主域控制器损坏后
AD域备份和恢复
在这里要输入正确的具有管理员权限的帐号和密码才可以，输入后点“确定”，就会出现一个“计划的作业选项”:
点击上述画面中的“属性”:
在这里，可以设置计划作业，以方便系统以后自动按照计划进行备份，就不用一次次的手动备份了。设置完成后，就回到了刚刚的画面:
这次点击“高级”:
此时请中断计算机系统中的其他操作，因为片刻后AD数据库的备份操作就会开始进行了。
AD的还原：
还原AD数据库
相对于AD数据库的备份操作，AD数据库的还原操作就显得稍微有些复杂了。因为除了按备份向导的提示进行操作外，还需要进行一些额外的操作才能顺利完成还原。主要的原因是因为AD服务正常运行时，是不能够进行AD数据库还原操作的。
在Windows的登陆窗口，如果你的服务器只是成员服务器，那么请输入本地管理员的密码，如果是域控制器，请输入还原密码。什么?还原密码是什么?看看我的第一篇文章吧。
继续点击“开始-运行”，输入“Ntbackup”，并回车:
这回可别再选择备份向导了，要用“还原向导(高级)”:
第二台域控制器:
计算机名:
IP:192.168.5.2
子网掩码:255.255.255.0
DNS:192.168.5.2
灾难情况:第一台域控制器由于硬件原因，导致无法启动。
这时我们会发现下面的客户端虽然还可以利用本地缓存进行登陆，但已经无法再利用域资源了，我们的目的就是要让第二台额外域控制器来接替第一台的工作，也就是说把FSMO和GC全部转移到额外域控制器上来。这里要分成两步:
所以AD数据库的还原操作应该按以下方式进行：
1.进入目录服务还原模式
重新启动计算机在进入初始画面前，按F8键进入Windows高级选项菜单界面。此时可以通过键盘上的上下方向键选择“目录服务还原模式（只用于Windows域控制器）”项。
删除WindowsAD域控制器的三种方法
删除WindowsAD域控制器的三种方法一、域控可以正常工作1、删除辅助域控：单击“开始”，单击“运行”，然后键入以下命令：dcpromo /forceremoval然后按提示操作。
2、删除主域控：1)打开Active Directory 用户和计算机->Domain Controllers,右键点击所要删除的辅助域控,在菜单上选择删除.确定删除这台域控制器永远为脱机并且不再能用，运行Active Directory 安装向导（dcpromo）将其降级确定删除然后到控制面板-->管理工具-->AD站点和服务-->Sites-->Default-First-Site-Name-->servers下面找到其他的辅助域服务器在删除备份域服务器前先要把其下面的NTDS Settings删除；他会有3种选择：1.域控制器降级，继续当计算机使用2.重新开启AD复制3.这台域控制器永远为脱机并且不再能用Active Directory 安装向导（dcpromo）将其降级。
删除NTDS Settings以后就可以把辅助域服务器删除掉了。
二、某台辅助域控已经不可用：在主域控上使用ntdsutil来清除无效的域控，具体操作方法可以参考下面的链接：/kb/216498/zh-cn三、上面使用的是Microsoft推荐的标准方法，但我发现使用图形界面也能彻底删除已经彻底损坏的域控。
到管理工具-->AD站点和服务-->Sites-->Default-First-Site-Name-->servers下面找到其他的辅助域服务器在删除备份域服务器前先要把其下面的NTDS Settings删除；再删除DNS服务器中所有记录并重启，也能够彻底删除掉废弃的域控。
但如果不重启主域控，则不能使用原域控的主机名作为新域控来重新加入。
主副 域控 工作机制
主副域控工作机制主副域控工作机制引言：在计算机网络中，域控制器是一种重要的服务器角色，用于管理和控制域内的计算机和用户。
主副域控制工作机制是一种常见的配置方式，用于提高域控制器的可用性和容错性。
本文将详细介绍主副域控制工作机制的原理和实施方法。
一、主副域控制工作机制的概述主副域控制工作机制是指在一个域中同时配置一个主域控制器和一个副域控制器的方式。
主域控制器负责处理域内的所有操作，而副域控制器则作为备份，以确保在主域控制器故障时能够无缝切换并继续提供服务。
这种工作机制可以提高域控制器的可用性和容错性，确保网络的稳定运行。
二、主副域控制工作机制的原理主副域控制工作机制的原理是通过域同步和故障切换来实现的。
