Кіріспе
Microsoft Active Directory-нің ерекшелігі – Flexible Single Master Operations (FSMO, F кейде "көшіп жүретін"; Fiz mo деп айтылады), немесе жай ғана бір мастерлік операция немесе операциялар шебері, Microsoft Active Directory (AD) ерекшелігі болып табылады. 2005 жылдан бастап FSMO термині қолданудан шығарылып, операциялық шеберлер пайдасына ауыстырылды. FSMO – стандартты деректерді беру және жаңарту әдістері жеткіліксіз болған кезде қолданылатын домендік контроллердің (DC) арнайы тапсырмалар жиынтығы. AD әдетте бірнеше теңдес DC-ге негізделеді, олардың әрқайсысы AD деректер қорының көшірмесін сақтайды және көп мастерлік репликация арқылы синхрондалады. Көп мастерлік репликацияға жарамсыз және тек бір мастерлік деректер базасымен ғана орындалатын тапсырмалар – FSMO.
Flexible Single Master Operations (FSMO, F is sometimes "floating"; pronounced Fiz mo), or just single master operation or operations master, is a feature of Microsoft's Active Directory (AD). As of 2005, the term FSMO has been deprecated in favour of operations masters. FSMO is a specialized domain controller (DC) set of tasks, used where standard data transfer and update methods are inadequate. AD normally relies on multiple peer DCs, each with a copy of the AD database, being synchronized by multi master replication. The tasks which are not suited to multi master replication and are viable only with a single master database are the FSMOs.
Домен бойынша рөлдер
Бұл рөлдер домен деңгейінде қолданылады (яғни орманның әрбір доменіне біреуден):
The PDC Emulator (Primary Domain Controller) This role is the most used of all FSMO roles and has the widest range of functions. The domain controller that holds the PDC Emulator role is crucial in a mixed environment where Windows NT 4.0 BDCs are still present. This is because the PDC Emulator role emulates the functions of a Windows NT 4.0 PDC. Even if all Windows NT 4.0 domain controllers have been migrated to Windows 2000 or later, the domain controller that holds the PDC Emulator role still does a lot. The PDC Emulator is the domain source for time synchronization for all other domain controllers; in a multi domain forest, the PDC Emulator in each domain synchronizes to the forest root PDC Emulator. All other domain member computers synchronize to their respective domain controllers. It is critically important that computer clocks are synchronized across the forest because excessive clock skew causes Kerberos authentication to fail. In addition, all password changes occur on the PDC Emulator and receive priority replication. The RID Master (Relative ID) This FSMO role owner is the single DC responsible for processing RID Pool requests from all DCs within a given domain. It is also responsible for moving an object from one domain to another during an interdomain object move. When a DC creates a security principal object such as a user or group, it attaches a unique SID to the object. This SID consists of a domain SID (the same for all SIDs created in a domain) and a relative ID (RID) that is unique for each security principal SID created in a domain. Each DC in a domain is allocated a pool of RIDs that it is allowed to assign to the security principals it creates. When a DC's allocated RID pool falls below a threshold, that DC issues a request for additional RIDs to the domain's RID Master FSMO role owner, the RID Master FSMO role owner responds to the request by retrieving RIDs from the domain's unallocated RID pool and assigns them to the pool of the requesting DC. The Infrastructure Master The purpose of this role is to ensure that cross domain object references are correctly handled. For example, if a user from one domain is added to a security group from a different domain, the Infrastructure Master makes sure this is done properly. However, if the Active Directory deployment has only a single domain, then the Infrastructure Master role does no work at all, and even in a multi domain environment it is rarely used except when complex user administration tasks are performed. This applies to the domain partition (default naming context) only. and will only query the domain partition. However, every application partition, including Forest and Domain level DNS domain zones has its own Infrastructure Master. The holder of this role is stored in the attribute of the object in the root of the partition, it can be modified with , for example one can modify the attribute of the object to .
