主辅域控切换与FSMO角色迁移：从搭建到故障接管完整实操

简介：一份面向Windows Server 2003域控管理员、系统运维及网络技术人员的操作文档，系统梳理了主域控、辅助域控的搭建流程以及主域控制器的迁移方法。文档采用docx格式，压缩包内仅1个文件，大小566KB，内容精炼、便于按章节查阅。目前已有2061人学习浏览，适合正在部署或迁移Active Directory域控环境的读者参考。正文从环境准备、网络参数配置到dcpromo向导中的域类型选择、DNS与NETBIOS命名均有清晰说明；在迁移部分，重点演示了RID、PDC、基础结构、域命名、架构五大FSMO角色的图形化迁移操作，并给出ntdsutil命令行转移与强制占用（seize）角色的完整命令流程，同时涵盖全局编录的设置与域控制器备份要点。读者可据此规范域控搭建步骤，减少误操作，提升迁移成功率，是一份可直接对照操作的实用手册。

1. 主域控、辅助域控的搭建与主域控制器迁移：这份文档解决的是故障转移与角色交接问题

如果你手上还有 Windows Server 2003 时代的遗留业务，或者你在学习 AD 域控的底层机制，这份资源正好踩在你的痛点上。它不是讲理论，而是直接把主域控搭建、辅助域控加入、以及主域控故障后的 FSMO 角色迁移全流程给出了一套可复现的步骤。整套操作围绕一个核心问题：当主域控必须退役或者已经起不来时，怎么让辅助域控顶上去，并且让五个 FSMO 角色和全局编录全部交接干净。适合的对象是接手旧环境的运维新人，以及想在测试环境里完整走一遍域控迁移流程的工程师。搭建本身不复杂，真正容易翻车的环节在迁移阶段，特别是强制夺取与全局编录的切换顺序，下面逐步拆开讲。

2. 主域控的搭建：从 dcpromo 向导到 DNS 注册诊断

2.1 环境规划是第一步：计算机名、IP 地址与 DNS 自指

在运行 dcpromo 之前，先把两台机器的角色定下来。文档里主计算机名是 A，辅助计算机名是 B，域名用 Jiajie.com，NetBIOS 名 JIAJIE。这台主域控的 IP 是 1.1.1.1，掩码 255.0.0.0。虽然这套地址规划在现代网络里不太常见，但在隔离的实验环境或遗留内网里直接照用没问题。如果你是在已有网络里操作，建议把 IP 换成你实际网段，关键是主域控的 IP 必须是静态地址，并且 DNS 服务器地址指向自己。

操作系统版本建议直接用 Microsoft Windows Server 2003 Enterprise Edition。若你的机器是后续版本，界面文字可能不同，但 dcpromo 向导的选项结构是一样的。建议在干净的机器上做，不要拿已经加入过其他域的成员服务器直接升域控，否则残留的计算机账号信息会干扰后续复制。

2.2 dcpromo 向导的关键节点解读

在运行对话框输入 dcpromo，进入 Active Directory 安装向导。界面会提示你是否要成为域控制器，直接下一步，然后按如下选择操作。

域控制器类型：新域的域控制器 创建一个新域：在新林中的域 DNS 全名：Jiajie.com NetBIOS 域名：JIAJIE 数据库和日志文件位置：默认 C:\WINDOWS\NTDS 共享的系统卷位置：默认 C:\WINDOWS\SYSVOL

每一项目前不需要深究，但你要知道它们各自的用途。域控制器类型选择“新域的域控制器”意味着这是林里的第一台 DC，这一步选错会导致后续辅助域控加入时找错方向。数据库和日志文件路径在生产环境建议放到非系统盘，但实验环境保持默认即可。SYSVOL 用于存放组策略模板和脚本，路径确认后不要手工改动，否则复制时会出莫名其妙的问题。

