חמשת התפקידים של FSMO
dcdiag /test:RidManager בודק את מצב הטווחים של RID Master.פרקי ההרצאה: חמשת התפקידים של FSMO
תמלול ההרצאה: חמשת התפקידים של FSMO
הטקסט המלא של הדקות הראשונות בהרצאה «חמשת התפקידים של FSMO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם ברוכים הבאים לסרט על פיזמו אלו הם חמשת התפקידים המיוחדים של DC. אנחנו הולכים בתור התחלה לראות שיש לנו דומיין קונטרולר אחד כרגע בכל הדומיין שלי בכל המתחם שלי.
פרקטיקיו נקודה לוקל יש דומיין קונטרולר אחד בואו ניגש למכונה השנייה למכונה וירטואלית מספר 2 לסרבר השני שלי ונהפוך אותו גם לדרגת לא סתם שרת פשוט אלא נהפוך את הסרבר 082 לדרגת דומיין קונטרולר.
זה אומר שהוא יהיה עם הקופי של כל היוזרים ועם קופי של כל הסיסמאות והוא יוכל לאשר כניסה לרשת והיא תפקד כמו דומיין קונטרולר לכל דבר ועניין.
זה להוסיף את התפקיד של דומיין קונטרולר. אפשר לעשות את זה דרך התפריטים פה, אני משתמש בפקודת dc-promo, domain-controller-promote ועכשיו מתחיל הוויזארד, שאלות של דומיין קונטרולר נקסט האם זה פורס חדש האם זה דומיין חדש או שזה יער קיים יער זאת חברה האם בתוך החברה הזאת זה סניף חדש או סניף קיים אם זה דומיין קיים זה אומר שהוא פשוט העתק של
דומיין קונטרולר אחר באותו הסניף אז add a domain controller תוסיף domain controller to existing domain לדומיין קיים במילים אחרות יהיו שני domain קונטרולרים באותו דומיין שני דיסים באותו דומיין שאם אחד נופל השני יעבוד במקומו הוא אומר לי תן לי איזשהו שם של מישהו של איזשהו
דומיין שנמצא פה פרקטיקיו נקודה לוקל נעשה סט שם וסיסמה שימו לב שם וסיסמה צריך להיות של מישהו של יוזר שהוא חבר בקבוצת דומיין אדמינס מישהו שהוא יש לו הרשאה של דומיין אדמין כי זה לא טריוויאלי שאתה יכול להעתיק את כל היוזרים ולקחת את כל היוזרים ולהעתיק אליך אתה צריך לספק בדומיין היעד, בדומיין שאתה הולך להצטרף אליו,
סיסמה של מישהו עם הרשאות של דומיין אדמין. נקסט, ועכשיו הוא מנסה להתחבר. הוא לא מצליח, ושימו לב איזה בעיה הוא כותב. Ensure the DNS is typed correctly. מה הוא מנסה לחפש ב-DNS?
בואו נראה. ldap/tcp, כף תחתון ldap, כף תחתון tcp, Domain Controller, בפרקטיק הוא נקודה לוקל. יפה, זה אומר שהוא לא מוצא רשומת SRV, הוא לא מוצא רשומת DNS שאתה תיתן לו הסבר מיהו ה-IP של הדומיין.
בואו ניכנס לכרטיס רשת ונראה מה קורה שם. בכרטיס רשת, הנה, תראו איזה DNS יש לנו, יש לנו DNS של גוגל, 888. פנית לגוגל, שאלת מי זה practicue.local אז הוא אמר חמוד, אני לא יודע מי זה practicue.local אתה לא צריך ללכת ל-DNS, אתה צריך ללכת ל-10.0.200 שזה הדומיין קונטרולר הראשון.
הוא יודע, יש שם רשומת dns, רשומת srv, שתסביר לך מי זה שרת ה-LDAP של פרקטיקיו דוט קום. LDAP זאת השפה של Active Directory. בואו ננסה שוב.
