Windows: Кто "главный" в домене? Разбираем FSMO-роли
Active Directory — это не монархия, а "феодальная" система. Все контроллеры домена (DC) равны, но 5 из них — "равнее". Это владельцы FSMO-ролей (Flexible Single Master Operations) — уникальных задач, которые может выполнять только один DC во всем лесу.
Если сервер с FSMO-ролью "упал" и не вернулся — ваш домен ждут большие проблемы (нельзя создавать пользователей, менять схемы, и т.д.). Каждый Windows-админ обязан знать, где "лежат" эти роли.
Всего 5 ролей:
На уровне леса (уникальны для всего леса):
1. Schema Master: Отвечает за изменение схемы AD (добавление новых атрибутов).
2. Domain Naming Master: Отвечает за добавление/удаление доменов в лесу.
На уровне домена (уникальны для каждого домена): 3. PDC Emulator: "Эмулятор" старого PDC. Главный по синхронизации времени, блокировкам паролей, и "босс" для GPO. Самая нагруженная роль. 4. RID Master: Раздает "пачки" уникальных ID (RID) другим контроллерам, чтобы они могли создавать пользователей и группы. 5. Infrastructure Master: Отвечает за синхронизацию объектов между доменами.
Как узнать, где лежат роли (2 команды):
PowerShell
Взгляд архитектора: Архитектор не просто "знает", где роли. Он планирует их размещение.
Правило 1: Schema Master и Domain Naming Master должны быть на одном DC (желательно, Global Catalog).
Правило 2: PDC Emulator и RID Master — почти всегда на одном, самом мощном DC.
Правило 3: Infrastructure Master не должен быть на Global Catalog (если у вас не один домен).
Правило 4: Все FSMO-роли должны быть исключены из агрессивных политик бэкапа/восстановления (чтобы не сломать USN Rollback).
#windows #activedirectory #fsmo #sysadmin #гайд #architect
Active Directory — это не монархия, а "феодальная" система. Все контроллеры домена (DC) равны, но 5 из них — "равнее". Это владельцы FSMO-ролей (Flexible Single Master Operations) — уникальных задач, которые может выполнять только один DC во всем лесу.
Если сервер с FSMO-ролью "упал" и не вернулся — ваш домен ждут большие проблемы (нельзя создавать пользователей, менять схемы, и т.д.). Каждый Windows-админ обязан знать, где "лежат" эти роли.
Всего 5 ролей:
На уровне леса (уникальны для всего леса):
1. Schema Master: Отвечает за изменение схемы AD (добавление новых атрибутов).
2. Domain Naming Master: Отвечает за добавление/удаление доменов в лесу.
На уровне домена (уникальны для каждого домена): 3. PDC Emulator: "Эмулятор" старого PDC. Главный по синхронизации времени, блокировкам паролей, и "босс" для GPO. Самая нагруженная роль. 4. RID Master: Раздает "пачки" уникальных ID (RID) другим контроллерам, чтобы они могли создавать пользователей и группы. 5. Infrastructure Master: Отвечает за синхронизацию объектов между доменами.
Как узнать, где лежат роли (2 команды):
PowerShell
# Показать роли уровня ДОМЕНА (PDC, RID, Infrastructure)
netdom query fsmo
# Показать роли уровня ЛЕСА (Schema, Domain Naming)
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Взгляд архитектора: Архитектор не просто "знает", где роли. Он планирует их размещение.
Правило 1: Schema Master и Domain Naming Master должны быть на одном DC (желательно, Global Catalog).
Правило 2: PDC Emulator и RID Master — почти всегда на одном, самом мощном DC.
Правило 3: Infrastructure Master не должен быть на Global Catalog (если у вас не один домен).
Правило 4: Все FSMO-роли должны быть исключены из агрессивных политик бэкапа/восстановления (чтобы не сломать USN Rollback).
#windows #activedirectory #fsmo #sysadmin #гайд #architect
👍2
AD: FSMO-роли — Ваш "Генштаб" домена. Передача и Захват ролей
О ролях FSMO (Flexible Single Master Operations) вспоминают, когда становится по-настоящему жарко: при восстановлении домена, миграции или когда "любимый" DC внезапно вышел из строя. И да, про них очень любят спрашивать на собеседованиях.
Архитектор не просто знает 5 ролей, он умеет ими управлять.
Напомним 5 главных ролей (и их "хозяев"):
Уровень леса (один на весь лес):
Schema Master: Изменение схемы AD (добавление новых атрибутов).
Domain Naming Master: Добавление/удаление доменов в лесу.
Уровень домена (один на каждый домен): 3. PDC Emulator: Синхронизация времени, блокировки паролей, "босс" для GPO. Самая нагруженная. 4. RID Master: Раздает уникальные ID (RID) для создания пользователей и групп. 5. Infrastructure Master: Синхронизация объектов между доменами.
Как узнать текущих владельцев (2 команды):
PowerShell
1. Передача FSMO-ролей (планово): Это штатная процедура. Когда вы повышаете новый DC и хотите перенести роли со старого, или перед выводом DC из эксплуатации.
