活動(dòng)目錄（Active Directory）域故障解決實(shí)例這部分內(nèi)容將以實(shí)例的形式，介紹活動(dòng)目錄（Active Directory ）的域故障排除，基本上遵循由易到難，由簡(jiǎn)到繁的順序來講解討論。Q1、

活動(dòng)目錄（Active Directory）域故障解決實(shí)例

這部分內(nèi)容將以實(shí)例的形式，介紹活動(dòng)目錄（Active Directory ）的域故障排除，基本上遵循由易到難，由簡(jiǎn)到繁的順序來講解討論。

Q1、客戶機(jī)無法加入到域？

一、權(quán)限問題。

要想把一臺(tái)計(jì)算機(jī)加入到域，必須得以這臺(tái)計(jì)算機(jī)上的本地管理員（默認(rèn)為administrator ）身份登錄，保證對(duì)這臺(tái)計(jì)算機(jī)有管理控制權(quán)限。普通用戶登錄進(jìn)來，更改按鈕為灰色不可用。并按照提示輸入一個(gè)域用戶帳號(hào)或域管理員帳號(hào)，保證能在域內(nèi)為這臺(tái)計(jì)算機(jī)創(chuàng)建一個(gè)計(jì)算機(jī)帳號(hào)。

二、不是說“在2000/03域中，默認(rèn)一個(gè)普通的域用戶（Authenticated Users ）即可加10臺(tái)計(jì)算機(jī)到域?！眴?？這時(shí)如何在這臺(tái)計(jì)算機(jī)上登錄到域呀！

顯然這位網(wǎng)管誤解了這名話的意思，此時(shí)計(jì)算機(jī)尚未加入到域，當(dāng)然無法登錄到域。也有人有辦法，在本地上建了一個(gè)與域用戶同名同口令的用戶，結(jié)果可想而知。這句話的意思是普通的域用戶就有能力在域中創(chuàng)建10個(gè)新的計(jì)算機(jī)帳號(hào)，但你想把一臺(tái)計(jì)算機(jī)加入到域，首先你得對(duì)這臺(tái)計(jì)算機(jī)的管理權(quán)限才行。再有就是當(dāng)你加第11臺(tái)新計(jì)算機(jī)帳號(hào)時(shí)，會(huì)有出錯(cuò)提示，此時(shí)可在組策略中，將帳號(hào)復(fù)位，或干脆刪了再新建一個(gè)域用戶帳號(hào)，如joindomain 。注意：域管理員不受10臺(tái)的限制。

三、用同一個(gè)普通域帳戶加計(jì)算機(jī)到域，有時(shí)沒問題，有時(shí)卻出現(xiàn)“拒絕訪問”提示。 這個(gè)問題的產(chǎn)生是由于AD 已有同名計(jì)算機(jī)帳戶，這通常是由于非正常脫離域，計(jì)算機(jī)帳戶沒有被自動(dòng)禁用或手動(dòng)刪除，而普通域帳戶無權(quán)覆蓋而產(chǎn)生的。解決辦法：1、手動(dòng)在AD 中刪除該計(jì)算機(jī)帳戶；2、改用管理員帳戶將計(jì)算機(jī)加入到域；3、在最初預(yù)建帳戶時(shí)就指明可加入域的用戶。

四、域xxx 不是AD 域，或用于域的AD 域控制器無法聯(lián)系上。

在2000/03域中，2000及以上客戶機(jī)主要靠DNS 來查找域控制器，獲得DC 的 IP 地址，然后開始進(jìn)行網(wǎng)絡(luò)身份驗(yàn)證。DNS 不可用時(shí)，也可以利用瀏覽服務(wù)，但會(huì)比較慢。2000以前老版本計(jì)算機(jī)，不能利用DNS 來定位DC ，只能利用瀏覽服務(wù)、WINS 、lmhosts 文件來定位DC 。所以加入域時(shí)，為了能找到DC ，應(yīng)首先將客戶機(jī)TCP/IP配置中所配的DNS 服務(wù)器，指向DC 所用的DNS 服務(wù)器。

加入域時(shí)，如果輸入的域名為FQDN 格式，形如mcse.com ，必須利用DNS 中的SRV 記錄來找到DC ，如果客戶機(jī)的DNS 指的不對(duì)，就無法加入到域，出錯(cuò)提示為“域xxx 不是AD 域，或用于域的AD 域控制器無法聯(lián)系上?！?000及以上版本的計(jì)算機(jī)跨子網(wǎng)（路由）加入域時(shí)，也就是說，加入域的計(jì)算機(jī)是2000及以上，且與DC 不在同一子網(wǎng)時(shí)，應(yīng)該用此方法。

加入域時(shí)，如果輸入的域名為NetBIOS 格式，如mcse ，也可以利用瀏覽服務(wù)（廣播方式）直接找到DC ，但瀏覽服務(wù)不是一個(gè)完善的服務(wù)，經(jīng)常會(huì)不好使。而且這樣雖然也可以把計(jì)算機(jī)加入到域，但在加入域和以后登錄時(shí)，需要等待較長(zhǎng)的時(shí)間，所以不推薦。再者，由于客戶機(jī)的DNS 指的不對(duì)，則它無法利用2000DNS 的動(dòng)態(tài)更新動(dòng)能，也就是說無法在DNS 區(qū)域中自動(dòng)生成關(guān)于這臺(tái)計(jì)算機(jī)的A 記錄和PTR 記錄。那么同一域另一子網(wǎng)的2000及以上計(jì)算機(jī)就無法利用DNS 找到它，這本應(yīng)該是可以的。

若客戶機(jī)的DNS 配置沒問題，接下來可使用nslookup 命令確認(rèn)一下客戶機(jī)能否通過DNS 查找到DC （具體見前）。能找到的話，再ping 一下DC 看是否通。