והנה זה מצליח, הוא מצא לנו פרקטיקיו נקודה לוקאל. הוא מראה לי רשימה של כל הדומיינים שהוא מצא. רשימה של כל הדומיינים בפורס שהוא מצא. זאת אומרת, פורס זאת חברה, דומיינים זה סניפים של החברה.
סניף ברוסיה, סניף בסין, כל סניף שמתנהל עצמאית. אז כרגע הוא מראה לי שיש לי סניף אחד, דומיין אחד בפורסט.
טוב מאוד. באיזה סייט פיזי דומיין יכול להיות מחולק לסייטים, לאזורים גיאוגרפיים שונים? אנחנו נדבר על זה.
המטרה של חלוקה לסייטים זה בעצם לשלוט על הרפליקציה בין דומיין קונטרולרים. בעצם לשלוט על הרפליקציה שעוברת. כרגע יש לי סייט אחד, אני עושה נקסט. הוא שואל אותי האם להתקין על השרת הזה.
שימו לב, זה הולך להיות שרת דומיין קונטרולר שני. האם להתקין עליו DNS? האם להתקין עליו Global Catalog? האם לעשות אותו Read Only?
אני בינתיים, אני ממליץ תמיד להתקין DNS ו-Global Catalog. זאת ההמלצה שלי, וזאת דרך אגב ההמלצה של מייקרוסופט, אז נעשה נקסט.
הוא בודק ב-DNS, אומר לי פה שנקודה לוקל, דיליגיישן מנקודה לוקל, לא קיים לפרקטיקיו, ולכן מהאינטרנט אי אפשר יהיה להגיע אליי.
אל תדאג, אני לא צריך את זה באינטרנט. המטרה של ה-practical.local זה אבטחה מקומית, אין פה מטרה שמישהו יגיע פה מאינטרנט אליי. איפה נשים את הסיסמאות, את ה-database, איפה נשים את ה-sysvol עם כל ה-group policy?
נקסט. מה הסיסמה למקרה חירום, למקרה שבו נצטרך לשחזר אקטיב דירקטורי? אנחנו נגיע לפרק של גיבויים ושחזורים.
האם לשים את כל מה שכתבת כקובץ תשובות? לא, לא צריך, לא צריך את זה כקובץ תשובות. נקסט. זהו, כרגע מה שהוא עושה, הוא עושה לי רפליקציה של כל הדומיין, הוא מעתיק את כל הנתונים מדומיין קונטרולר ראשי, מדומיין קונטרולר היחיד שיש, לשרת החדש הזה שהבאתי אותו מהחנות, מעתיק את כל היוזרים, והוא הולך להיות דומיין קונטרולר אחד לאחד
כמו ההוא. יהיו לו את כל אותם הנתונים והוא יוכל לשנות את כל המידע כמו שההוא יכול לשנות. ועכשיו אני אשאל אתכם שאלה מעניינת, הם שתיהם שווים לחלוטין, נכון?
שתיהם יכולים לשנות טלפון ביוזר. אם זה ישנה את הטלפון וההוא ישנה את הטלפון בו זמנית הם ישנו את הטלפון אז אני אספר לכם מה קורה במקרה של התנגשות ברגע שאתה מחליף טלפון למשתמש הוא מחכה 15 שניות לפני שהוא מודיע לדומן קונטרולר השני שהיה שינוי הוא ממתין 15 שניות למה למקרה שיהיו לו כמה שינויים נניח אתה מבצע סדרה של שינויים אז לא לעשות סתם רפליקציות סתם העתקות הוא
מחכה 15 שניות אוסף את החבילה ובעולם של המחשבים 15 שניות זה הרבה זמן אוסף את כל השינויים של החמש עשרה שניות האחרונות ומעביר אותם כחבילה אחת, כמכה אחת לשרת השני.
