OverviewVamos mostrar como mover as roles FSMO (Flexible Single Master Operations) de um Domain Controller para um outro no mesmo domnio e/ou floresta. Pelas boas prticas da Microsoft no devemos conter todas FSMO em uma mesma mquina.

Soluo

As FSMO so divididas em dois grupos: nvel de floresta (2 FSMO) e em nvel de domnio (3 FSMO), que vamos separar da seguinte forma: Floresta:

Schema Master Domain Tree

Domnio:

PDC RID Infrastructure

Para nosso tutorial iremos utilizar o cenrio abaixo, onde temos que mover todas FSMO do servidor guiapratico-srv1 para o servidor gp-srv2.

Para comearmos as transferncias devemos ir no servidor Gp-srv2 que o servidor que ir receber as roles FSMO.

Trocando as FSMO de domnio

Todas as trocas em nvel de domnio so feitas atravs da ferramenta Active Directory Users and Computers. Iremos demonstrar com telas somente o RID, mas o processo o mesmo para Infrastructure e PDC. 1. Ir em Start e depois em Run 2. Digitar dsa.msc, verificar se o foco do Active Directory Users and

Computer est no servidor que ir receber as roles FSMO

3. Boto direito sobre o domnio (guiapratico.local) e selecionar

Operations Masters...

4. Operations Masters. Ser apresentdo uma tela de todos Operations Masters em nvel de domnio (RID, PDC e Infrastructure), para trocarmos devemos clicar em Change...

5. Quando clicamos em Change... nos mostrado uma janela para confirmar a troca do Operation master

6. Clicando no Yes apresentado uma janela informando que a transferncia foi feita com sucesso.

Trocando as FSMO de Floresta Alterando a Domain Naming 1. Abrir o Active Directory Domain and Trusts 2. Clicar em Active Directory Domain and Trusts com o boto direito e clicar em Operations Mater...

3. Change Operations Master. Ser mostrado uma janela, devemos clicar em Change para o servidor gpsrv2.guiapratico.local se tornar o novo Domain naming da floresta.

4. A seguinte janela de dilogo ser mostrada, devemos clicar em Yes

5. Depois e clicado Yes nos confirmado com a janela abaixo que a transferncia foi executada com sucesso.

Alterando o Schema Master 1. Ir em Start e depois em Run

2. Digitar regsvr32 schmmgmt.dll, onde vamos registrar o Schema para ser visto na GUI (Graphical User Interface) e clicar em OK

3. Ser mostrado uma janela com a confirmao de registro da dll.

4. Ir novamente em Start e depois em Run 5. Digitar mmc e clicar em OK 6. Dentro do MMC, clicar em File e depois Add/Remove Snap-in 7. Na nova janela, clicar em Add 8. Neste ponto podemos visualizar o Active Directory Schema, que s possvel aps o registro da Dll.

9. Clicar em Close e Ok at voltarmos ao MMC 10. Depois devemos clicar com o boto direito em Active

Directory Schema e mudar o foco para o servidor que irreceber a role (gp-srv2), clicando em Change Domain

Controller

11.

Devemos escolher o servidor que ir receber a role

(gp-srv2.guiapratico.local)

12.

Devemos clicar novamente com o boto direito em

Active Directory Schema [] e clicar em Operations Master13. Aparecer a tela abaixo, devemos clicar em Change

14.

Depois de clicarmos em Change ser mostrado uma

tela para confirmarmos a alteraao, como segue:

15.

Devemos clicar em Yes e ser confirmado a

transferncia.

Concluso

Com este tutorial mostramos como mover as roles FSMO do Active Directory para outro servidor. importnte estudarmos as boas prticas das FSMO, mas este tutorial pode ser feito para qualquer uma das roles em qualquer servidor do domnio Active Directory.