PDC эмуляторы (біріншілік доменді басқарушы) Бұл рөл барлық FSMO рөлдерінің ішіндегі ең көп пайдаланылатын және функцияларының кең ауқымы бар. PDC эмуляторы рөлін атқаратын домендік контроллер аралас ортада, Windows NT 4.0 BDC-лер әлі де болғанда өте маңызды. Себебі PDC эмуляторы рөлі Windows NT 4.0 PDC функцияларын эмуляциялайды. Тіпті барлық Windows NT 4.0 домендік контроллерлері Windows 2000 немесе одан кейінгі нұсқаларға көшірілсе де, PDC эмуляторы рөлін атқаратын домендік контроллер әлі де көп жұмыс жасайды. PDC эмуляторы – басқа барлық домендік контроллерлер үшін уақытты синхрондаудың домендік көзі; көп доменді орманда әр домендегі PDC эмуляторы орманның түбірлік PDC эмуляторымен синхрондалады. Барлық басқа домен мүшелері өздерінің домендік контроллерлерімен синхрондалады. Компьютерлік сағаттардың орман бойынша синхрондастырылуы өте маңызды, өйткені шамадан тыс сағаттың айырмашылығы Kerberos аутентификациясының сәтсіздігіне әкеледі. Сонымен қатар, барлық парольдерді өзгертулер PDC эмуляторында жүзеге асырылады және басымдықпен көбейтіледі.
The PDC Emulator (Primary Domain Controller) This role is the most used of all FSMO roles and has the widest range of functions. The domain controller that holds the PDC Emulator role is crucial in a mixed environment where Windows NT 4.0 BDCs are still present. This is because the PDC Emulator role emulates the functions of a Windows NT 4.0 PDC. Even if all Windows NT 4.0 domain controllers have been migrated to Windows 2000 or later, the domain controller that holds the PDC Emulator role still does a lot. The PDC Emulator is the domain source for time synchronization for all other domain controllers; in a multi domain forest, the PDC Emulator in each domain synchronizes to the forest root PDC Emulator. All other domain member computers synchronize to their respective domain controllers. It is critically important that computer clocks are synchronized across the forest because excessive clock skew causes Kerberos authentication to fail. In addition, all password changes occur on the PDC Emulator and receive priority replication. The RID Master (Relative ID) This FSMO role owner is the single DC responsible for processing RID Pool requests from all DCs within a given domain. It is also responsible for moving an object from one domain to another during an interdomain object move. When a DC creates a security principal object such as a user or group, it attaches a unique SID to the object. This SID consists of a domain SID (the same for all SIDs created in a domain) and a relative ID (RID) that is unique for each security principal SID created in a domain. Each DC in a domain is allocated a pool of RIDs that it is allowed to assign to the security principals it creates. When a DC's allocated RID pool falls below a threshold, that DC issues a request for additional RIDs to the domain's RID Master FSMO role owner, the RID Master FSMO role owner responds to the request by retrieving RIDs from the domain's unallocated RID pool and assigns them to the pool of the requesting DC. The Infrastructure Master The purpose of this role is to ensure that cross domain object references are correctly handled. For example, if a user from one domain is added to a security group from a different domain, the Infrastructure Master makes sure this is done properly. However, if the Active Directory deployment has only a single domain, then the Infrastructure Master role does no work at all, and even in a multi domain environment it is rarely used except when complex user administration tasks are performed. This applies to the domain partition (default naming context) only. and will only query the domain partition. However, every application partition, including Forest and Domain level DNS domain zones has its own Infrastructure Master. The holder of this role is stored in the attribute of the object in the root of the partition, it can be modified with , for example one can modify the attribute of the object to .
RID Master (Relative ID) Бұл FSMO рөлінің иесі – берілген домендегі барлық RID Pool сұраныстарын өңдеуге жауапты жалғыз DC. Ол сондай-ақ домен аралық объектіні жылжыту кезінде объектіні бір доменнен екінші доменге жылжыту үшін жауапты. DC пайдаланушы немесе топ сияқты қауіпсіздіктің негізгі объектісін жасағанда, ол объектіге бірегей SID тағайындайды. Бұл SID домендік SID-ден (доменде құрылған барлық SID-тер үшін бірдей) және доменде құрылған әрбір қауіпсіздік негізгі SID-і үшін бірегей болатын салыстырмалы ID-ден (RID) тұрады. Домендегі әрбір DC-ге ол құратын қауіпсіздік принциптеріне тағайындауға рұқсат етілген RID-тер жиынтығы беріледі. DC-ге бөлінген RID-тер жиынтығы шектен төмен болса, ол DC доменнің RID Master FSMO рөлінің иесіне қосымша RID-терді сұрайды, RID Master FSMO рөлінің иесі сұрауға жауап береді, RID-терді доменнің бөлінбеген RID-тер жиынтығынан алып, оларды сұрау салған DC-нің жиынтығына тағайындайды.