Q2、用戶無法登錄到域？

一、用戶名、口令、域

確保輸入正確的用戶名和口令，注意用戶名不區(qū)分大小寫，口令是區(qū)分大小寫的?？匆幌掠卿浀挠蚴欠襁€存在（比如子域被非正常刪除了，域中唯一的DC 未聯(lián)機(jī)）。

二、DNS

客戶機(jī)所配的DNS 是否指向DC 所用的DNS 服務(wù)器，討論同前。

三、計(jì)算機(jī)帳號(hào)

基于安全性的考慮，管理員會(huì)將暫時(shí)不用的計(jì)算機(jī)帳號(hào)禁用（如財(cái)務(wù)主管渡假去了），出錯(cuò)提示為“無法與域連接??，域控制器不可用??，找不到計(jì)算機(jī)帳戶??”，而不是直接提示“計(jì)算機(jī)帳號(hào)已被禁用”?？傻紸D 用戶和計(jì)算機(jī)中，將計(jì)算機(jī)帳號(hào)啟用即可。

對(duì)于 Windows 2000/XP/03，默認(rèn)計(jì)算機(jī)帳戶密碼的更換周期為 30 天。如果由于某種原因該計(jì)算機(jī)帳戶的密碼與 LSA 機(jī)密不同步，登錄時(shí)就會(huì)出現(xiàn)出錯(cuò)提示：“計(jì)算機(jī)帳戶丟失??”或“此工作站和主域間的信任關(guān)系失敗”。解決辦法：重設(shè)計(jì)算機(jī)帳戶，或?qū)⒃撚?jì)算機(jī)重新加入到域。

四、默認(rèn)普通域用戶無權(quán)在DC 上登錄

見下一小節(jié)的Q1。

五、跨域登錄中的問題

在2000及以上計(jì)算機(jī)上登錄到域的過程是這樣的：域成員計(jì)算機(jī)根據(jù)本機(jī)DNS 配置去找DNS 服務(wù)器，DNS 根據(jù)SRV 記錄告訴它DC 是誰，客戶機(jī)聯(lián)系DC ，驗(yàn)證后登錄。

如果是在林中跨域登錄，是首先查詢DNS 服務(wù)器，問林的GC 是誰。所以要保證林內(nèi)有可用的GC 。如果是要登錄到其它有信任關(guān)系的域（不一定是本林的），要保證DNS 能找到對(duì)方的域。

Q3、如何解決本地或域管理員密碼丟失？

本地管理員密碼丟失，可通過刪除sam 文件（2000SP3以前）或通過NTpassword 軟件來解決。但要解決域管理員密碼丟失，它們就無能為力了, 這時(shí)就需要用到“鳳凰萬能啟動(dòng)盤”中的ERD Commander 2002了，接下來我們將詳細(xì)討論使用此盤解決管理員密碼丟失問題。

1、上網(wǎng)搜索“鳳凰啟動(dòng)盤”或“鳳凰萬能啟動(dòng)盤”，大約178M ；

2、下載后解壓縮，將其內(nèi)容刻錄成光盤；

3、用此光盤啟動(dòng)計(jì)算機(jī)，顯示XP 安裝界面，Start ERD Commander 2002環(huán)境；

4、出現(xiàn)選擇菜單，選擇第一項(xiàng)：ERD Commander 2002；

5、出現(xiàn)類似XP 的啟動(dòng)界面

6、進(jìn)入選擇系統(tǒng)安裝的路徑，一般會(huì)自動(dòng)測(cè)出操作系統(tǒng)、版本及是否域控制器；

7、出現(xiàn)類似的XP 桌面：選擇Start/Administrative Tools/Locksmith；

8、進(jìn)入ERD Commander 2002 locksmith向?qū)Ы缑?，下一步?/p>

9、選擇Administrator ，重設(shè)其密碼；（此時(shí)切不可手動(dòng)重新啟動(dòng)計(jì)算機(jī)，否則此修改將無效）

10、選擇Start/Logoff，點(diǎn)OK ；

11、稍候片刻，點(diǎn)reboot 后重新啟動(dòng)計(jì)算機(jī)

鳳凰啟動(dòng)盤中的ERD Commander 2002功能強(qiáng)大，不僅可破解本地管理員密碼，包括NT/2000/XP/03的各個(gè)版本。還可以破解NT/2000/03域管理員密碼，均已實(shí)驗(yàn)證明。 由于可自動(dòng)識(shí)別操作系統(tǒng)和版本，及是否DC ，所以用戶在操作時(shí)，重設(shè)密碼的方法都是一樣的。對(duì)于03，重設(shè)密碼時(shí)要注意符合密碼策略中要求的符合復(fù)雜性要求，且密碼最小長(zhǎng)度為7，否則重設(shè)的密碼會(huì)無效。

Q4、無法使用域內(nèi)的共享打印機(jī)？

現(xiàn)象：計(jì)算機(jī)重啟或注銷，再登錄進(jìn)來，無法使用以前安裝的域內(nèi)的共享網(wǎng)絡(luò)打印機(jī)，

為用戶重新安裝打印機(jī)，當(dāng)時(shí)可以打印，但不久問題又會(huì)出現(xiàn)。用戶反映說有時(shí)能打印，有時(shí)就是不能打印。

其原因在于用戶沒有登錄到域（很多用戶即使計(jì)算機(jī)加入到了域，也經(jīng)常習(xí)慣性地選擇登錄到本地機(jī)），沒有域用戶身份，當(dāng)然無權(quán)訪問域內(nèi)的資源。而且關(guān)鍵是Windows 系統(tǒng)在這里有個(gè)小毛病，它并不象你訪問共享文件夾那樣，由于沒有身份而提示你輸入用戶名和密碼來進(jìn)行驗(yàn)證，而是直接提示你“拒絕訪問，無法連接”、“當(dāng)前打印機(jī)安裝有問題”，“RPC 服務(wù)不可用”等等（在不同的操作系統(tǒng)或應(yīng)用程序中提示會(huì)所不同）。 解決辦法有3種，最好還是用方法1。：