Ol, pessoal, neste artigo eu disponibilizo um pedao do captulo sobre Active Directory de meu livro "Windows Server 2003 - Dicas e Procedimentos Tcnicos", publicado pela Editora rica, que detalha o processo de transferncia dos mestres de operaes quando o controlador de domnio foi destrudo (formatado, falha grave irrecupervel, etc.). Siga este procedimento para evitar instabilidade no Active Directory. Consulte tambm meus outros livros sobre sistemas operacionais Windows no site da Editora rica ou nas principais livrarias online do pas. Para que o Active Directory funcione de forma estvel, necessrio que:

A resoluo de nomes DNS seja feita com sucesso; Pelo menos um controlador de domnio esteja on-line e respondendo, inclusive disponibilizando os compartilhamentos SYSVOL e NETLOGON; Pelo menos um catlogo global esteja on-line e respondendo; Os cinco mestres de operaes estejam atribudos aos controladores de domnios on-line.

muito comum administradores de rede descartarem um controlador de domnio mais antigo (normalmente o primeiro que foi instalado), substituindo o computador por outro controlador de domnio mais novo e

eficiente, mas encontrarem problemas com o Active Directory a partir da remoo do primeiro controlador de domnio da rede. Isso ocorre porque o primeiro controlador de domnio instalado recebe as cinco funes de mestres de operaes do Active Directory. Logo, mesmo que o novo controlador seja promovido a catlogo global, faltaro na rede os cinco mestres de operaes e o Active Directory passar a ficar instvel. Existe um procedimento que traz as funes dos mestres de operaes para um servidor, sem a necessidade de o servidor que originalmente contm as funes estar presente na rede (on-line). Siga o procedimento para definir as cinco funes a um controlador de domnio, caso o que continha as funes originalmente estiver off-line por qualquer motivo: 1. No controlador de domnio disponvel, faa o logon com um usurio administrativo e clique em Iniciar, Executar... . 2. Digite cmd e clique em OK. 3. Digite NTDSUTIL e tecle ENTER. 4. A ferramenta NTDSUTIL foi criada para uma manuteno de baixo nvel no Active Directory. Ela baseada em um prompt de comandos (assim como ferramentas como o NSLOOKUP). A qualquer momento, voc pode entrar com o comando HELP (ou?) para obter uma lista dos comandos disponveis no menu atual. Inicie usando o comando ROLES: digite ROLES e tecle ENTER. 5. Para efetuar alguma operao, necessrio primeiro se conectar ao controlador de domnio. Para isso digite Connections e tecle ENTER. 6. Agora digite Connect to server servidor e tecle ENTER. Por exemplo: Connect to server servidor.empresa.br ENTER. 7. Voc ser conectado ao controlador de domnio indicado no comando. Digite ento QUIT e tecle ENTER para voltar ao menu anterior. 8. Finalmente, voc pode atribuir os mestres de operaes ao controlador disponvel. O comando TRANSFER usado quando o controlador que detm a funo de mestre de operaes est on-line, ntegro. J o comando SEIZE o usado quando o controlador que detm a funo de mestre de operaes est off-line ou foi destrudo. 9. Para atribuir a funo de mestre de operaes de Esquema, digite SEIZE SCHEMA MASTER e tecle ENTER. Observe a figura a seguir que exibe a seqncia de comandos e a tela pop-up que aberta para que voc confirme a operao de "Seize" do mestre de operaes.

Confirmao de captura de funo de mestre de operaes.

1. Clique em Sim para confirmar a operao. 2. O processo tenta primeiro realizar a transferncia segura da funo. Caso no consiga devido ao controlador "dono" da funo estar off-line, ele fora a captura da funo, indicando aps a mensagem de erro as cinco funes que o controlador conectado conhece. Ser exibida uma mensagem de erro, mas isso no quer dizer que o processo de SEIZE no funcionou. Voc deve observar a lista das funes que o servidor conhece, na qual deve aparecer agora o nome do controlador conectado na funo que voc acabou de transferir. 3. Agora digite HELP e tecle ENTER. Sero exibidos os comandos para a operao das outras quatro funes de mestres de operaes. Entre com os comandos um de cada vez at que as cinco funes sejam transferidas para o servidor conectado. Ao trmino dos cinco comandos, as funes j estaro definidas no controlador de domnio e na prxima replicao a informao ser disseminada para outros controladores de domnio. Removendo o objeto obsoleto ( Windows Server 2003) 1. Caso o controlador tenha sido "destrudo" e no voltar mais rede, importantssimo que o objeto do controlador de domnio seja excludo da base do Active Directory. Comece o processo acessando a ferramenta Usurios e Computadores do Active Directory, expandindo o domnio e selecionando o continer Domain Controllers. Coloque o ponteiro do mouse no objeto do controlador de domnio que no existe mais, d um clique com o boto direito e selecione Excluir. 2. Clique em Sim. Ser exibida uma caixa de dilogo: selecione a terceira e a ltima opes. Esse controlador de domnio est permanentemente