The PDC Emulator (Primary Domain Controller) This role is the most used of all FSMO roles and has the widest range of functions. The domain controller that holds the PDC Emulator role is crucial in a mixed environment where Windows NT 4.0 BDCs are still present. This is because the PDC Emulator role emulates the functions of a Windows NT 4.0 PDC. Even if all Windows NT 4.0 domain controllers have been migrated to Windows 2000 or later, the domain controller that holds the PDC Emulator role still does a lot. The PDC Emulator is the domain source for time synchronization for all other domain controllers; in a multi domain forest, the PDC Emulator in each domain synchronizes to the forest root PDC Emulator. All other domain member computers synchronize to their respective domain controllers. It is critically important that computer clocks are synchronized across the forest because excessive clock skew causes Kerberos authentication to fail. In addition, all password changes occur on the PDC Emulator and receive priority replication. The RID Master (Relative ID) This FSMO role owner is the single DC responsible for processing RID Pool requests from all DCs within a given domain. It is also responsible for moving an object from one domain to another during an interdomain object move. When a DC creates a security principal object such as a user or group, it attaches a unique SID to the object. This SID consists of a domain SID (the same for all SIDs created in a domain) and a relative ID (RID) that is unique for each security principal SID created in a domain. Each DC in a domain is allocated a pool of RIDs that it is allowed to assign to the security principals it creates. When a DC's allocated RID pool falls below a threshold, that DC issues a request for additional RIDs to the domain's RID Master FSMO role owner, the RID Master FSMO role owner responds to the request by retrieving RIDs from the domain's unallocated RID pool and assigns them to the pool of the requesting DC. The Infrastructure Master The purpose of this role is to ensure that cross domain object references are correctly handled. For example, if a user from one domain is added to a security group from a different domain, the Infrastructure Master makes sure this is done properly. However, if the Active Directory deployment has only a single domain, then the Infrastructure Master role does no work at all, and even in a multi domain environment it is rarely used except when complex user administration tasks are performed. This applies to the domain partition (default naming context) only. and will only query the domain partition. However, every application partition, including Forest and Domain level DNS domain zones has its own Infrastructure Master. The holder of this role is stored in the attribute of the object in the root of the partition, it can be modified with , for example one can modify the attribute of the object to .
Инфрақұрылым шебері Бұл рөлдің мақсаты – домендер аралық объектілерге сілтемелердің дұрыс өңделуін қамтамасыз ету. Мысалы, бір доменнен бір пайдаланушы басқа доменнен қауіпсіздік тобына қосылса, Инфрақұрылым шебері бұл дұрыс жасалғанына көз жеткізеді. Алайда, егер Active Directory орналастырылуында тек бір домен болса, онда Инфрақұрылым шебері рөлі мүлдем жұмыс істемейді және тіпті көп доменді ортада оны күрделі пайдаланушыны басқару тапсырмаларын орындаудан басқа ретпен ғана қолданады. Бұл тек домендік бөлімге (әдепкі атау контексі) қатысты және тек домендік бөлімді ғана сұрап алады. Алайда, әрбір қолданбалық бөлімде, соның ішінде орман және домен деңгейіндегі DNS домен аймақтарында өзінің жеке Инфрақұрылым шебері бар. Бұл рөлді ұстаушы бөлімінің түбіріндегі объектінің атрибутында сақталады, оны өзгертуге болады, мысалы, объектінің атрибутын өзгертуге болады.
