操作主機(jī)基本概念
Active Directory 定義了五種操作主機(jī)角色（又稱FSMO）：
1.架構(gòu)主機(jī) schema master
2.域命名主機(jī) domain naming master
3.相對標(biāo)識號 (RID) 主機(jī) RID master
4.主域控制器模擬器 (PDCE)
5.基礎(chǔ)結(jié)構(gòu)主機(jī) infrastructure master
而每種操作主機(jī)角色負(fù)擔(dān)不同的工作，具有不同的功能：
1.
架構(gòu)主機(jī)
具有架構(gòu)主機(jī)角色的 DC 是可以更新目錄架構(gòu)的唯一 DC。這些架構(gòu)更新會從架構(gòu)主機(jī)復(fù)制到目錄林中的所有其它域控制器中。架構(gòu)主機(jī)是基于目錄林的，整個(gè)目錄林中只有一個(gè)架構(gòu)主機(jī)。
2.
域命名主機(jī)
具有域命名主機(jī)角色的 DC 是可以執(zhí)行以下任務(wù)的唯一 DC：
向目錄林中添加新域。
從目錄林中刪除現(xiàn)有的域。
添加或刪除描述外部目錄的交叉引用對象。
3.
相對標(biāo)識號 (RID) 主機(jī)
此操作主機(jī)負(fù)責(zé)向其它 DC 分配 RID 池。只有一個(gè)服務(wù)器執(zhí)行此任務(wù)。在創(chuàng)建安全主體（例如用戶、組或計(jì)算機(jī)）時(shí)，需要將 RID 與域范圍內(nèi)的標(biāo)識符相結(jié)合，以創(chuàng)建唯一的安全標(biāo)識符 (SID)。 每一個(gè)DC 都會收到用于創(chuàng)建對象的 RID 池（默認(rèn)為 512）。RID 主機(jī)通過分配不同的池來確保這些 ID 在每一個(gè) DC 上都是唯一的。通過 RID 主機(jī)，還可以在同一目錄林中的不同域之間移動所有對象。
域命名主機(jī)是基于目錄林的，整個(gè)目錄林中只有一個(gè)域命名主機(jī)。相對標(biāo)識號（RID）主機(jī)是基于域的，目錄林中的每個(gè)域都有自己的相對標(biāo)識號（RID）主機(jī)
4.
PDCE
主域控制器模擬器提供以下主要功能：
向后兼容低級客戶端和服務(wù)器，允許 Windows NT4.0 備份域控制器 (BDC) 加入到新的目錄服務(wù)環(huán)境。本機(jī) Windows server 2000（2003，2008）環(huán)境將密碼更改轉(zhuǎn)發(fā)到 PDCE。每當(dāng) DC 驗(yàn)證密碼失敗后，它會與 PDCE 取得聯(lián)系，以查看該密碼是否可以在那里得到驗(yàn)證，也許其原因在于密碼更改還沒有被復(fù)制到驗(yàn)證 DC 中。
時(shí)間同步 — 目錄林中各個(gè)域的 PDCE 都會與目錄林的根域中的 PDCE 進(jìn)行同步。
PDCE是基于域的，目錄林中的每個(gè)域都有自己的PDCE。
5.
基礎(chǔ)結(jié)構(gòu)主機(jī)
基礎(chǔ)結(jié)構(gòu)主機(jī)確保所有域間操作對象的一致性。當(dāng)引用另一個(gè)域中的對象時(shí)，此引用包含該對象的全局唯一標(biāo)識符 (GUID)、安全標(biāo)識符 (SID) 和可分辨的名稱 (DN)。如果被引用的對象移動，則在域中擔(dān)當(dāng)結(jié)構(gòu)主機(jī)角色的 DC 會負(fù)責(zé)更新該域中跨域?qū)ο笠弥械?SID 和 DN?；A(chǔ)結(jié)構(gòu)主機(jī)是基于域的，目錄林中的每個(gè)域都有自己的基礎(chǔ)結(jié)構(gòu)主機(jī)
有一個(gè)域的目錄林有五個(gè)角色。目錄林中的每個(gè)其他域都會添加三個(gè)域范圍角色?？梢允褂霉剑ǎㄓ驍?shù) * 3）+2），確定目錄林中的 FSMO 角色數(shù)和潛在的 FSMO 角色所有者數(shù)。
具有三個(gè)域的目錄林（域 A.com、子域 B.A.com 和孫域 C.B.A.com）有 11 個(gè) FSMO 角色：
1 個(gè)架構(gòu)主機(jī) - 目錄林范圍的A.COM
1 個(gè)域命名主機(jī) - 目錄林范圍的 A.COM
3個(gè) PDC 模擬器（A.com、B.A.com 和 C.B.A.com）
3 個(gè) RID 主機(jī)（A.com、B.A.com 和 C.B.A.com）
