Гибкая работа с одним мастером - Flexible single master operation

Гибкие операции с одним мастером (ФСМО, F иногда плавающий; произносится Физ-мо), или просто операция с одним мастером или же мастер операций, это особенность Microsoft с Active Directory (ОБЪЯВЛЕНИЕ).^[1] С 2005 года термин FSMO устарел в пользу капитанов операций.^{[нужна цитата ]}

ФСМО - специализированный контроллер домена (DC) набор задач, используемый там, где стандартные методы передачи и обновления данных неадекватны. AD обычно полагается на несколько равноправных контроллеров домена, каждый из которых имеет копию базы данных AD, синхронизируемую посредством репликация с несколькими мастерами. Задачи, которые не подходят репликация с несколькими мастерами и жизнеспособны только с базой данных с одним мастером - это FSMO.^[2]

Роли FSMO

Роли домена

Эти роли применимы на уровне домена (т. Е. Для каждого домена в лесу существует по одной роли):

• В Эмулятор PDC (Основной контроллер домена) - эта роль является наиболее часто используемой из всех ролей FSMO и имеет самый широкий набор функций. Контроллер домена, выполняющий роль эмулятора PDC, имеет решающее значение в смешанной среде, где все еще присутствуют BDC Windows NT 4.0. Это связано с тем, что роль эмулятора PDC эмулирует функции PDC Windows NT 4.0. Даже если все контроллеры домена Windows NT 4.0 были перенесены на Windows 2000 или более позднюю версию, контроллер домена, выполняющий роль эмулятора PDC, по-прежнему много делает. Эмулятор PDC является источником домена для синхронизации времени для всех других контроллеров домена; в многодоменном лесу эмулятор основного контроллера домена в каждом домене синхронизируется с эмулятором основного контроллера домена корня леса. Все остальные компьютеры-члены домена синхронизируются с соответствующими контроллерами домена.^[3] Критически важно, чтобы часы компьютера были синхронизированы в лесу, потому что чрезмерный сдвиг часов приводит к сбою проверки подлинности Kerberos. Кроме того, все изменения паролей происходят на эмуляторе PDC и получают приоритетную репликацию.^[4]
• В RID Мастер - (Относительный идентификатор) Этот владелец роли FSMO является единственным контроллером домена, ответственным за обработку ИЗБАВЛЯТЬ Запросы пула от всех контроллеров домена в данном домене. Он также отвечает за перемещение объекта из одного домена в другой во время междоменного перемещения объекта. Когда DC создает объект участника безопасности, такой как пользователь или группа, он присоединяет уникальный SID к объекту. Этот SID состоит из SID домена (одинакового для всех SID, созданных в домене) и относительного идентификатора (RID), уникального для каждого SID участника безопасности, созданного в домене. Каждому DC в домене выделяется пул RID, который ему разрешено назначать участникам безопасности, которые он создает. Когда выделенный пул RID контроллера домена падает ниже порогового значения, этот контроллер домена отправляет запрос на дополнительные идентификаторы RID владельцу роли RID Master FSMO домена, владелец роли RID Master FSMO отвечает на запрос, извлекая идентификаторы RID из нераспределенного пула RID домена и назначает их. в пул запрашивающего DC.
• В Мастер инфраструктуры - Цель этой роли - обеспечить правильную обработку междоменных ссылок на объекты. Например, если пользователь из одного домена добавляется в группу безопасности из другого домена, мастер инфраструктуры следит за тем, чтобы это было сделано правильно. Однако, если в развертывании Active Directory используется только один домен, роль хозяина инфраструктуры вообще не работает, и даже в многодоменной среде она редко используется, за исключением случаев, когда выполняются сложные задачи администрирования пользователей. Это относится только к разделу домена (контекст именования по умолчанию). netdom запрос fsmo и ntdsutil будет запрашивать только раздел домена. Однако каждый раздел приложения, включая доменные зоны DNS на уровне леса и домена, имеет своего хозяина инфраструктуры. Обладатель этой роли сохраняется в fSMORoleOwner атрибут Инфраструктура объект в корне раздела, его можно изменить с помощью ADSIEdit, например, можно изменить fSMORoleOwner атрибут CN = Инфраструктура, DC = DomainDnsZones, DC = yourdomain, DC = tld Возражать CN = NTDSSettings, CN = Name_of_DC, CN = Servers, CN = DRSite, CN = Sites, CN = Configuration, DC = Yourdomain, DC = TLD.^[5]