1、要求用戶將其域用戶帳號(hào)加入到本地管理員組，以后每次都以域用戶帳號(hào)登錄。

說明：這本身就是微軟推薦的一種辦法。因?yàn)槿绻贿@樣，普通用戶以本地管理員身份登錄時(shí)，控制本機(jī)沒問題，但訪問域資源時(shí)需要輸入域用戶名和口令；而用戶若以域用戶身份登錄，又沒有本機(jī)管理特權(quán)。比如說：無法關(guān)機(jī)，無法修改網(wǎng)絡(luò)等配置，無法安裝軟件、驅(qū)動(dòng)等。這樣做了以后，用戶以域用戶身份登錄，同時(shí)他又是本地管理員。

2、在打印服務(wù)器上啟用Guest 用戶，保證everyone 有打印權(quán)限。但這樣做不安全，所以不推薦。

3、在客戶機(jī)上每次要使用打印機(jī)前，在開始—運(yùn)行：PrintServer，這時(shí)會(huì)提示你輸入用戶名和密碼。通過驗(yàn)證后，再去使用打印機(jī)。很顯然這樣方法比較麻煩。

Q5、無法訪問域內(nèi)的共享資源？

上例中我們提到過客戶機(jī)如果加入到了域，但用戶選擇登錄到本地機(jī)。當(dāng)訪問域內(nèi)共享資源時(shí)，會(huì)提示輸入用戶名和口令。若不出現(xiàn)提示，直接出現(xiàn)拒絕訪問。一般是由于目標(biāo)計(jì)算機(jī)上啟用了guest ，而guest 用戶沒有權(quán)限造成的。

接下來的討論實(shí)質(zhì)和域的關(guān)系不大，但確實(shí)是我們?cè)L問網(wǎng)絡(luò)共享資源中經(jīng)常會(huì)碰到的問題：基于UNC 路徑的IP 形式來訪問時(shí)的故障，如在開始/運(yùn)行：.63.243.1。 前提：在網(wǎng)卡、協(xié)議、連接沒問題的情況下。即可在ping 通的前提下，若.63.243.1不通，排錯(cuò)可從下面幾個(gè)方面來考慮。

1、目標(biāo)機(jī)的“Microsoft 網(wǎng)絡(luò)的文件和打印機(jī)共享”服務(wù)的問題。

提示：“.63.243.1 文件名、目錄名或卷標(biāo)語法不正確”。

檢查：服務(wù)是否安裝、是否選中，或重裝一下。

操作：網(wǎng)上鄰居/右鍵/屬性/本地連接/右鍵/屬性

2、由于訪問相關(guān)的net logon、server 、workstation 服務(wù)務(wù)未正常啟動(dòng)的影響。 提示：

（1）若目標(biāo)機(jī)（為域成員）上的net logon服務(wù)停了：“試圖登錄，但網(wǎng)絡(luò)登錄服務(wù)未啟動(dòng)”。

（2）若目標(biāo)機(jī)上的server 服務(wù)停了：“.63.243.1 文件名、目錄名或卷標(biāo)語法不正確?！?/p>

（3）若本機(jī)的worstation 服務(wù)停了：“.63.243.1 網(wǎng)絡(luò)未連接或啟動(dòng)”。連其它計(jì)算機(jī)，也是一樣的提示。

檢查：相應(yīng)服務(wù)是否已經(jīng)正常啟動(dòng)。

操作：我的電腦/右鍵/管理/服務(wù)和應(yīng)用程序/服務(wù)下

3、由于本機(jī)與其它計(jì)算機(jī)重名（指NetBIOS 名稱）的影響

提示：訪問任何計(jì)算機(jī)均提示：“找不到網(wǎng)絡(luò)路徑”。

檢查：重啟一下，看是否有“網(wǎng)絡(luò)中存在重名”的提示?？赡苌洗伍_機(jī)時(shí)沒注意給忽略了。 操作：我的電腦/屬性/網(wǎng)絡(luò)標(biāo)識(shí)/屬性/計(jì)算機(jī)名下，修改計(jì)算機(jī)名。

4、XP/03由于默認(rèn)安全策略：“帳戶：使用空白密碼的本地帳戶只允許進(jìn)行控制臺(tái)登錄”的

影響

提示：.63.243.1無法訪問。您可能沒有權(quán)限使用網(wǎng)絡(luò)資源。請(qǐng)與這臺(tái)服務(wù)器的管理員聯(lián)系以查明您是否有訪問權(quán)限。登錄失?。河脩魩粝拗?。可能的原因包括不允許空密碼，登錄時(shí)間限制，或強(qiáng)制的策略限制。

檢查：改用非空密碼的帳戶試試，或查看XP/03目標(biāo)機(jī)上的本地策略。

操作：開始/運(yùn)行：gpedit.msc 。計(jì)算機(jī)配置/Winodws設(shè)置/安全設(shè)置/本地策略/安全選項(xiàng)下，由默認(rèn)值“啟用”改為“禁用”。

注意：域帳號(hào)訪問不受此策略限制。

5、網(wǎng)絡(luò)共享訪問被篩選器的設(shè)置所阻止

提示：找不到網(wǎng)絡(luò)路徑

檢查： TCP/IP篩選、IPSEC 、RRAS 篩選器是否被啟用，且TCP 端口139和445被禁用。 操作：

（1）網(wǎng)上鄰居/屬性/本地連接/屬性：TCP/IP—高級(jí)—選項(xiàng)—TCP/IP篩選

（2）網(wǎng)上鄰居/屬性/本地連接/屬性：TCP/IP—高級(jí)—選項(xiàng)—IP 安全機(jī)制

（3）開始/程序/管理/路由和遠(yuǎn)程訪問/IP路由選擇/常規(guī)/接口/右鍵屬性/常規(guī)：輸入/輸出篩選器。

說明：

（1）RRAS 篩選器只在2000/03 Server版中才有，IPSEC 只有在2000的上述位置才有。

（2）若你就想設(shè)置篩選器，基于端口控制，不讓別人訪問你的網(wǎng)絡(luò)共享資源，需要同時(shí)禁止TCP ：139和445口。

（3）由于此種原因產(chǎn)生的訪問故障，一般是由于實(shí)驗(yàn)后忘了復(fù)原，或別人故意和你開玩笑。 Q6、在AD 域中，如何批量添加域用戶帳號(hào)？