接下来是 DNS 注册诊断。文档里选择第二项，意思是“在这台计算机上安装 DNS 服务器，并将这台 DNS 服务器设置为这台计算机的首选 DNS 服务器”。这是比较稳妥的选项，因为域控依赖 DNS SRV 记录来让其他机器找到它，先装 DNS 再升域控可以省掉后面手动补记录的麻烦。

2.3 权限兼容级别与还原密码的设置

权限兼容级别这步，文档选的是 Windows 2000 或 Windows Server 2003 兼容权限。如果你所在的域里还有老版本成员服务器，选这个没问题；如果全是高版本系统，选“只与 Windows Server 2003 兼容”会更严格，但实际影响不大，因为这里控制的是匿名访问旧版 RAS 服务器的权限，普通环境下保持兼容模式最省事。

目录服务还原密码设置为 adchina。这个密码在开机按 F8 进入目录服务还原模式时要用，不要忘记。注意它和域管理员密码是两个概念，即便重装系统，只要还想恢复 AD 数据库，这个密码就得在。

安装完成后强制重启。重启后可以在运行里输入 dcpromo 再次确认状态，或者用 dcdiag 做基础健康检查。第一次搭建时最容易忽略的是重启后登录时用的账号，此时要使用域名前缀加管理员账号登录，即 JIAJIE\Administrator，而不是本机管理员。

2.4 主域控搭建完成后的自检项

重启完成后，建议按以下顺序做一遍确认，避免带着隐患进入辅助域控阶段。第一，确认 DNS 服务已启动，并且服务器上有 _tcp、_udp、_sites 等 SRV 记录。第二，打开 Active Directory 用户和计算机，确认能正常浏览域结构。第三，确认 SYSVOL 目录已共享，共享名是 SYSVOL。第四，事件查看器里没有任何来源为 NTDS 或 DNS 的错误级别记录。

我一般会把 DNS 记录截图留档，尤其是 _msdcs.jiajie.com 下的 SRV 记录。后面辅助域控找不到主域控时，九成是这里出了问题。

3. 辅助域控的搭建：加入现有域之前要先驯服 DNS 指向

3.1 网络参数的设置逻辑

辅助域控要加入现有域之前，最核心的一步是 IP 和 DNS。主域控 IP 是 1.1.1.1，掩码 255.0.0.0。辅助域控 IP 设置成 1.1.1.2，掩码同样是 255.0.0.0，DNS 指向主域控 1.1.1.1。这里有个关键点：辅助域控的首选 DNS 必须指向主域控，而不是指向自己或网关。

原因很简单，辅助域控在安装过程中需要向 DNS 查询主域控的 SRV 记录，如果 DNS 指向错误，它会根本找不到要加入的域。常见做法是先用 ping 验证主辅互通，再检查 DNS 能否解析 jiajie.com。ping 1.1.1.1 通过只能说明二层网络通，不代表域控服务可用。最好再用 nslookup 查询 jiajie.com 的 SRV 记录，能返回主域控 A 的主机记录才说明 DNS 正常。

ping 1.1.1.1 nslookup -type=srv _ldap._tcp.dc._msdcs.jiajie.com

第二条命令如果返回了指向 A.jiajie.com 的记录，说明 DNS 解析链路是通的。我见过太多案例，辅助域控安装时卡在“找不到域控制器”这一步，最后发现不是网络不通，而是 DNS 没设到主域控。这种问题排查起来很玄学，实际上就是地址指向错了。

3.2 dcpromo 安装辅助域控的选项差异

在运行里输入 dcpromo 后，安装向导的内容和主域控有明显区别。域控制器类型处不能选错，要选“现有域的额外域控制器”，然后输入具备权限的用户名、密码和域。这里的账号一般是域管理员，格式建议写 JIAJIE\Administrator，密码输入对应值。

接着输入额外域控制器的域名 Jiajie.com。系统会开始尝试连接主域控，期间会往主域控复制 AD 数据库、SYSVOL 等内容。整段时间由数据量决定，实验环境几分钟就能完成，生产环境则可能需要更久。