主域控制器和副域控制器之间通过域同步机制保持数据的一致性。
主域控制器将域内的所有更改记录下来，并将这些更改传输给副域控制器，以确保副域控制器上的数据与主域控制器上的数据保持同步。
当主域控制器发生故障时，副域控制器会自动接管主域控制器的工作，并继续提供服务，从而实现故障切换。
三、主副域控制工作机制的实施方法1. 配置主域控制器：首先，需要选择一台服务器作为主域控制器，并安装相应的操作系统和域控制器软件。
然后，进行域控制器的配置和设置，包括域名、管理员账户、安全策略等。
最后，将主域控制器添加到域中，并进行必要的测试和验证。
2. 配置副域控制器：选择一台服务器作为副域控制器，并按照相同的步骤进行操作系统和域控制器软件的安装。
在配置过程中，需要指定主域控制器的名称和地址，以便副域控制器能够与主域控制器进行域同步。
完成配置后，将副域控制器添加到域中，并进行测试和验证。
3. 配置域同步：在主副域控制器之间配置域同步，以确保数据的一致性。
域同步可以通过多种方式实现，如使用文件复制、数据库复制或日志复制等。
根据实际情况选择合适的同步方式，并进行相应的配置和测试。
4. 测试和验证：完成主副域控制器的配置后，需要进行测试和验证，以确保主副域控制工作机制的正常运行。
域控制器灾难恢复方法
灾难恢复方法一.目的本文对域控制器的灾难恢复提供指导二．摘要本文讲述了多域控制器环境下由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的功能工作使Active Directory正常运行，并在硬件故障排除后使损坏的主域控制器恢复三．目录Active Directory操作主机角色概述环境分析从AD中清除主域控制器 对象在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作设置额外域控制器为ＧＣ（全局编录）重新安装并恢复损坏主域控制器附:用于检测AD中五种操作主机角色的脚本四．正文1. Active Directory操作主机角色概述Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）：架构主机 schema master、域命名主机 domain naming master相对标识号 (RID) 主机 RID master主域控制器模拟器 (PDCE)基础结构主机 infrastructure master而每种操作主机角色负担不同的工作，具有不同的功能：架构主机具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。
这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。
架构主机是基于目录林的，整个目录林中只有一个架构主机。
域命名主机具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC：向目录林中添加新域。
从目录林中删除现有的域。
添加或删除描述外部目录的交叉引用对象。
相对标识号 (RID) 主机此操作主机负责向其它 DC 分配 RID 池。
只有一个服务器执行此任务。
在创建安全主体（例如用户、组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。
每一个Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。
RID 主机通过分配不同的池来确保这些 ID 在每一个 DC 上都是唯一的。
Windows错误代码大全
Windows错误代码大全Windows错误代码大全3001 0x0BB9 指定的打印机驱动程序当前正在使用。
3002 0x0BBA 找不到缓冲文件。
3003 0x0BBB 未发送StartDocPrinter 调用。
3004 0x0BBC 未发送AddJob 调用。
3005 0x0BBD 指定的打印处理器已经安装。
3006 0x0BBE 指定的打印监视器已经安装。
3007 0x0BBF 该指定的打印监视器不具备所要求的功能。
3008 0x0BC0 该指定的打印监视器正在使用中。
3009 0x0BC1 当打印机有作业排队时此操作请求是不允许的。
3010 0x0BC2 请求的操作成功。
直到重新启动系统前更改将不会生效。
3011 0x0BC3 请求的操作成功。