對應(yīng)于各個(gè)域的 3 個(gè)結(jié)構(gòu)主機(jī)。（A.com、B.A.com 和 C.B.A.com）
當(dāng)創(chuàng)建目錄林的第一個(gè)域控制器 (DC) 時(shí)，系統(tǒng)將所有五種角色都分配給它。當(dāng)您在現(xiàn)有目錄林中創(chuàng)建新域的第一個(gè)DC 時(shí)，系統(tǒng)將所有三種域角色都分配給它。在包含 Windows 2000 （2003.2008）和 NT 4.0 域控制器的混合模式域中，只有 Windows 2000(2003.2008）
域控制器才能包含任一域范圍或目錄林范圍的 FSMO 角色。
操作主機(jī)的可用性和放置 Windows 2000 執(zhí)行域控制器上角色的初始放置。對于具有很少DC的目錄，此放置通常是正確的。在具有許多域控制器的目錄中，默認(rèn)放置與您的網(wǎng)絡(luò)不大可能是最佳匹配。
根據(jù)每個(gè)域，選擇本地的主要和備用 FSMO 域控制器，以防在主要 FSMO 所有者上發(fā)生失敗。此外，您可能希望選擇站點(diǎn)之外的備用所有者，以防發(fā)生站點(diǎn)特定的災(zāi)難。請?jiān)谀倪x擇條件中考慮以下內(nèi)容：
·
如果域只有一個(gè)域控制器，則該 DC 包含所有的每域角色。
·
如果域有多個(gè)域控制器，則使用 Active Directory 站點(diǎn)和服務(wù)管理器，通過"連接良好的"持續(xù)性鏈接選擇直接復(fù)制伙伴。
·
備用服務(wù)器可能與主要 FSMO 服務(wù)器位于同一站點(diǎn)中，以便在大的計(jì)算機(jī)組中獲得更快的復(fù)制匯聚一致性；備用服務(wù)器也可能位于遠(yuǎn)程站點(diǎn)中以防在主要位置發(fā)生站點(diǎn)特定的災(zāi)難。
·
當(dāng)備用 DC 位于遠(yuǎn)程站點(diǎn)中時(shí)，請確保將連接配置為用于通過持續(xù)性鏈接的連續(xù)復(fù)制。
FSMO 放置的一般建議 ·
將 RID 角色和 PDC 模擬器角色放置在同一 DC 上。最好保證從 PDC 到 RID 主機(jī)的良好通信，因?yàn)橄录壙蛻舳撕蛻?yīng)用程序以 PDC 為目標(biāo)，從而使 PDC 成為 RID 的主要使用者。將 FSMO 角色群集在較少的計(jì)算機(jī)上，也會更易于跟蹤這些角色。
如果主要 FSMO 負(fù)載上的負(fù)載證明應(yīng)該移動，請將 RID 角色和 PDC 模擬器角色放置在相同的域和 Active Directory 站點(diǎn)中互為直接復(fù)制伙伴的不同域控制器上。
·
一般說來，結(jié)構(gòu)主機(jī)應(yīng)該位于非全局目錄服務(wù)器上，該服務(wù)器具有直接連接到目錄林中某個(gè)全局目錄的對象，最好是在同一 Active Directory 站點(diǎn)中。由于全局目錄服務(wù)器保存目錄林中每個(gè)對象的部分副本，因此結(jié)構(gòu)主機(jī)（如果放在全局目錄服務(wù)器上）一定不會再更新任何內(nèi)容，因?yàn)樗话瑢λ槐４娴膶ο蟮娜魏我谩?/font>"不要將結(jié)構(gòu)主機(jī)放在全局目錄服務(wù)器上"這一規(guī)則有兩個(gè)例外為：
o
單域目錄林：
在包含單個(gè) Active Directory 域的目錄林中沒有 phantom，因此沒有需要結(jié)構(gòu)主機(jī)完成的任務(wù)。在這種情況下，可以將結(jié)構(gòu)主機(jī)放在域中的任一域控制器上。
o
多域目錄林，其中的每個(gè)
域控制器都包含全局目錄：
如果目錄林中的每個(gè)域控制器也承載全局目錄，則沒有 phantom 或需要結(jié)構(gòu)主機(jī)完成的任務(wù)。在這種情況下，可以將結(jié)構(gòu)主機(jī)放在目錄林中的任一域控制器上。
·
在目錄林級別上，架構(gòu)主機(jī)角色和域命名主機(jī)角色應(yīng)該放置在同一域控制器上，因?yàn)樗鼈兒苌偈褂们覒?yīng)該進(jìn)行嚴(yán)格控制。另外，域命名主機(jī) FSMO 也應(yīng)該是全局目錄服務(wù)器。
最重要的是，使用其中的一個(gè)管理控制臺（如 Dsa.msc 或 Ntdsutil.exe）確認(rèn)所有 FSMO 角色都是可用的。