最后设置目录服务还原密码，文档里是 adchina。这个密码可以跟主域控的还原密码一致，也可以不同，但要记住它只对本机生效。

域控制器类型：现有域的额外域控制器 账户信息：JIAJIE\Administrator + 密码 额外域控制器域名：Jiajie.com 目录服务还原密码：adchina

安装完成后重启，辅助域控的 Netlogon、NTDS 等核心服务会自动启动。此时打开事件查看器，看 Directory Service 的日志里有没有 1984 之类的复制事件，如果出现说明复制链路已建立。

3.3 验证主辅域控数据复制的两条路径

文档中提到“经测试，主域控制器的数据能及时复制到辅助域控上面”，这个结论要靠验证支撑，不能等出了问题再发现。第一个验证方式是直接在辅助域控上打开 Active Directory 用户和计算机，在域节点确认能看到主域控创建的测试用户。如果能看到，说明 AD 数据库部分复制成功。

第二个验证方式是用 repadmin 查看复制状态。虽然 2003 自带 repadmin 的完整版在 Support Tools 里，但系统盘一般已经带了基础版本，可以试着执行：

repadmin /showrepl B.jiajie.com

输出结果里如果显示“Last Success”，并且时间戳是最近，说明入站复制正常。如果显示“Last Failure”，就需要检查防火墙对 389、135、445 等端口的放行情况，还有 DNS 里 B 的记录是否已经注册进来。很多人在这步会忽略，辅助域控重启后忘了确认自己的 DNS 记录，导致复制一会儿通一会儿断。

3.4 辅助域控搭建中的两个常见误操作

第一个误操作是把辅助域控的 DNS 同时填了主域控和辅助域控自己的 IP，想着做个冗余。实际效果往往是辅助域控在向自己查询时记录还没创建好，导致安装卡死。所以安装阶段首选 DNS 只填 1.1.1.1，等安装完成确认复制正常后再考虑追加其他 DNS。

第二个误操作是在主域控没有开启 DNS 动态更新的情况下强行安装。主域控的 DNS 区域默认允许安全动态更新，但如果你之前手工改过区域设置，辅助域控注册 SRV 记录时可能被拒绝。安装前最好进入 DNS 管理控制台，确认 jiajie.com 区域的动态更新设置是“安全”或“非安全和安全”，否则辅助域控装完无法被其他客户端发现。检查办法是在主域控的 DNS 管理器中右键点击区域，查看属性中的动态更新下拉框。

4. 主域控制器的迁移：五大 FSMO 角色与全局编录的交接

4.1 迁移前置工作：千万不要跳过 System State 备份

文档把备份放在迁移第一步，这点非常重要。先说明为什么要在迁移前备份 System State，以及备份的实操命令。System State 里包含注册表、SYSVOL、AD 数据库文件等，一旦迁移过程中出现意外，可以用它恢复主域控的原始状态。

ntbackup backup systemstate /J "System State Backup" /F "D:\backup\DC_SystemState.bkf"

参数说明：J 参数指定备份集标签，F 参数指定生成的备份文件路径。备份完成后检查一下 .bkf 文件的体积，正常情况下至少在几百 MB 以上，如果只有几十 MB，先检查系统事件日志里有没有 VSS 相关错误。备份文件存储位置要选择非系统盘，否则主域控坏了连备份文件一起丢。

这一步做完后，再进行后续的角色迁移。你的心态会完全不同，因为即使中途出错，大不了用备份把系统还原到迁移前的状态，这相当于给自己留了一颗后悔药。

4.2 GUI 方式迁移：逐个角色操作与全局编录切换

迁移过程分两条路，可以先走 GUI，再走命令行。GUI 方式的好处是直观，每一步都有明确提示，适合新手第一次操作。命令行方式效率高，适合批量处理多个角色。

文档里先阐述 GUI 部分。RID、PDC、基础结构主机这三个角色在 Active Directory 用户和计算机里完成。具体操作路径是：打开 Active Directory 用户和计算机，右击域名节点，选择“连接到域控制器”，选择辅助域控 B，确认连接。再次右击域名节点，选择“操作主机”，在 RID 选项卡里点击“更改”，系统会弹出确认框，点击确定。PDC 和基础结构主机选项卡操作方式相同，不再赘述。