PowerShell
2. Захват FSMO-ролей (аварийно): Это аварийная процедура (Seizing). Используется, когда DC-владелец роли полностью и безвозвратно вышел из строя. Старый DC никогда не должен быть запущен снова!
PowerShell
Взгляд архитектора: Архитектор не просто "передает" или "захватывает" роли. Он планирует Disaster Recovery (DR).
Где хранятся FSMO-роли? Это часть вашего DR-плана.
Как часто проверяется статус ролей? Автоматический аудит repadmin /replsummary и netdom query fsmo должен быть в мониторинге.
Какое DC будет следующим владельцем FSMO-ролей при сбое? Это должно быть задокументировано и готово к выполнению по скрипту.
#windows #activedirectory #fsmo #powershell #sysadmin #гайд #musthave
О ролях FSMO (Flexible Single Master Operations) вспоминают, когда становится по-настоящему жарко: при восстановлении домена, миграции или когда "любимый" DC внезапно вышел из строя. И да, про них очень любят спрашивать на собеседованиях.
Архитектор не просто знает 5 ролей, он умеет ими управлять.
Напомним 5 главных ролей (и их "хозяев"):
Уровень леса (один на весь лес):
Schema Master: Изменение схемы AD (добавление новых атрибутов).
Domain Naming Master: Добавление/удаление доменов в лесу.
Уровень домена (один на каждый домен): 3. PDC Emulator: Синхронизация времени, блокировки паролей, "босс" для GPO. Самая нагруженная. 4. RID Master: Раздает уникальные ID (RID) для создания пользователей и групп. 5. Infrastructure Master: Синхронизация объектов между доменами.
Как узнать текущих владельцев (2 команды):
PowerShell
# Роли уровня ДОМЕНА (PDC, RID, Infrastructure)
netdom query fsmo
# Роли уровня ЛЕСА (Schema, Domain Naming)
Get-ADForest | Select-Object DomainNamingMaster, SchemaMaster
1. Передача FSMO-ролей (планово): Это штатная процедура. Когда вы повышаете новый DC и хотите перенести роли со старого, или перед выводом DC из эксплуатации.
PowerShell
# Передаем роль Schema Master на DC с именем target-dc01
Move-ADDirectoryServerOperationMasterRole -Identity target-dc01 -OperationMasterRole SchemaMaster
# Можно передать сразу несколько ролей
Move-ADDirectoryServerOperationMasterRole -Identity target-dc01 -OperationMasterRole DomainNamingMaster, SchemaMaster, RIDMaster, PDCEmulator, InfrastructureMaster
2. Захват FSMO-ролей (аварийно): Это аварийная процедура (Seizing). Используется, когда DC-владелец роли полностью и безвозвратно вышел из строя. Старый DC никогда не должен быть запущен снова!
PowerShell
# Захватываем роль PDC Emulator на DC с именем targetDC2
Move-ADDirectoryServerOperationMasterRole -Identity targetDC2 -OperationMasterRole PDCEmulator –Force
Взгляд архитектора: Архитектор не просто "передает" или "захватывает" роли. Он планирует Disaster Recovery (DR).
Где хранятся FSMO-роли? Это часть вашего DR-плана.
Как часто проверяется статус ролей? Автоматический аудит repadmin /replsummary и netdom query fsmo должен быть в мониторинге.
Какое DC будет следующим владельцем FSMO-ролей при сбое? Это должно быть задокументировано и готово к выполнению по скрипту.
#windows #activedirectory #fsmo #powershell #sysadmin #гайд #musthave
👍2
👑 PowerShell: Где мои FSMO роли?
Если ваш контроллер домена "приуныл", первое, что нужно знать — держит ли он FSMO (Flexible Single Master Operations) роли. Потеря рядового DC — это ерунда. Потеря PDC Emulator или Schema Master — это проблема.
Забудьте про netdom query fsmo. Делаем красиво через объекты.
Скрипт:
Pro Tip: Сохраните этот вывод. В случае аварии вы должны знать, какой именно сервер захватывать (Seize) принудительно.
#activedirectory #powershell #windows #fsmo #architecture
Если ваш контроллер домена "приуныл", первое, что нужно знать — держит ли он FSMO (Flexible Single Master Operations) роли. Потеря рядового DC — это ерунда. Потеря PDC Emulator или Schema Master — это проблема.
Забудьте про netdom query fsmo. Делаем красиво через объекты.
Скрипт:
# Получаем роли уровня Домена
$Domain = Get-ADDomain | Select-Object InfrastructureMaster, RIDMaster, PDCEmulator
# Получаем роли уровня Леса
$Forest = Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
# Выводим красивый отчет
Write-Host "🌲 Forest Roles:" -ForegroundColor Cyan
$Forest | Format-List
Write-Host "🏰 Domain Roles:" -ForegroundColor Cyan
$Domain | Format-List
Pro Tip: Сохраните этот вывод. В случае аварии вы должны знать, какой именно сервер захватывать (Seize) принудительно.
#activedirectory #powershell #windows #fsmo #architecture