直到重新启动服务前更改将不会生效。
3012 0x0BC4 找不到打印机。
3013 0x0BC5 已知打印机驱动程序不可靠。
3014 0x0BC6 已知打印机驱动程序会伤害系统。
3020 0x0BCC 在%1 上检测到电源中断。
服务器已经暂停。
3021 0x0BCD 在%1 的时候恢复供电。
服务器恢复操作。
3022 0x0BCE 因为电池快没电，所以UPS 服务会在%1 关机。
3023 0x0BCF 用户指定的关机命令文件的配置有问题。
不过UPS 服务已经启动。
3025 0x0BD1 已经替换驱动器%1 上损坏的扇区(即时修复)。
没有丢失数据。
您应该尽早运行CHKDSK，以便完全还原性能，并补充卷的备用扇区池。
即时修复是在处理远程请求时进行的。
3026 0x0BD2 驱动器%1 的HPFS 卷上发生磁盘错误。
错误是在处理远程请求时发生的。
3027 0x0BD3 用户帐户数据库(NET.ACC) 已损坏。
本地安全系统正在用在%2 的%1 上备份来替换损坏的NET.ACC。
此刻之后对数据库的任何更改会全部丢失。
3028 0x0BD4 找不到用户帐户数据库(NET.ACC)。
主域控制器两种故障恢复的处理方式
主域控制器两种故障恢复的处理⽅式主域控制器故障的两种情况：主域控制器出现故障后仍可⽤与主域控制器出现故障后彻底不能⽤的的处理⽅式。
AD：主域控制器⼜简称为PDC，故障通常会出现两种情况，但是都需要额外域控制器的帮助，下⾯是两种故障的解决⽅案。
主域控制器故障，有两种状况：主域控制器故障仍可⽤和主域控制器故障彻底玩完，看看两种故障的处理⽅式咯1、主域控制器故障但仍可⽤主域控制器=服务器A；额外域控制器=服务器B在服务器B上安装Windows server 2003的管理⼯具，将服务器B升级为新主域控制器，A将⾃动降级成额外域控制器，然后再原主域控制器服务器A上运⾏dcpromo命令将其本⾝从AD中删除----转移操作主机⾓⾊--连接额外域控制器A、在主域控制器 [管理⼯具]--[AD⽤户和计算机]B、右键单击选中[]域，选择[连接到域控制器]C、在[连接到域控制器]属性对话框中[选择⼀个可⽤的域控制器]列表中选择当前域的额外控制器[],点击确定。
--转移RID主机⾓⾊A、⽤⿏标右键单击[]，选择[操作主机]B、在[操作主机]属性对话框，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改RID主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在AD对话框中的“你确定要传送操作主机⾓⾊？”点击是。
--转移PDC主机⾓⾊A、在[操作主机]属性对话框，单击[PDC]选项卡，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改PDC主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在更改过程中弹出的对话框，单击是--转移结构主机⾓⾊A、在[操作主机]属性对话框，单击[结构]选项卡，在“操作主机”列出的是原主域控制器的计算机名称；在要传送操作主机⾓⾊到下列计算机，请单击“更改”，单击[更改]按钮，将更改结构主机⾓⾊到下⾯列出的额外域控制器的计算机上，单击[更改]，在更改过程中弹出的对话框，单击是--转移域命名主机⾓⾊A、在[管理⼯具]中运⾏[AD域和信任关系]B、右键单击[AD域和信任关系]，从菜单中选择[连接到域控制器]，将弹出[连接到域控制器]对话框，选中[原额外域控制器的计算机名称]单击确定。
Windows错误代码大全（2）1000---1700
Windows错误代码⼤全（2）1000---17001001 递归太深；堆栈溢出。
1002 窗⼝⽆法⽤来发送消息。
1003 ⽆法完成此项功能。
1004 标志⽆效。
1005 卷不包含已识别的⽂件系统。
请确认所有需要的⽂件系统驱动程序都已经加载，⽽且卷没有任何损坏。
1006 某⽂件的卷已在外部改变，因⽽打开的⽂件不再有效。
1007 要求的操作⽆法以全屏幕模式执⾏。
1008 试图引⽤并不存在的符号。
1009 配置注册表数据库已损坏。
1010 配置注册表主键⽆效。
1011 ⽆法打开配置注册表主键。
1012 ⽆法读取配置注册表主键。
1013 ⽆法写⼊配置注册表主键。