off-line e no pode mais ser rebaixado pelo "Assistente de Instalao do Active Directory" (DCPROMO). 3. Clique em Excluir e clique em Sim para confirmar. Feche a ferramenta. 4. Abra agora o Prompt de Comandos e digite NTDSUTIL ENTER. 5. Ser iniciada a ferramenta NTDSUTIL. Digite os comandos seguintes sempre teclando ENTER aps cada comando listado. Substitua servidor pelo nome do controlador de domnio atual e os itens id pelo nmero mostrado na listagem dos domnios, sites e servidores (aps cada comando LIST): METADATA CLEANUP SELECT OPERATION TARGET CONNECTIONS CONNECT TO SERVER servidor QUIT LIST DOMAINS SELECT DOMAIN id LIST SITES SELECT SITE id LIST SERVERS IN SITE SELECT SERVER id QUIT REMOVE SELECTED SERVER 1. Ser exibida uma caixa de dilogo solicitando a confirmao da excluso; clique em Sim para confirmar. Aps a confirmao do item removido, utilize o comando QUIT por duas vezes. 2. Pronto, voc saiu da ferramenta. Agora digite EXIT e tecle ENTER para sair do Prompt de Comando. Observao1. Pode ser necessrio eliminar o objeto na ferramenta Servios e Sites do

Active Directory (Sites e Servios do Active Directory no Windows 2000 Server). Verifique acessando a ferramenta e expandindo o site do qual o servidor fazia parte at o continer Servers. Caso ele esteja presente, clique com o boto direito do mouse e selecione Excluir. O item deve ser removido. 2. Verifique tambm se este ou algum controlador na rede possui o servio DNS em execuo, com a zona primria do domnio criada. Caso no esteja rodando, instale o servio DNS (em Adicionar/Remover Programas > Adicionar/Remover Componentes do Windows > Servios de Rede) e crie uma zona primria com o mesmo nome do domnio do Active Directory e do tipo "integrada ao Active Directory". Configure a duplicao para apenas os controladores de domnios do Active Directory. Em seguida, reinicie o servio Logon de Rede para que os

registros sejam criados automaticamente

inindo as FSMO (Flexible Single-Master Operation): As FSMO so divididas em 2 grupos:

Floresta: so regras que afetam toda uma floresta Windows 2000 ou 2003 e podem ser hospedadas por qualquer DC dentro da floresta. Domnio: so regras que afetam apenas um domnio Windows 2000 ou 2003, e podem ser hospedadas por DCs dentro do domnio.

Ao todo, temos cinco FSMO, duas que afetam a floresta como um todo e outras trs que afetam um domnio, conforme veremos a seguir: Floresta

Schema Master: O Schema o corao do Active Directory. Composto de objetos e atributos, que modelam o Active Directory. atravs do Schema que dizemos, por exemplo, que o objeto do tipo USURIO ter os atributos NOME, ENDEREO, TELEFONE, etc. Como o esquema pode ser customizado e deve ser o mesmo em toda a floresta Windows, a regra Schema Master se encarrega, principalmente, de evitar conflitos entre os DCs. Domain Naming Master: Ao adicionar um novo domnio em uma floresta (por exemplo, se voc adiciona um domnio filho), o nome deste domnio deve ser nico na floresta. esta regra responsvel por assegurar isto e evitar conflitos entre outros domnios.

Domnio

PDC Emulator: Como o nome j diz, uma das funes desta regra emular um PDC NT 4.0 para manter a compatibilidade com servidores legados (por exemplo, BDCs NT 4.0) e clientes mais antigos. Mesmo que voc migre todo seu ambiente para Windows 2000 ou 2003, esta regra ainda importante, pois responsvel por tratar alteraes de contas de usurios, lockouts de contas, relaes de confianas com outros domnios e pelo sincronismo do relgio no domnio. RID Master. Qualquer DC pode criar novos objetos (usurios, grupos, contas de computadores). Cada objeto deve possuir um identificador nico, conhecido como SID. O SID do objeto construdo usando o SID do domnio, mais um ID relativo (RID). Porm, aps criar 512 objetos, um DC precisa contatar o RID Master para conseguir mais 512 RIDs (atualmente, um DC contata o RID Master quando ele possui menos de 100 RIDs disponveis). Isto evita que dois objetos diferentes tenham o mesmo RID em todo o domnio. Infrastructure Master. Esta regra assegura que o Display Name de usurios pertencentes a um grupo sejam atualizados caso este atributo seja alterado. fundamental em ambientes que possuam vrios domnios, pois vai assegurar que todos os grupos que um determinado usurio pertena ir refletir o Display Name correto.