אבל יש פה בעיה, מה יקרה עם בחמש עשרה שניות האלו? את אותו הטלפון גם השרת השני החליף. זאת אומרת, מנהל רשת אחד, יוני, נכנס לשרת אחד, החליף טלפון, ועידו, מנהל רשת השני, נכנס בדיוק לשרת השני והחליף שם הטלפון.
התנגשות. ובזמן ההתנגשות, חברים, האחרון שעשה את השינוי, הוא כבר עושה את הריסטארט, הוא כבר העתיק את כל האקטיב דירקטורי.
האחרון שעשה את השינוי נצח, וזאת בעצם המהות של האקטיב דירקטורי, שכולם אקטיב אקטיב, כולם פעילים, כולם מאסטרים, כולם מחליפים, במקרה של התנגשות האחרון בזמן מנצח.
וזה אחלה מנגנון שהמציאו אותו בשנת 2000, באקטיב דירקטורי שיצא בשנת 2000. לפניו מה שהיה שרק אחד, רק מאסטר אחד היה, כל שאר דומיין קונטרולרים היו בריד אונלי, לא היו מחליפים כלום.
זאת אומרת היו לך מאסטר אחד ותשע ריד אונלי או מאה ריד אונלי בימים של NT4 לפני 2000. כי הם פחדו מההתנגשות הזאת. ובשנת 2000 הם החליטו לקחת את הסיכון ועשו שכל הדומיין קונטרולרים אקטיב אקטיב ואם יש התנגשות האחרון מנצח והרעיון שלהם היה נהדר.
אבל בכל זאת יש חמישה תפקידים מאוד מאוד חשובים ומאוד מאוד רגישים שאמרו שיהיה רק מאסטר אחד. רק מאסטר אחד.
ואלו הם פיזמו פלקסיבל גמיש פלקסיבל איפה הראשון זה פלקסיבל סינגל מאסטר אופרשן פלקסיבל סינגל מאסטר אופרשן זה אומר חמשת התפקידים פלקסיבל שהם גמישים אפשר להעביר אותם משרת לשרת אבל רק סינגל סינגל רק מאסטר אחד יכול להיות ועל זה השיעור שלנו.
השיעור שלנו מדבר על מצב שיש לנו שני דומיין קונטרולרים ואנחנו רוצים להעביר את חמשת התפקידים מאחד לשני. בואו ניכנס פה בכובע של האדמיניסטרטור ונכתוב NetDom Query Fismo.
NetDom Query Fismo זאת אחלה פקודה שמראה לי מי הוא השולט בכל חמשת התפקידים האלו. ואנחנו יכולים לראות שיש לנו חמישה תפקידים שאנחנו הולכים ללמוד עליהם. סכמה מאסטר, דומיין ניים מאסטר, ריטפול ואינפרסטרקצ'ר מאסטר כל החמשת התפקידים כרגע מי שאחראי על כל אחד מאלו זה השרת הראשון
השרת השני הוא דומיין קונטרולר לכל דבר ועניין זאת אומרת הוא דומיין קונטרולר בואו נראה שהוא באמת דומיין קונטרולר איך אנחנו נראה את זה אנחנו רואים פה למעלה אתם רואים פה שהכלי הוויזואלי הכלי הגרפי הזה מחובר לשרת השני והשרת השני נמצא ברשימת דומיין קונטרולרס אתם רואים בדומיין קונטרולרס יש לו את כל הנתונים
הוא יכול ליצור לי יוזרים פה, שימו לב אני בשרת השני. הנה הוא יוצר לי יוזר שקוראים לו יוני צ'קה. הנה עשה לי יוזר יוני צ'קה, ועשה לי פספורט פה, פספורט של מייקרוסופט.
כן, נקסט, ואנחנו ניקח את יוני צ'קה, האהוב שלנו, ונכניס אותו, ניתן לו הרשאות של דומיין אדמין. זה אומר שכל מחשב שהוא יגיע הוא הולך להיות אדמיניסטרטור, וכל DC הוא הולך להיות אדמיניסטרטור.