作為網(wǎng)管，有時(shí)我們需要批量地向AD 域中添加用戶帳戶，這些用戶帳戶既有一些相同的屬性，又有一些不同屬性。如果逐個(gè)添加、設(shè)置的話，十分地麻煩。一般來說，如果不超 過10個(gè)，我們可利用AD 用戶帳戶復(fù)制來實(shí)現(xiàn)。如果再多的話，我們就應(yīng)該考慮使用csvde.exe 或ldifde.exe 來減輕我們的工作量了。最后簡(jiǎn)單介紹一下利用腳本（可利用循環(huán)功能）批量創(chuàng)建用戶帳號(hào)

一、AD 用戶帳戶復(fù)制

1、在“AD 域和計(jì)算機(jī)”中建一個(gè)作為樣板的用戶，如S1。

2、設(shè)置相關(guān)需要的選項(xiàng)，如所屬的用戶組、登錄時(shí)間、用戶下次登錄時(shí)需更改密碼等。

3、在S1上/右鍵/復(fù)制，輸入名字和口令。

說明：

1、 只有AD 域用戶帳戶才可以復(fù)制，對(duì)于本地用戶帳戶無此功能。

2、 帳戶復(fù)制可將在樣板用戶帳戶設(shè)置的大多數(shù)屬性帶過來。具體如下：

二、比較csvde 與ldifde

三、以csvde.exe 為例說明：域用戶帳戶的導(dǎo)出/導(dǎo)入

操作步驟如下：

1、 在“AD 域和計(jì)算機(jī)”中建一個(gè)用戶，如S1。

2、 設(shè)置相關(guān)需要的選項(xiàng)，如所屬的用戶組、登錄時(shí)間、用戶下次登錄時(shí)需更改密碼等。

3、 在DC 上，開始/運(yùn)行：cmd

4、 鍵入：csvde –f demo.csv

說明：

（1）不要試圖將這個(gè)文件導(dǎo)回，來驗(yàn)證是否好使。因?yàn)檫@個(gè)文件中的好多字段在導(dǎo)入時(shí)是不允許用的，如：ObjectGUID 、objectSID 、pwdLastSet 和 samAccountType 等屬性。我

們導(dǎo)出這個(gè)文件目的只是為了查看相應(yīng)的字段名是什么，其值應(yīng)該怎么寫，出錯(cuò)信息如下：

（2）可通過-d –r 參數(shù)指定導(dǎo)出范圍和對(duì)象類型。例如：

-d “ou=test,dc=mcse,dc=com” 或 -d “cn=users,dc=mcse,dc=com”

-r “< Objectclass=user>”

1、 以上面的文件為參考基礎(chǔ)，創(chuàng)建自己的my.csv ，并利用復(fù)制、粘貼、修改得到多條記錄。例如：

dn,objectClass,sAMAccountName,userAccountControl,userPrincipalName

"CN=s1,OU=test,DC=mcse,DC=com",user,S1,512,S1@mcse.com

"CN=s2,OU=test,DC=mcse,DC=com",user,S2,512,S2@mcse.com

??????，其它可用字段，我試了一下，見下表（不全）：

6、導(dǎo)入到AD ，鍵入 csvde –i –f my.csv –j c:

說明：-j 用于設(shè)置日志文件位置，默認(rèn)為當(dāng)前路徑。此選項(xiàng)可幫助用戶在導(dǎo)入不成功時(shí)排錯(cuò)。

有一點(diǎn)大家必須明確的是：我們?cè)谶@里做AD 域用戶帳戶復(fù)制、做AD 域用戶帳戶的導(dǎo)出/導(dǎo)入，并不能代替“AD 備份和恢復(fù)”。我們只是在批量創(chuàng)建用戶帳號(hào)，帳號(hào)的SID 都是重新生成的，權(quán)利權(quán)限都得重新設(shè)才行。（當(dāng)然我們可以把導(dǎo)入的用戶，通過memberof 字段設(shè)到一些用戶組中去，使它有權(quán)利權(quán)限。但這與利用“AD 備份和恢復(fù)”到原狀，完全是兩回事）。

四、利用腳本創(chuàng)建批量用戶帳戶

1、利用腳本創(chuàng)建用戶帳號(hào)（用戶可參考下例）。

Set objDomain = GetObject("LDAP://dc=fabrikam,dc=com")

Set objOU = objDomain.Create("organizationalUnit", "ou=Management")

objOU.SetInfo

說明：在fabrikam.com 域創(chuàng)建一個(gè)名叫Management 的OU 。

Set objOU = GetObject("LDAP://OU=Management,dc=fabrikam,dc=com")

Set objUser = objOU.Create("User", "cn= AckermanPila")

objUser.Put "sAMAccountName", "AckermanPila"

objUser.SetInfo

objUser.SetPassword "i5A2sj*!"

objUser.AccountDisabled = FALSE

objUser.SetInfo

說明：在Management OU下創(chuàng)建一個(gè)名叫AckermanPila 的用戶，口令為i5A2sj*!，啟用。 Set objOU = GetObject("LDAP://OU=Management,dc=fabrikam,dc=com")

Set objGroup = objOU.Create("Group", "cn=atl-users")

objGroup.Put "sAMAccountName", "atl-users"

objGroup.SetInfo

objGroup.Add objUser.ADSPath

objGroup.SetInfo

說明：在Management OU下創(chuàng)建一個(gè)名叫atl-users 的用戶組，將用戶AckermanPila 加入到這個(gè)組中。

Wscript.echo "Script ended successfully"

說明：顯示“腳本成功結(jié)束”信息

2、利用腳本中的循環(huán)功能實(shí)現(xiàn)批量創(chuàng)建用戶帳號(hào)

Set objRootDSE = GetObject("LDAP://rootDSE")

Set objContainer = GetObject("LDAP://cn=Users," & _

objRootDSE.Get("defaultNamingContext"))

For i = 1 To 1000

Set objUser = objContainer.Create("User", "cn=UserNo" & i)

objUser.Put "sAMAccountName", "UserNo" & i

objUser.SetInfo

objUser.SetPassword "i5A2sj*!"

objUser.AccountDisabled = FALSE

objUser.SetInfo

Next

WScript.Echo "1000 Users created."