域命名主机要换一个管理单元。在辅助域控上打开 Active Directory 域和信任关系，右击顶级节点，选择“连接到域控制器”，选 B，然后右击顶级节点，选择“操作主机”，点击更改并确认。

架构主机迁移相对特殊。先打开命令提示符注册架构管理单元：regsvr32 schmmgmt.dll。注册成功后打开 MMC 控制台，按下 Ctrl+M 进入添加管理单元界面，选择 Active Directory 架构，依次点击添加、关闭、确定。随后右击 Active Directory 架构，点击“更改域控制器”，选择“指定名称”，输入 B 的计算机名，确认。最后右击 Active Directory 架构，选择“操作主机”，点击更改。注意架构角色迁移时需要有 Schema Admins 组成员权限，否则系统会提示访问被拒绝。

4.3 命令行方式转移 FSMO 角色：ntdsutil 操作详解

GUI 方式适合点选，命令行方式适合远程批量操作。下表是转移角色对应的命令，以转移 RID 主机角色为例，完整执行流程如下。

ntdsutil roles connection connect to server B.jiajie.com quit transfer RID master

每一条命令的含义需要说清楚。第一条 ntdsutil 进入目录服务管理工具；第二条 roles 进入 FSMO 维护模式；第三条 connection 进入服务器连接模式；第四条 connect to server B.jiajie.com 指定目标辅助域控为 B，注意这个名称要能被 DNS 解析，否则会提示找不到服务器；第五条 quit 返回到 FSMO 维护提示符；第六条 transfer RID master 执行角色转移，随后会弹出确认框，点击“是”完成。剩余四个角色的转移命令参照下表：

填写五条命令时需要注意的是：schema master 转移环节会先弹出一个提示，告诉你架构主机一旦转移不可回退，确认即可；domain naming master 转移时要保证目标域控上运行着 Domain Naming Master 服务，服务停了直接报错。执行完 transfer 命令后，用 ntdsutil 的 query 选项确认角色归属已经变更为 B，再做全局编录切换。

4.4 全局编录的迁移：勾选框顺序决定登录体验

全局编录角色转移通过 Active Directory 站点和服务管理单元完成。打开 Active Directory 站点和服务，右击顶部节点，选择“连接到域控制器”，选择 B，确定。接下来展开 Sites、Default-First-Site-Name、Servers，先找到 A 的节点，右击 NTDS Settings，选择属性，去掉“全局编录”前的勾选。再找到 B 的节点，打开 NTDS Settings 属性，勾选“全局编录”。

这个顺序不能反。如果先把 B 的全局编录取消，再勾选 A，整个域内可能存在一段时间没有任何全局编录服务器，用户登录时会卡在“找不到全局编录”的状态。正确顺序是先让 B 成为全局编录服务器，复制完成后再把 A 的全局编录角色摘掉。切换完成后，全局编录与五大 FSMO 角色一并交接到 B，主域控理论上已经可以降级退役。

4.5 当主域控无法恢复时：seize 强抢模式的操作差异

上面说的 transfer 适用于主域控还在线的情况，如果主域控彻底宕机，transfer 会一直报连接失败。此时只能走强抢流程，把 transfer 命令换成 seize 命令，其余步骤完全一致。

ntdsutil roles connection connect to server B.jiajie.com quit seize RID master

注意 seize 和 transfer 最本质的区别：transfer 是主域控把角色主动交出去，过程温和；seize 是目标域控直接抢走角色，不需要主域控在线确认，但会遗留主域控的 AD 对象，后续必须做元数据清理，把已经消失的主域控条目从 Active Directory 用户和计算机、站点和服务里一并删除。如果忽略这个步骤，旧主域控哪天重新上线，域内会同时出现两个持有相同角色标识的域控，复制冲突会让整个域不稳定。对应 seize 命令对照表参见下表示例。