1014 必须使⽤⽇志⽂件或其他副本来恢复注册表数据库中的某个⽂件。
恢复成功。
1015 注册表已损坏。
可能是⼀个包含注册表数据⽂件的结构已损坏，也可能内存中该⽂件的系统映像已损坏，或者因为备份副本（或⽇志）不存在（或损坏）导致⽆法恢复该⽂件。
1016 由注册表引起的 I/O 操作发⽣了不可恢复的错误。
注册表将不能读取、写出或刷新包含注册表系统映像的其中⼀个⽂件。
1017 系统试图将⽂件加载或还原到注册表中，但是，指定的⽂件不是注册表⽂件格式。
1018 试图在注册表键（已经标记为删除）中完成的操作⾮法。
1019 系统⽆法在注册表⽇志⽂件中分配所需的空间。
1020 ⽆法在已经有⼦键或键值的注册表项中创建符号链接。
1021 在易失的⽗键下不能创建固定的⼦键。
1022 通知的更改请求已经完成，并且返回信息还没有被送到调⽤者的缓冲区中。
调⽤者需要列举所有⽂件以找到改动的内容。
1051 已将停⽌控制发送给与其他运⾏服务相关的服务。
1052 所要求的控制对此服务⽆效。
1053 服务没有及时地响应启动或控制请求。
1054 ⽆法为该服务创建线程。
1055 服务数据库已锁定。
1056 该服务的实例已在运⾏。
1057 帐户名⽆效或者不存在，或者指定帐户名的密码⽆效。
2003主域损坏后辅域升级为主域并清理
主域控崩溃，恢复活动目录当网络中的Windows Server 2003的Active Directory主域控制器完全损坏并且不能恢复时，为了保证业务的正常运转，需要将网络中的额外域控制器升级到主域控制器角色。
我们的网络拓扑如下，单域dc01为所有主机角色和GC,DC01和DC02均已安装DNS，并且互为复制。
我们将通过NTDSUTIL工具来占用dc01的操作主机角色，并且设置DC02为全局编录.这里将dc01.hisense.local离线来模拟主域控制崩溃。
1.占用操作主机角色（1）在开始-所有程序-Windows Support Tools-命令提示符（2）输入ntdsutil（3）输入roles（4）输入connections（5）输入connect to server dc02.hisense.local（6）输入quit（7）占用域命名主机角色，输入seize domain naming master ，回车，出现对话框，点是从上图可以看出先进行主机角色的传送，当传送不能成功时进行占用。
（8）占用基础架构主机角色，输入seize infrastructure master（9）占用PDC,输入seize pdc（10）占用RID角色，输入seize RID master（11)占用架构主机角色，输入seize schema master（12）输入2次quit，退出ntdsutil，输入netdom query fsmo，查看操作主机角色至此，所有操作主机角色已经到了DC02.hisense.local上了。
2.在DC02上设置全局编录（1）开始-管理工具-Active Directory 站点和服务（2）单击sites-“default-first-site-name”-servers，选择dc02，右键单击NTDS Sites，选择属性（3）在查询策略中，选择default query policy，并选中全局编录。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
主域控制器损坏后，额外域控制器强占FSMO 测试过程和结果..
其实关于AD灾难恢复，对于（多元化发展）技术员来说，太深入了解没啥用处，最主要明白解决问题要用到那些知识就OK了～～
本贴说明：
....针对主域损坏，必须以最快速度解决；其它内容不是本帖考虑重点，如：Exchange、ISA、已经部署于主域上服务器软件...等！！
AD、DC说明：
.域名：
..主域：DC-ISA-NLB-1
..副域：DC-ISA-NLB-2
.系统：2003企业版
故障情况：（真实环境跑完全过程..）
..主域崩溃，副域无法正常工作，如：
....无法浏览 中 Active Directory用户和计算机，提示无法连接错误；
....AD管理项目均报错，组策略.....等；
....域用户无法登录；
解决方法：（以上是在副域上操作）
..任务要求：最快速度解决故障，令副域正常工作，使域用户可以登录；
..使用命令：ntdsutil.....AD工具
..过程：（大概6-8分钟）
.