說明：在當(dāng)前域的Users 容器中創(chuàng)建UserNo1到UserNo1000，共1000個(gè)用戶帳戶 Q7、我的計(jì)算機(jī)不知道怎么回事，系統(tǒng)時(shí)間總是被改快1小時(shí)？

加入域的計(jì)算機(jī)，沒有自己的時(shí)間。這是因?yàn)闀r(shí)間參數(shù)，在AD 復(fù)制中是一個(gè)極為重要的因素。如：決定多主控復(fù)制時(shí)，誰的修改最終生效。所以整個(gè)域的時(shí)間，都由域的PDC 仿真主控來控制，整個(gè)林的時(shí)間都由林根域上的PDC 仿真主控來控制。

說明：如果整個(gè)林的時(shí)間都快1小時(shí)，對(duì)你AD 的正常工作沒有任何影響。

解決：修改林根域的PDC 仿真主控計(jì)算機(jī)的時(shí)間。實(shí)際工作中，要先查看域內(nèi)計(jì)算機(jī)的時(shí)區(qū)設(shè)置是否正確。

Q8、建立AD 域，需要有什么樣的權(quán)限才行？

1、若是創(chuàng)建林內(nèi)的第一個(gè)域，即林根域，只要有目標(biāo)計(jì)算機(jī)上的本地管理員權(quán)限即可。

2、作為已有域的附加DC ，需要該域的域管理員（Domain Admins）權(quán)限。

3、安裝子域的DC ，或新樹的DC ，都涉及到林結(jié)構(gòu)的改變，需要林管理員（Enterprise Admins ）權(quán)限才行。

Q9、如何在2000域中添加一臺(tái)03的DC ？

03和2000比，功能更強(qiáng)大了，在域和AD 的體系結(jié)構(gòu)上也有了一些變化（參見前面：域、林功能級(jí)別）。但微軟的產(chǎn)品十分講究向前兼容，我們可以實(shí)現(xiàn)在一個(gè)2000域中加入03DC 、加入03DNS ，并且DC 間的AD 復(fù)制，DNS 間的區(qū)域傳輸，都好像沒有版本差異一樣。

但要注意：直接就在03計(jì)算機(jī)上安裝AD 是不行的，會(huì)收到出錯(cuò)提示“Active Directory 版本不同”。我們需要做一些準(zhǔn)備工作，在2000DC （SP2及更高）上運(yùn)行03光盤/I386/adprep，

具體第一步：adprep /forestprep進(jìn)行林準(zhǔn)備，第二步adprep /domainprep進(jìn)行域準(zhǔn)備。 順便說一下：03可以作為2000域的附加DC ，2000也可以作為03域的附加DC ，而直接在2000上安裝AD 即可，不需要準(zhǔn)備。

Q10、創(chuàng)建AD 域時(shí)，由于沒有NTFS 分區(qū)，導(dǎo)致AD 安裝失敗？

在2000/03成員或獨(dú)立服務(wù)上上運(yùn)行dcpromo 命令，安裝AD ，將其提升為DC ，其上必須有一個(gè)NTFS 5.0分區(qū)，用來保存AD 的sysvol 文件夾。

注意：2000的NTFS 分區(qū)是NTFS 5.0，NT4的是NTFS 4.0，NT4必須安裝SP4后，才可訪問2000的NTFS 分區(qū)。

如果C 是引導(dǎo)分區(qū)，即系統(tǒng)夾winnt 或windows 所在分區(qū)，采用FAT32分區(qū)，系統(tǒng)會(huì)自動(dòng)查找下一個(gè)可用的NTFS 分區(qū)來存放系統(tǒng)卷，如d:sysvol。如果找不到NTFS 分區(qū)，就會(huì)出錯(cuò)，導(dǎo)致AD 安裝失敗。這時(shí)可利用convert 命令將某個(gè)FAT32分區(qū)轉(zhuǎn)成NTFS 分區(qū)，

這個(gè)轉(zhuǎn)換會(huì)保持?jǐn)?shù)據(jù)的完好。但要注意這個(gè)轉(zhuǎn)換是單向不可逆，想回復(fù)到FAT 分區(qū)，除非重新格式化該分區(qū)。

以轉(zhuǎn)換D 盤為例，具體操作如下：

1、開始/運(yùn)行：convert d: /fs:ntfs

2、提示是否轉(zhuǎn)換，鍵入y 確認(rèn)轉(zhuǎn)換。

說明：這時(shí)并沒有真正開始轉(zhuǎn)換，如果后悔，可以到注冊(cè)表HLM當(dāng)前控制控制會(huì)話管理BootExecute下，刪除其值Convert d: /fs:ntfs 。

3、重新啟動(dòng)計(jì)算機(jī)，將在登錄界面出現(xiàn)前，真正實(shí)施FAT 到NTFS 的轉(zhuǎn)換。

Q11、安裝AD 域時(shí)，出現(xiàn)NetBIOS 名稱沖突？

在安裝AD 時(shí)，安裝選項(xiàng)會(huì)要求輸入：新域的DNS 全名，在這里應(yīng)該輸入新域的完全有效域名FQDN ，形如：mcse.com 。系統(tǒng)會(huì)打算以mcse 作為此域的NetBIOS 名稱，并在網(wǎng)絡(luò)中檢查是否存在重名，需要等一會(huì)兒。