强制夺取的顺序建议遵循文档排列：先 RID，再 PDC，再基础结构，再域命名，最后架构。前五个角色里域命名主机和架构主机不建议顺序颠倒，因为架构主机控制整个林的架构变化，域命名主机管理域的新增和删除。实际操作时你会发现 seize 命令执行速度比 transfer 快很多，因为少了与旧主域控协商的过程，但后续元数据清理的工作量才是大头。

5. 迁移实操避坑：五个最容易翻车的细节与对应解法

5.1 安装了 DNS 却找不到 SRV 记录，主域控“失联”

现象：辅助域控执行 dcpromo，填写域名后等待较长时间，最后报错“找不到域控制器”。检查主域控 DNS，_msdcs.jiajie.com 区域里只有少部分记录，_tcp 没出现。

原因：主域控自带 DNS 服务的区域没有启用动态更新。默认状态下区域设置是“安全”动态更新，但若之前手工创建过区域，默认设置可能被改成“无动态更新”。此时辅助域控无法向主域控注册自己的 SRV 记录，连带主域控自己的记录也可能缺失。

解决：进入 DNS 管理控制台，找到 jiajie.com 区域，右键选择属性，把动态更新改成“非安全和安全”，等待几分钟，然后执行 ipconfig /registerdns 强制刷新。刷新完成后重新加载 nslookup，_ldap._tcp.dc._msdcs 子区域出现记录后再跑 dcpromo。我习惯在搭建完成的半小时后复查一次 SRV 记录，因为有些系统服务的延迟注册会导致记录在早期阶段不完整。

5.2 主域控重启后登录域账号失败，密码正确却不认账

现象：主域控搭建完成后，重启系统，用 JIAJIE\Administrator 登录提示密码错误。明明安装向导里输入的密码没问题。

原因：登录对话框里的用户名没有加域名前缀，系统把它当本地账户验证。域控上的本地账户数据库在升级后被禁用，所以本机验证不通过。这不算故障，但新手很容易被误导去重设密码。

解决：在登录界面用户名处输入 JIAJIE\Administrator，或者直接输入 Administrator@jiajie.com。确认域名框里显示的是 JIAJIE 而不是本机名。遇到这类问题先看登录的是哪个域，不要急着重置密码，重置密码会影响域内所有信任关系。

5.3 迁移全局编录后客户端登录缓慢，有时直接超时

现象：全局编录角色已切换到 B，但从客户端登录域账号时，等待时间变长，部分机器甚至直接报“找不到域控制器”。

原因：B 只是勾选了全局编录，但 AD 的完整分区复制尚未完成。全局编录需要从主域控复制整个林的目录分区，数据量大时可能需要十几分钟甚至更久。在此期间查询请求会超时。另一个潜在原因是客户端的 DNS 指向没有改成指向 B，仍试图找 A，而 A 已经退役。

解决：在 B 上打开事件查看器，等出现事件 ID 1119，提示全局编录已完全同步后再切客户端 DNS。客户端 DNS 的主服务器地址改成 1.1.1.2，备用指向 1.1.1.1。如果刚才没有等待直接测试，可以考虑在 B 上用 repadmin /syncall 手动触发一次完整同步，等同步完成再做登录测试。

5.4 使用 ntbackup 备份 System State 时报“磁盘空间不足”，备份文件却只有几百 MB

现象：备份到一半提示空间不足，实际备份文件不大，目标盘剩余空间也有几十 GB。

原因：ntbackup 备份 System State 时需要创建临时文件，默认位置在 C 盘的 temp 目录。若系统盘剩余空间不足，备份进程会直接中断。另外 2003 的 ntbackup 不支持备份到 SMB 共享的根目录，目标路径必须指向具体文件夹。