Para verificar quais DCs hospedam as FSMO dentro da floresta ou domnio, basta simplesmente instalar o Support Tools a partir do diretrio \Support\Tools do CD de instalao do Windows 2000 / 2003 e digitar o comando netdom query fsmo em um prompt de comando. Veja o exemplo:

Transferindo as Funes FSMO

possvel transferir funes FSMO usando o utilitrio de linha de comando Ntdsutil.exe ou usando uma ferramenta do snap-in MMC. Dependendo da funo FSMO que deseja transferir, possvel usar uma das trs ferramentas do snap-in MMC a seguir:

Snap-in Esquema do Active Directory Snap-in Domnios e relaes de confiana do Active Directory Snap-in usurios e computadores do Active Directory

Transferir a funo mestre de esquemaUse o snap-in Mestre de esquema do Active Directory para transferir a funo mestre de esquema. Antes de poder usar esse snap-in, necessrio registrar o arquivo Schmmgmt.dll.Registrar Schmmgmt.dll 1. Clique em Iniciar e em Executar. 2. Digite regsvr32 schmmgmt.dll na caixa Abrir e clique em OK. 3. Clique em OK ao receber a mensagem de que a operao teve xito: Transferir a funo mestre de esquema 1. Clique em Iniciar, em Executar, digite mmc na caixa Abrir e clique em OK. 2. No menu Arquivo, clique em Adicionar/remover snap-in. 3. Clique em Adicionar. 4. Clique em Esquema do Active Directory, clique em Adicionar, em Fechar e clique em OK. 5. Na rvore do console, clique com o boto direito do mouse em Esquema do Active Directory e clique em Alterar controlador de domnio. Clique em Especificar nome, digite o nome do controlador de domnio que ser o novo detentor da funo e clique em OK. Na rvore do console, clique com o boto direito do mouse em Esquema do Active Directory e clique em Mestre de operaes.

6.

7.

8. Clique em Alterar. 9. Clique em OK para confirmar que deseja transferir a funo e clique em Fechar.

Transferir a funo mestre de nomeao de domnio1. Clique em Iniciar, aponte para Ferramentas administrativas e clique em Domnios e relaes de confiana do Active Directory.

Clique com o boto direito do mouse em Domnios e relaes de confiana do Active Directory e clique em Conectar-se ao controlador de domnio.OBSERVAO: necessrio 2. executar esta etapa se no estiver no controlador de domnio para o qual deseja transferir a funo. No necessrio executar esta etapa se j estiver conectado ao controlador do domnio para o qual deseja transferir a funo. Execute um dos seguintes procedimentos: Na caixa Digite o nome de outro controlador de domnio, digite o nome do controlador de domnio que ser o novo detentor da funo e clique em OK.-ouNa lista Ou, selecione um controlador de domnio disponvel, clique no controlador de domnio que ser o novo detentor da funo e clique em OK.

3.

4.

Na rvore do console, clique com o boto direito do mouse em Domnios e relaes de confiana do Active Directory e clique em Mestre de operaes.

5. Clique em Alterar. 6. Clique em OK para confirmar que deseja transferir a funo e clique em Fechar.

Transferir as funes mestre de RID, emulador PDC e mestre de infra-estrutura1. Clique em Iniciar, aponte para Ferramentas administrativas e clique em Usurios e computadores do Active Directory.

Clique com o boto direito do mouse em Usurios e computadores do Active Directory e 2. clique em Conectar-se ao controlador de domnio.OBSERVAO: necessrio executar esta etapa se no estiver no controlador de domnio para o qual deseja transferir a funo.

No necessrio executar esta etapa se j estiver conectado ao controlador do domnio para o qual deseja transferir a funo. Execute um dos seguintes procedimentos: Na caixa Digite o nome de outro controlador de domnio, digite o nome do controlador de domnio que ser o novo detentor da funo e clique em OK.-ouNa lista Ou, selecione um controlador de domnio disponvel, clique no controlador de domnio que ser o novo detentor da funo e clique em OK.

3.

4.

Na rvore do console, clique com o boto direito do mouse em Usurios e computadores do Active Directory, aponte para Todas as tarefas e clique em Mestre de operaes. Clique na guia apropriada para a funo que deseja transferir (RID, PDC ou infra-estrutura) e clique em Alterar.

5. 6.