FSMO 五大角色功能、查詢與規劃部署指南

FSMO (Flexible Single Master Operations) 中文稱「操作主控」。Windows 2000 引入多主複寫取代 NT4 單主模式，所有 DC 地位平等，但特定操作仍須由持有 FSMO 角色的 DC 執行。五大角色分兩類：

樹系層級 (全樹系唯一)

1. Schema Master (架構主控)：掌管 AD 架構修改 (物件/屬性定義)。擴展 Schema (如安裝 Exchange) 必須在該 DC 執行，需 Schema Admins 權限。建議：不需高效能，但需高可用性。
2. Domain Naming Master (網域命名主控)：管理樹系中網域的新增/刪除。該 DC 離線將導致增刪網域失敗。建議：同樣不需高效能，需高可用性。

網域層級 (每網域唯一)

1. PDC Emulator (PDC 模擬器)：最忙碌角色。
   • 密碼驗證：密碼變更立即複寫至 PDC Emulator，再觸發即時更新，保證密碼即時性。
   • 時間同步：樹系根網域 PDC Emulator 為時間權威，全網域時間誤差不超過 5 分鐘 (Kerberos 需求)。
   • 相容性：處理舊版用戶端 (NT4) 驗證、群組原則編輯預設連線目標。
2. RID Master (RID 主控)：分配相對識別碼 (RID) 池給各 DC，確保 SID 唯一性。離線短期不影響，但長期會導致新建物件失敗。
3. Infrastructure Master (基礎結構主控)：維護跨網域物件參考 (如群組成員為外部網域使用者)。不應 放在全域類別目錄 (GC) 伺服器上，否則無法正常運作。

查詢 FSMO 持有者

• 命令列：netdom query fsmo
• GUI：Active Directory 使用者和電腦 (網域層級) / Active Directory 網域與信任關係 (樹系層級) / Active Directory 架構 (Schema Master) 右鍵 > [操作主控]。
• 支援工具：Dcdiag /test:Knowsofroleholders /v

規劃建議

• 小型環境：所有角色集中於單一 DC (通常為首個 DC)。
• 大型環境：PDC Emulator 與 RID Master 放於同一高可用 DC；Schema Master 與 Domain Naming Master 放於穩定 DC；Infrastructure Master 放於非 GC 的 DC。
• 角色轉移 (Graceful) 優於強制取得，除非原持有者永不回歸。