הוא הולך להיות אדמיניסטרטור של כל הדומיין. ובואו נבדוק דרך אגב מה קורה בשרת, ניקח את הכלי הגרפי הזה, נעשה לו רייט קליק, צ'יינג' דומיין קונטרולר, ונגיד לכלי הגרפי הזה להתחבר לדומיין קונטרולר הראשון.
התחברנו לדומיין קונטרולר הראשון, ושימו לב יונישקה עוד לא הגיע לפה. ניתן לזה 15 שניות והוא יגיע לפה. אם אין לכם סבלנות לחכות, אתם יכולים להיכנס לסייטס אנד סרוויסס, בתוך הסייטס אנד סרוויסס לסייטים, לסרוורס, להגיע לשרת הראשון ולהגיד לו תבוא ותמשוך רפליקציה מהשרת השני.
אני רואה פה שהם עוד לא הסתדרו אחד על השני. תראו את זה, היה צריך להיות פה אופציה של kcc עוד לא בנה טופולוגיית רפליקציה. הוא עוד לא בנה טופולוגיית רפליקציה.
טוב, בואו נעשה דבר כזה, נעשה לו ריסטארט. אני חושב שריסטארט יעזור לו. בגלל שהוא עלה פעם ראשונה, עוד אין טופולוגיה לרפליקציה אז עשינו יוזר ותראו איזה פשלה עשינו יוזר והיוזר הזה לא הגיע בכלל לצד השני דומיין קונטרולר הראשון בכלל לא מודע לזה שיש את היוזר בואו ניתן לו לעלות חזרנו מ-re-start הנוסף שנתנו לשרת השני שלנו החדש והנה kcc יצר לנו רפליקציה ואנחנו יכולים לראות שבתוך sites and
services בשרת הראשון אנחנו יכולים לבוא אליו ולהגיד לו תמשוך את הרפליקציה מהשרת השני את קליק רפליקייט ניו תמשוך ולבוא לשרת השני ולהגיד לו חמוד אתה תמשוך את כל הרפליקציה מהשרת הראשון תראו הוא עוד לא יצר ניתן לו קצת ליצור פה אנחנו יכולים לעשות ריסטארט לנט לוגון בשרת בסדר ניתן לו זמן הוא יסתדר פה אתם רואים כרגע הראשון מושך מהשני
אבל השני עוד לא מושך רפליקציות מהראשון ניתן לו קצת זמן הוא יסתדר לבד בואו בינתיים נסגור את הסייטס אנד סרוויסס ונפתח את האקטיב דירקטורי Active Directory Users and Computers, אדוק Active Directory Users and Computers מחובר לשרת השני כרגע, נראה פה את יונישקה
שלנו ונעשה Change Domain Controller ונתחבר לשרת הראשון ל-DC הראשון ונראה פה שיונישקה גם הגיע לפה ואנחנו יכולים לראות שהוא חבר גם בדומיין Users כמו כולם אבל גם דומיין אדמין ושימו לב דומיין אדמין הוא לא רק אדמיניסטרטור בשרתים הוא גם אדמיניסטרטור בכל תחנת עבודה שהוא יגיע אליה.
טוב מאוד, מה קורה עם הפיזמו? חברה, אנחנו פה בשביל פיזמו, שכחנו? עשינו שני דומיין קונטרולרים במטרה להעיף את הסרבר 081, הוא התיישן, הוא נהיה זקן, אנחנו קנינו שרת חדש שקראנו לו שרת השני, ואת הראשון אנחנו רוצים לזרוק לפח זבל או למכור לשטחים.
בשביל זה אנחנו צריכים לקחת ולהעביר את חמשת התפקידים שרק אחד יכול להיות בהם מאסטר. אז בואו נעשה נט-דום query-phismo ונתחיל לדבר על כל אחד מהתפקידים ולהעביר אותם משרת