解决：设置环境变量 TEMP 和 TMP 指向剩余空间足够的盘，重启终端，然后再跑备份命令。备份目录先建好独立文件夹，路径避免包含中文字符，例如 D:\backup。备份期间不要在服务器上执行其他磁盘密集操作，否则备份文件可能损坏。我一般会在备份完成后用目录服务还原模式试一次恢复流程，虽然费时间，但能确认备份文件真的可用。

5.5 迁移完五个角色后，FSMO 归属查询结果仍然显示旧 DC

现象：NTDSUTIL 里执行 transfer schema master 已经确认，但用其他工具查 FSMO 角色，仍然显示旧的域控名称。或者 Active Directory 用户和计算机里还能看到两个一样的域控制器对象。

原因：旧域控的计算机账号没有完全清除。转移角色和清理域控制器对象是两件独立的事情，前者只把 FSMO 归属变更，后者要从 AD 数据库里移除旧 DC 的 NTDS Settings 对象。如果旧主域控是直接关机不再恢复，必须执行元数据清理。

解决：在辅助域控上打开 Active Directory 站点和服务，找到 Sites、Default-First-Site-Name、Servers 下的旧服务器节点，确认删除该服务器，同时删除旧服务器 NTDS Settings 下的所有对象。删除后在 Active Directory 用户和计算机里找到 Computers 容器，删除旧计算机账号。完成后再跑 ntdsutil 查询角色归属，此时的输出应该只包含 B 的条目。

6. 迁移完成后的校验链路：三条命令确认角色与复制都正常

迁移完成不代表可以直接关机旧域控，建议按一个固定顺序执行完整性校验。打开命令提示符，运行 ntdsutil，依次进入 roles、connection、connect to server B.jiajie.com、quit，最后输入 q 查询。这次输出里的每一条角色条目都应当指向 B.jiajie.com，关注的角色名称术语较多：schema owner、domain naming master、PDC、RID、infrastructure。如果发现任何一条仍然指向 A，说明前面某一步的转移没有真正生效，需要重新执行对应角色的 transfer 或 seize。

然后是复制状态校验，用 repadmin 查看 B 的入站复制摘要。repadmin /showrepl B.jiajie.com 输出中包含每个目录分区的最后成功复制时间。正常状态下所有分区的 Last Success 时间应该比当前时间早不超过几分钟。checked for replication 不是重点，Last Success 才是关键指标。如果出现大量 Last Failure，且错误码是 8524，优先查 DNS 是否还能解析旧域控的 A 记录，残留记录会导致 B 一直尝试给旧域控做复制，实际上旧域控已经不可达。

最后是 dcdiag。虽然 2003 自带的版本不如后续版本那么丰富，但基础的连通性测试可用：dcdiag /s:B /test:replications /test:connectivity。连接测试能直接定位出域控之间的 RPC 通道是否顺畅，复制测试能看到最近有没有复制失败的事件记录。这台命令只需要在 B 上执行，结果末尾如果显示“passed”字样，说明链路稳定。若显示 failed，展开看具体是哪一步，通常集中在防火墙对 445 端口拦截导致 RPC 调用失败。

全局编录状态确认完毕后，建议顺手检查一次时间同步。域控之间时间偏差超过五分钟会触发 Kerberos 认证失败，客户端登录直接被拒。在 B 上执行 w32tm /query /status，确认源服务器是 A 或外部时间源。若显示“No Time Source ”，手动编组一次 w32tm /config /manualpeerlist:1.1.1.1 /syncfromflags:manual /update，然后重启时间服务。这一步几乎不占时间，但一旦漏做，客户端登录会出现间歇性失败，而日志里看不到任何与角色迁移相关的报错，排查起来非常折腾。

按照这套流程走完，迁移后的域控在角色、复制、时间三层都已稳定。从那以后我每迁移一台域控，都会强制走一遍这三条命令，并把输出截图存档。等到一个月后再拉一次 repadmin，确认没有出现延迟增大的情况，才敢把旧域控彻底关机。希望这份拆解能帮你在自己的环境里少走几个弯路。

本文还有配套的精品资源，点击获取