如果不重名則設(shè)為mcse （建議用戶不要修改此名），重名系統(tǒng)則自動(dòng)設(shè)為mcse0，建議用戶最好換個(gè)名字，因?yàn)槟愕木W(wǎng)絡(luò)可能還會(huì)有2000以前版本的老系統(tǒng)，考慮到NetBIOS 名稱解析和DNS 名稱解析的互助，保持一致性比較好。

說明：NetBIOS 名稱，只是為95/98/NT等老版本用戶通過“瀏覽服務(wù)”或WINS 來識(shí)別這個(gè)域用的，如果確信域內(nèi)計(jì)算機(jī)都是2000及以上系統(tǒng)（它們通過DNS 定位域），其實(shí)NetBIOS 名稱沖不沖突，都無所謂。

這種沖突可能源自于網(wǎng)絡(luò)中如果已有一個(gè)域，名字叫做mcse.org ，DNS 名雖然不沖突，但是NetBIOS 名稱沖突。也可能是你安裝了一個(gè)mcse.com 域未能完全成功，又再次安裝導(dǎo)致的，這樣情況倒可以強(qiáng)行將NetBIOS 名稱將為mcse ，而不是mcse0。

Q12、安裝AD 完成后，重啟登錄非常慢，甚至長(zhǎng)達(dá)20分鐘之久。

這一般是由于用一臺(tái)運(yùn)行了一段時(shí)間的2000/03 Server來安裝AD 造成的，故障較難定位。若重啟幾次后就正常了，則不必理會(huì)。如果多次重啟后還是非常慢，那就要重裝系統(tǒng)及AD 了。建議：最好在新裝的系統(tǒng)上來安裝AD ，這樣不容易出問題。

Q13、安裝AD 時(shí)，選擇了在本機(jī)安裝DNS ，但安裝結(jié)束后，在DNS 中未生成SRV 記錄？ 如果決定在安裝AD 過程中在本機(jī)安裝DNS ，應(yīng)在安裝前，將本機(jī)TCP/IP配置中的DNS 服務(wù)器指向自己，這樣在安裝AD 完成后重啟時(shí)，SRV 記錄將被自動(dòng)注冊(cè)到DNS 服務(wù)器的區(qū)域當(dāng)中去的，生成四個(gè)以下劃線開頭的文件夾，如_msdcs。

03DNS 在這里夾的層次結(jié)構(gòu)有所變化，將_msdcs.域名夾提升了一級(jí)，直接放到了查找區(qū)域下，但本質(zhì)沒變。

如果安裝前忘了將DNS 指向自己，也可以后補(bǔ)上。然后到計(jì)算機(jī)管理/服務(wù)下，重啟Net Logon 服務(wù)即可。這樣可以把啟動(dòng)時(shí)未能注冊(cè)到DNS 服務(wù)器的SRV 記錄（緩存在windowssystem32?che中）寫入DNS 。如果仍然不行的話，那只好重啟DC 了。 Q14、安裝子域失敗。

在保證權(quán)限（需要林管理員權(quán)限，不要誤以為是父域管理員權(quán)限）、DNS 沒問題的情況下，最常見的安裝子域失敗的原因就是域命名主控失效，出錯(cuò)提示為：“由于以下原因，操作失?。篈D 無法與域命名主機(jī)xxx 聯(lián)系。指定的服務(wù)器無法運(yùn)行指定的操作?！?/p>

說明：域命名主控要正常工作，它本身要求GC 必須可用。這是由于：為了保證域的名字在林中唯一，域命名主機(jī)需要查詢GC 。若是2000林，GC 必須和域命名主機(jī)在同一臺(tái)計(jì)算機(jī)上才行。若是2003林，不要求GC 必須和域命名主機(jī)非得在同一臺(tái)計(jì)算機(jī)上。

解決：保證域命名主控聯(lián)機(jī)，如果確信其已無法正常工作，可強(qiáng)制傳給（查封seize ）林內(nèi)的任意一臺(tái)DC ，子域的DC 也可以。原來的主控必須被重做系統(tǒng)后，才可連入網(wǎng)絡(luò)，以保證域命名主控的林唯一性。

Q15、修改用戶密碼需要幾分鐘，甚至更長(zhǎng)的時(shí)間。

前面我們介紹過：PDC 仿真主控負(fù)責(zé)最小化密碼變化的復(fù)制等待時(shí)間，若一臺(tái)DC 接受到密碼變化的請(qǐng)求，它必須通知PDC 仿真主控。若是PDC 仿真主機(jī)失效，收到該請(qǐng)求的DC 必須經(jīng)過一段時(shí)間的查找后，確認(rèn)真的找不到PDC 仿真主控了，才會(huì)自己修改用戶密碼。所以在此情況下，應(yīng)首先檢查PDC 仿真主控。

如果確信其已無法正常工作，可強(qiáng)制傳給（查封seize ）域內(nèi)的任意一臺(tái)DC 。原來的主控必須被重做系統(tǒng)后，才可連入網(wǎng)絡(luò)，以保證PDC 仿真主控的域唯一性。

Q16、正常卸載AD 時(shí)的常見問題

在實(shí)際工作中有時(shí)我們需要改變服務(wù)器角色，或者將實(shí)驗(yàn)中安裝的DC 回復(fù)到普通成員/獨(dú)立服務(wù)器身份，這就要進(jìn)行AD 的卸載。

1、卸載時(shí)會(huì)提示給新的本地管理員設(shè)置密碼

2、附加DC 卸載后，仍在域中。

3、如果AD 不能卸載，應(yīng)從以下幾方面考慮：

（1）網(wǎng)卡是否正常工作

即使你整個(gè)林中只有一臺(tái)計(jì)算機(jī)，也要保證網(wǎng)卡正常工作，才能將AD 卸載。網(wǎng)卡不工作或禁用網(wǎng)卡都會(huì)導(dǎo)致AD 無法卸載，提示“卸載SYSVOL 文件夾出錯(cuò)”

