开始 ”、 “程序 ”、 “管理工具 ”、 “DNS”。展开 pipeline- 域，并验证新域控制器的记录在 pipeline-“正向搜索区域 ”中注册的 _msdcs、 _sites、 _tcp、 _udp

13、 子域中可见。如果它们在 DNS 控制台中不可见，重新启动 NETLOGON 将启动记录注册。 3. 验证 “反向搜索区域 ”已经复制。 将域操作主机角色移到 另一台服务器 原域控制器服务器 是全局编录服务器，建议不要让此服务器上同 时具有 RID 主机、 PDC 模拟器或基础结构主机操作主机角色。因此，此过程提供将这些角色移到 另一台服务器 所需的必要步骤。 若要将操作主机角色移到 另一台服务器 ，请按下列步骤操作： 1. 启动 “Active Directory 用户和计算机 ”。 2. 用鼠标右键单击 “Active Directory 用户和计算机 ”树的顶层。 3. 选择 “连接到域

14、控制器 ”。 4. 从列表上选择 “另一台服务器 ”，然后单击 “确定 ”。 5. 用鼠标右键单击 pipeline- 域，然后选择 “操作主机 ”。 默认情况下会显示 RID 主机角色，请选择 “更改 ”。 6. 单击 “是 ”以确认转移。 7. 单击 “确定 ”。 重复上述步骤，完成 PDC 模拟器和基础结构主机操作主机转移。 第四步，在升级域控制器过程中提示 “未能修改机器帐户 XXXX$ 的必需属性 ,访问被拒绝。 ”处理 解决方案 要解决该问题，可以使用 Administrators 组中的帐户，或者将合适的帐户添加到 Administrators 组中。 要将该权利授予其它用户或组： 在组策略对象中设置委派权限 1. 在 Active Directory 用户和计算机管理单元中，编辑域控制器组织单元上的 默认域控制器策略。 2. 双击计算机配置、 Windows 设置、安全设置、本地策略，然后是用户权利指派。 3. 在使用计算机和用户帐户能够被信任进行委派操作下，添加合适的帐户或组。 4. 使用如下某种方法应用策略： 在提示符下，键入 secedit/refreshpolicy machine_policy /enforce。 在站点和服务管理单元 (Dssite.msc) 中，使用立即复制副本功能，强制在域中执行从更改策略的域控制器到其它域控制器的复制操作。