Active Directory 備份與還原 (三)：多 DC 環境災難恢復 - FSMO 強制取得與 GC 遷移

實驗環境

• 網域：demo.com
• DC1 (持有所有 FSMO + GC)：server.demo.com (192.168.5.1) - 硬體故障無法開機
• DC2 (額外 DC)：test20031.demo.com (192.168.5.2)

客戶端僅能用快取登入，無法存取網域資源。目標：將 FSMO 與 GC 移轉至 DC2。

步驟 1：從 AD 清除失效 DC1 元資料

1. 執行 ntdsutil > metadata cleanup > connections > connect to server test20031 > q 返回。
2. select operation target > list sites > 選擇站台 (0) > list servers in site > 選擇 server (0) > q > 確認刪除 > q q 退出。

補充清理

1. ADSI Edit：刪除 [Domain Controllers] 容器中 DC1 物件。
2. AD 站台與服務：刪除 DC1 下的 NTDS 設定 (複寫連結)。

步驟 2：強制取得 FSMO 角色

1. ntdsutil > roles > connections > connect to server test20031 > q。
2. 因 DC1 離線，使用 seize (非 transfer) 依序強制取得五大角色：
   seize PDC > seize RID master > seize Infrastructure master > seize Schema master > seize Naming master。
3. 執行驗證腳本確認所有 FSMO 已移至 DC2。

步驟 3：遷移全域類別目錄 (GC)

1. 開啟 [AD 站台與服務] > Sites\Default-First-Site-Name\Servers\test20031\NTDS Settings > [內容]。
2. 勾選 [全域類別目錄] > [確定]。

步驟 4：用戶端更新 DNS 指向

將用戶端 DNS 伺服器指向 DC2 (192.168.5.2)，即可正常登入與存取資源。

關鍵提醒

1. 單 DC 環境：勤備份、多備份類型並用。
2. 多 DC 用 Seize 後，故障 DC 修復前絕不可重新加入網域 (FSMO 唯一性衝突)，必須重裝 OS 並改用新電腦名稱。
3. 故障 DC 永久退役，讓它在網域消失。

歡迎指正：hzswg@sohu.com