（2）權(quán)限

權(quán)限要求與安裝AD 時(shí)類似，若一個(gè)林中只有一個(gè)域，那么你要卸載的就是林根域，需要林管理員（Enterprise Admins）權(quán)限；卸載附加DC 需要該域的域管理員（Domain Admins）權(quán)限；卸載子域或樹，涉及到林結(jié)構(gòu)的改變，也需要林管理員權(quán)限。

（3）DNS

一般應(yīng)保證與安裝時(shí)所用DNS 一致。如果做了DNS 規(guī)劃，必須保證1中權(quán)限所要求的管理員身份能通過DNS 找到相應(yīng)DC ，進(jìn)行驗(yàn)證。

（4）域命名主控

卸載時(shí)只要涉及到林結(jié)構(gòu)的改變，就需要保證域命名主控有效；卸載附加DC 時(shí)不要求域命名主控有效。

但要注意的是：卸載時(shí)，域命名主控失效的出錯(cuò)信息與安裝時(shí)的“AD 無法與域命名主機(jī)xxx 聯(lián)系”提示不同，具體是：由于以下原因，操作失敗。以提供的憑據(jù)綁定到服務(wù)器xxx 失敗?！癛PC 服務(wù)器不可用”。

（5）卸載的順序

與安裝順序相反，應(yīng)該先逐級(jí)卸載下面的子域，最后卸載樹根域、林根域。否則將導(dǎo)致子域無法卸載，而存在的子域還有問題，找不到林根域、樹根域了。

因?yàn)檫@時(shí)極有可能架構(gòu)和域命名主控及GC 未轉(zhuǎn)移，林管理員組和架構(gòu)管理員組（Schema Admins）已經(jīng)隨林根域的刪除而沒有了。為什么這么說呢？因?yàn)槿绻芾韱T考慮到主控及GC 等的轉(zhuǎn)移問題，也就不會(huì)誤刪除林根域了。

Q17、AD 無法正常卸載，或者說DC 無法正常降級(jí)為成員服務(wù)器？

1、Dcpromo /forceremoval強(qiáng)制卸載AD

2、重設(shè)目錄恢復(fù)模式下的管理員密碼：

2000：winntsystem32setpwd.exe

03：使用ntdsutil 實(shí)用工具，set dsrm password

如果按照上例的要求，還是無法正常卸載AD ，且出錯(cuò)提示未提到DNS 方面的故障?？紤]本機(jī)上已安裝有的應(yīng)用程序，你還不想重做系統(tǒng)，可考慮使用如下辦法。

1、開始/運(yùn)行，在命令行中輸入regedit 或regedt32打開注冊(cè)表編輯器。

2、找到以下的鍵值：

HKEY_LOCAL_MACHINESystemCurrentControlSetControlProduct Options 鍵值：ProductType 類型：REG_SZ

3、 將原來的值“LanmanNT ”改為“ServerNT ”。

說明：

（1）LanmanNT 表示本機(jī)為域控制器DC ，ServerNT 表示本機(jī)為非DC 。

（2）只有當(dāng)CurrentControlSet1和CurrentControlSet 下的鍵值：ProductType 所等于的數(shù)據(jù)不同時(shí)，即一個(gè)為ServerNT ，一個(gè)為L(zhǎng)anmanNT 才允許修改。否則將會(huì)出如下提示： ¨ 對(duì)于2000：“系統(tǒng)已檢測(cè)到干預(yù)您的注冊(cè)產(chǎn)品類型，這是您對(duì)軟件許可證的侵犯。干預(yù)產(chǎn)品類型是不允許的。”

¨ 對(duì)于03：“系統(tǒng)檢測(cè)到您的注冊(cè)的產(chǎn)品類型有篡改現(xiàn)象。這是對(duì)軟件許可證的侵犯。篡改產(chǎn)品類型是不允許的。”

（3）教學(xué)實(shí)踐中可以利用ntdsutil 將子域的server 對(duì)象（實(shí)質(zhì)指DC ）手動(dòng)刪除，然后運(yùn)行dcpromo 降級(jí)，降級(jí)失敗后演示此知識(shí)點(diǎn)。

接下來，方法一：

1、重新啟動(dòng)計(jì)算機(jī)，按F8鍵進(jìn)入到“目錄服務(wù)恢復(fù)模式”。

說明：

（1）在此模式下，AD 不工作，以便對(duì)AD 庫(kù)文件及系統(tǒng)卷sysvol 進(jìn)行操作。

（2）登錄的口令不同于平時(shí)所用的口令，是在安裝AD 時(shí)，所設(shè)的目錄恢復(fù)模式下的口令。保存在本機(jī)一個(gè)SAM 庫(kù)文件中。

2、刪除存放活動(dòng)目錄數(shù)據(jù)庫(kù)的文件夾，默認(rèn)為C:WinNTNTDS，或C:WindowsNTDS。

3、刪除存放系統(tǒng)卷的文件夾，默認(rèn)為C:WinNTSYSVOL，或C:WindowsSYSVOL

4、重新啟動(dòng)計(jì)算機(jī)。

5、由于還有一些作為域控制器的注冊(cè)表鍵值和文件存在，所以在重新啟動(dòng)完計(jì)算機(jī)后，還需要使用dcpromo 命令來升級(jí)計(jì)算機(jī)B 到一個(gè)臨時(shí)的域的域控制器（域名可以任意填寫），然后再用dcpromo 命令降級(jí)，這樣才會(huì)完整地刪除所有和域控制器相關(guān)的注冊(cè)表鍵值和文件。

方法二

1、開始/運(yùn)行，在命令行中輸入dcpromo

2、由于前面已經(jīng)修改了注冊(cè)表，此時(shí)為AD 安裝界面，而非卸載界面。

3、會(huì)遇到如下出錯(cuò)提示：“由于網(wǎng)絡(luò)上名稱沖突，選定默認(rèn)的NetBIOS 域名‘xxx ’”。 說明：xxx 為你修改注冊(cè)表前原來域的NetBIOS 名稱。