登入Windows 2000 Server 或Windows Server 2003 成員電腦或樹系(要抓取FSMO 角色的地方) 中的網域控制站。
建議您登入要指派FSMO 角色的網域控制站。
登入的使用者必須是要傳輸架構主機，或網域命名主機角色的企業系統管理員群組成員；或正要傳輸PDC 模擬器、RID 主機和基礎結構主機等角色，其所在網域的網域系統管理員群組之成員。
.
按一下[開始]，按一下[執行]，在[開啟]方塊中輸入ntdsutil，然後按一下[確定]。
.
輸入roles，再按下ENTER。
.
輸入connections，再按下ENTER。
.
輸入connect to server servername，然後按ENTER，其中servername是您要指派FSMO 角色的網域控制站之名稱。
.
在server connections提示字元中輸入q，然後按下ENTER。
.
輸入seize role，其中role是您要抓取的角色。
如需可以抓取的角色之清單，請在fsmo main tenance提示字元中輸入?，然後按下ENTER；或直接查看本文件開頭所列的角色清單。
例如，如果要抓取RID 主機角色，請輸入seize rid master。
唯一的例外是PDC 模擬器角色，該角色的語法是
seize pdc，並非seize pdc emulator。
.
請在fsmo maintenance提示字元中輸入q，然後按下ENTER，獲得存取ntdsutil提示字元的權限。
輸入q，然後按下ENTER，結束Ntdsutil 公用程式。
C:\Documents and Settings\Administrator.LH>ntdsutil
ntdsutil: metadata cleanup
metadata cleanup: connections
server connections: connect to server dc-isa-nlb-2
绑定到 dc-isa-nlb-2 ...
用本登录的用户的凭证连接 dc-isa-nlb-2。
server connections: q
metadata cleanup: q
ntdsutil: roles
fsmo maintenance:Seize domain naming master ‘点OK’
fsmo maintenance:Seize infrastructure master ‘点OK’
fsmo maintenance:Seize PDC ‘点OK’
fsmo maintenance:Seize RID master ‘点OK’
fsmo maintenance:Seize schema master ‘点OK’
‘关闭CMD窗口’...～～
以上操作，快得话（三分钟）就完成了，然后回到系统内，你会发现能打开AD相关内容了，那就进行余下结尾操作吧：
..1.打开‘Active Directory用户和计算机’-‘Domain Controllers’；
.....选中‘DC-ISA－NLB-1’然后按删除，对话框‘选择第三项’；
..2.打开‘管理站点和服务’-‘Site’-‘Default-First-Site-Name’-‘Servers’
.....1.点击‘DC-ISA－NLB-1’；
...........a.选中分支‘NTDS Settings’；
...........b.点击‘删除’，对话框‘选择第三项’；
.....2.点击‘DC-ISA－NLB-1’然后按删除，对话框选择‘第三项’；
.....3.点击‘DC-ISA－NLB-2’
...........a.选中分支‘NTDS Settings’
...........b.点击右键选择‘属性’，全局编录前打上勾；
完工....以上搞点后，余下就可以慢慢修复你的主域了。
注释：关于利用强占（Seize）方式解决问题有什么后遗症，我就没去深入研究了（现在专研ISA中），有兴趣了解朋友可以去微软查查资料...
题外话：
在企业中，出现以上状况对管理员是非常头痛事情，要在最段时间解决，必须依赖你的前瞻性，如：
...1.尽可能避免在域DC部署第三方服务器软件；...否则折磨死你了..
...2.良好备份AD数据习惯；...在解决问题时可以节省很多时间..
......如：域DC出现故障，不让你降级，也不让新DC加入...但新DC又必须加入..够郁闷事情. ..........没时间限制，大家都可以慢慢研究，但实际情况呢.--今天刚好碰上，这文章也是解决完后所写...
...3.非要部署服务器软件到DC上，必须先在模拟机上跑一段时间；...减少突发问题..。