роли на уровне леса

Эти роли уникальны на уровне леса (обе находятся в корневом домене леса):

• В Мастер схемы - Цель этой роли - реплицировать изменения схемы на все остальные контроллеры домена в лесу. Однако, поскольку схема Active Directory редко меняется, роль хозяина схемы редко выполняет какую-либо работу. Эта роль обычно участвует в развертывании Exchange Server и Skype для бизнеса Server, а также контроллеров домена из одной версии в другую, поскольку все эти ситуации включают внесение изменений в схему Active Directory.
• В Мастер именования доменов - Другая роль FSMO, относящаяся к лесу, - это хозяин именования доменов, и эта роль также находится в корневом домене леса. Роль хозяина именования доменов обрабатывает все изменения в пространстве имен, например, для добавления дочернего домена vancouver.mycompany.com в корневой домен леса mycompany.com требуется, чтобы эта роль была доступна. Неспособность этой роли функционировать правильно может помешать добавлению нового дочернего домена или нового дерева доменов.

Перемещение ролей FSMO между контроллерами домена

По умолчанию AD назначает все роли хозяина операций к первому DC, созданному в лесу. Для обеспечения отказоустойчивости в каждом домене леса должно быть несколько контроллеров домена. Если в лесу создаются новые домены, первый контроллер домена в новом домене содержит все роли FSMO всего домена. Это неудовлетворительное положение, если в домене много контроллеров домена. Microsoft рекомендует тщательно разделить роли FSMO, чтобы резервные контроллеры домена были готовы взять на себя каждую роль. В Эмулятор PDC и Мастер RID должен быть на том же DC, если это возможно. В Мастер схемы и Мастер именования доменов также должен быть на том же DC.

Когда роль FSMO передается другому DC, первоначальный держатель FSMO и новый держатель FSMO обмениваются данными, чтобы гарантировать отсутствие потери данных во время передачи. Если у первоначального держателя FSMO произошел неустранимый отказ, другой DC может быть захватывать потерянные роли; однако существует риск потери данных из-за отсутствия связи. Захват ролей от контроллера домена вместо их передачи не позволяет этому контроллеру домена снова размещать эту роль FSMO, за исключением ролей эмулятора PDC и роли хозяина инфраструктуры. Повреждение может произойти в Active Directory. Роли FSMO можно легко перемещать между контроллерами домена с помощью оснастки AD в MMC или используя ntdsutil, который является инструментом на основе командной строки.^[6]

Роли FSMO и глобальный каталог

Некоторые роли FSMO зависят от того, является ли DC Глобальный каталог (GC) сервер тоже. При первоначальном создании леса первый контроллер домена по умолчанию является сервером глобального каталога. Глобальный каталог предоставляет несколько функций. GC хранит информацию об объектах, управляет запросами этих объектов данных и их атрибутов, а также предоставляет данные для входа в сеть.

Часто все контроллеры домена также являются серверами глобального каталога. Если это не так, Мастер инфраструктуры роль не должна размещаться на контроллере домена, который также содержит копию глобального каталога в многодоменном лесу, поскольку сочетание этих двух ролей на одном узле вызовет неожиданное (и потенциально опасное) поведение в многодоменном среда.^[7][8] Однако роль хозяина именования доменов должна быть размещена на контроллере домена, который также является сборщиком мусора.

Рекомендации

внешняя ссылка

• «6.1.5.3 Роль главного FSMO RID». [MS-ADTS]: техническая спецификация Active Directory.. Microsoft.
• «Как просматривать и переносить роли FSMO в Windows Server 2003». Поддерживать. Microsoft. 11 сентября 2011 г.
• Таллох, Митч (15 марта 2005 г.). «Как просматривать и переносить роли FSMO в Windows Server 2003». WindowsNetworking.com. TechGenix.
• «Перенос ролей FSMO в Windows Server 2008». TechNetWiki. Microsoft.
• Арик, Эртугрул (23 декабря 2014 г.). «Как определить держателя роли fsmo (атрибут fsmoRoleOwner)». Кодирование Active Directory.