4、不必介意出錯(cuò)提示，手動(dòng)設(shè)置你想要的名稱。比如你此次的域?yàn)閍bc.com ，則手動(dòng)設(shè)xxx 改為ABC 即可。

5、再接下來會(huì)遇到提示：“c:winntntds文件夾不是空的，當(dāng)升級(jí)處理開始時(shí)，要?jiǎng)h除文件夾中所有的文件嗎？（如果不，請(qǐng)指定另一個(gè)文件夾。）”

6、選擇：是

說明：

（1）在選擇系統(tǒng)卷的夾，如c:winnntsysvol后，時(shí)間可能會(huì)比較長(zhǎng)，請(qǐng)耐心等待。

（2）和正常安裝時(shí)一樣，可能會(huì)碰到DNS 錯(cuò)誤提示，一般選擇在本機(jī)安裝DNS 即可。

（3）也可能會(huì)出現(xiàn)“計(jì)算機(jī)已脫離域，帳號(hào)未被禁用”的提示，不必理會(huì)。

（4）最重要的一點(diǎn)是：這第一次非?？赡懿怀晒?，再重來一遍dcpromo 即可。

7、如果這次安裝是為了清除殘余的注冊(cè)表鍵值和垃圾文件，可再次運(yùn)行dcpromo 進(jìn)行卸載。當(dāng)然直接使用這臺(tái)DC ，也是可以的。

最后強(qiáng)調(diào)一下，此方法并不是萬能的。一是前面我們已經(jīng)提到的，有時(shí)注冊(cè)表不允許修改或者改完了存不上。再有就是如果在卸載的一開始，就出現(xiàn)有關(guān)DNS 的出錯(cuò)信息，必須首先排除DNS 故障才行。

Q18、如何清理AD 數(shù)據(jù)庫(kù)中的垃圾對(duì)象。

如果我們非正常卸載AD 子域、DC 等，就會(huì)在AD 元數(shù)據(jù)庫(kù)中留下垃圾。比如上面的例子，又比如未經(jīng)AD 卸載就把DC 計(jì)算機(jī)的系統(tǒng)重做了。這些垃圾對(duì)象一般來講無礙大局，但如果我們想優(yōu)化AD 的性能，不想給用戶帶來不必要的麻煩（比如用戶選擇登錄到已經(jīng)不存在的子域），就可以利用ntdsutil 工具進(jìn)行元數(shù)據(jù)庫(kù)清理（metadata cleanup），來刪除垃圾對(duì)象。具體操作如下：

1、開始/運(yùn)行：cmd ，在命令行下鍵入 ntdsutil 。

說明：

（1）直接，開始/運(yùn)行：ntdsutil ，也可以。

（2）進(jìn)行元數(shù)據(jù)庫(kù)清理，不要進(jìn)到目錄恢復(fù)模式下。

（3）進(jìn)行元數(shù)據(jù)庫(kù)清理，可以在非DC 的2000/XP/03計(jì)算機(jī)上進(jìn)行。但有些操作（如使用ntdsutil 工具進(jìn)行授權(quán)恢復(fù)、整理移動(dòng)AD 庫(kù)文件）必須在DC 上進(jìn)行。

（4）在ntdsutil 的每級(jí)菜單下都可以通過鍵入：？或HELP ，查看本級(jí)菜單下可用的命令。

2、在 ntdsutil: 提示符下，鍵入 metadata cleanup ，然后按 ENTER 。

說明：ntdsutil 是個(gè)分層的多級(jí)命令行工具，用戶在鍵入名字時(shí)，可簡(jiǎn)寫，只要不同于本級(jí)命令中的其它命令即可。比如上面的命令metadata cleanup可簡(jiǎn)寫為m c。

3、在 metadata cleanup: 提示符下，鍵入 connections ，然后按 ENTER 。

4、在 server connections: 提示符下，鍵入 connect to server servername，然后按 ENTER 。 說明：

（1）其中 servername 是指域控制器的DNS 名稱，用主機(jī)名或FQDN 均可。注意：雖然聯(lián)機(jī)說明中提到了可以用IP 去連，但實(shí)際上發(fā)現(xiàn)用IP 去連接，會(huì)出現(xiàn)參數(shù)不正確的出錯(cuò)提示。

（2）在這里要連接的DC ，應(yīng)是一個(gè)正常工作的、可操作的DC ，而不是你要清理的那個(gè)DC 對(duì)象。

5、鍵入 quit ，然后按 ENTER 回到 metadata cleanup: 提示符。

6、鍵入 select operation target ，然后按 ENTER 。

7、鍵入 list domains ，然后按 ENTER 。

說明：此操作將列出林中的所有域，每一域附帶與其相關(guān)聯(lián)的一個(gè)數(shù)字。

8、鍵入 select domain number，然后按 ENTER 。

說明：其中 number 是與故障服務(wù)器所在的域相關(guān)的數(shù)字。

9、鍵入 list sites ，然后按 ENTER 。

10、鍵入 select site number，然后按 ENTER 。

說明：其中 number 是指域控制器所屬的站點(diǎn)號(hào)碼。

11、鍵入 list servers in site ，然后按 ENTER 。

說明：這將列出站點(diǎn)上所有服務(wù)器，每一服務(wù)器附帶一個(gè)相關(guān)的數(shù)字。

12、鍵入 select server number，然后按 ENTER 。

說明：其中 number 是指要?jiǎng)h除的域控制器。

13、鍵入 quit ，然后按 ENTER ，退回到Metadata cleanup 菜單。

接下來，根據(jù)需要，刪除相應(yīng)的垃圾對(duì)象：

14、鍵入 remove selected server ，然后按 ENTER 。

此時(shí)，Active Directory 確認(rèn)域控制器已成功刪除。若收到無法找到對(duì)象的錯(cuò)誤報(bào)告，Active