The PDC Emulator (Primary Domain Controller) This role is the most used of all FSMO roles and has the widest range of functions. The domain controller that holds the PDC Emulator role is crucial in a mixed environment where Windows NT 4.0 BDCs are still present. This is because the PDC Emulator role emulates the functions of a Windows NT 4.0 PDC. Even if all Windows NT 4.0 domain controllers have been migrated to Windows 2000 or later, the domain controller that holds the PDC Emulator role still does a lot. The PDC Emulator is the domain source for time synchronization for all other domain controllers; in a multi domain forest, the PDC Emulator in each domain synchronizes to the forest root PDC Emulator. All other domain member computers synchronize to their respective domain controllers. It is critically important that computer clocks are synchronized across the forest because excessive clock skew causes Kerberos authentication to fail. In addition, all password changes occur on the PDC Emulator and receive priority replication. The RID Master (Relative ID) This FSMO role owner is the single DC responsible for processing RID Pool requests from all DCs within a given domain. It is also responsible for moving an object from one domain to another during an interdomain object move. When a DC creates a security principal object such as a user or group, it attaches a unique SID to the object. This SID consists of a domain SID (the same for all SIDs created in a domain) and a relative ID (RID) that is unique for each security principal SID created in a domain. Each DC in a domain is allocated a pool of RIDs that it is allowed to assign to the security principals it creates. When a DC's allocated RID pool falls below a threshold, that DC issues a request for additional RIDs to the domain's RID Master FSMO role owner, the RID Master FSMO role owner responds to the request by retrieving RIDs from the domain's unallocated RID pool and assigns them to the pool of the requesting DC. The Infrastructure Master The purpose of this role is to ensure that cross domain object references are correctly handled. For example, if a user from one domain is added to a security group from a different domain, the Infrastructure Master makes sure this is done properly. However, if the Active Directory deployment has only a single domain, then the Infrastructure Master role does no work at all, and even in a multi domain environment it is rarely used except when complex user administration tasks are performed. This applies to the domain partition (default naming context) only. and will only query the domain partition. However, every application partition, including Forest and Domain level DNS domain zones has its own Infrastructure Master. The holder of this role is stored in the attribute of the object in the root of the partition, it can be modified with , for example one can modify the attribute of the object to .
FSMO рөлдерін домен контроллерлері арасында ауыстыру
Әдетте AD барлық операциялық басты рөлдерді орманда құрылған алғашқы DC-ге тағайындайды. Қатеге төзімділікті қамтамасыз ету үшін Орманның әрбір доменінде бірнеше доменді контроллерлер болуы тиіс. Егер орманда жаңа домендер құрылса, жаңа домендегі бірінші DC доменге қатысты барлық FSMO рөлдерін иеленеді. Доменде көптеген доменді контроллерлер болған жағдайда, бұл қанағаттанарлық жағдай емес. Microsoft FSMO рөлдерін сақтықпен бөлуді ұсынады, сондай-ақ әр рөлді қабылдауға дайын DC-лерді дайындауды ұсынады. Мүмкіндігінше PDC эмуляторы мен RID мастері бір DC-да орналасуы керек. Схемалық мастер және Домендік атау мастері де бір DC-да болуы тиіс. FSMO рөлі басқа DC-ге ауысқанда, бастапқы FSMO иесі мен жаңа FSMO иесі деректерді ауыстыру кезінде жоғалмауын қамтамасыз ету үшін байланыс жасайды. Егер бастапқы FSMO иесі қалпына келтірілмейтін сәтсіздікке ұшыраса, жоғалған рөлдерді "қарап алу" үшін басқа DC жасалуы мүмкін; алайда, байланыс болмауына байланысты деректерді жоғалту қаупі бар. Доменді басқарушыдан рөлдерді берудің орнына алу, PDC эмуляторы мен Инфрақұрылымдық операциялар рөлдерін қоспағанда, осы доменді басқарушыны осы FSMO рөлін қайтадан иеленуден қорғайды. Active Directory-де зақымдану орын алуы мүмкін. FSMO рөлдерін DC-лер арасында MMC-ге қосылған AD құралдарының көмегімен немесе командалық жолға негізделген ntdsutil құралын пайдаланып оңай жылжытуға болады.
FSMO рөлі және жаһандық каталог
FSMO-ның кейбір рөлдері DC-нің Global Catalog (GC) сервері болуына да байланысты. Орман алғаш құрылғанда, бірінші доменді басқарушы әдепкі бойынша Global Catalog сервері болып табылады. Global Catalog бірнеше функцияны атқарады. GC объект деректері туралы ақпаратты сақтайды, осы дерек объектілері мен олардың атрибуттарына қатысты сұрауларды басқарады, сондай-ақ желілік кіруге қажетті деректерді ұсынады. Көбінесе барлық домендік контроллерлер де жаһандық каталог серверлері болып табылады. Егер олай болмаса, көп доменді орман жағдайында Инфрақұрылым шебері рөлі жаһандық каталогтың көшірмесін де сақтайтын домендік контроллерде орналастырылмауы керек, себебі осы екі рөлдің бір хостта бірігуі көп доменді ортада күтпеген (және зиян келтіруі мүмкін) әрекеттерге алып келеді. Дегенмен, Домендік атау шебері рөлі GC болып табылатын DC-де орналасуы тиіс.