13、活动目录账户管理与FSMO角色部署全解析

活动目录账户管理与FSMO角色部署全解析

1. FSMO角色部署要点

FSMO（Flexible Single Master Operations）角色在活动目录（AD DS）环境中至关重要，因此在部署持有这些角色的域控制器时需谨慎考虑。要考虑域和林的功能级别，因为某些功能不能很好地协同工作。

1.1 单域林环境

在单域林环境中，基础设施主机（Infrastructure Master）的作用不大，其服务基本不会被使用。因为没有远程域可供其比较域信息，所以该域控制器是否为全局编录服务器无关紧要。实际上，在单域环境中，所有域控制器都可启用为全局编录服务器，且不会产生额外的复制成本。默认情况下，域内的第一个域控制器将持有所有FSMO角色，同时也是全局编录服务器。此外，应指定另一个域控制器作为备用服务器，无需对该备用域控制器进行特殊配置。

1.2 多域林环境

在多域林环境中，五个FSMO角色需部署在能发挥最大效能的域控制器上。在决定这些域控制器的部署位置时，需考虑以下标准：
- 林范围角色 ：
- 架构主机（Schema Master） ：该角色不常使用，通常仅在初始安装AD DS后进行架构更改或提升林的功能级别时才需要在线。应将其放置在架构管理员易于访问的站点，确保架构更改在与管理员位于同一基于LAN的基础架构内的域控制器上进行，这从管理和安全角度都有意义。为减少广域网（WAN）链路的流量，可将其放置在林内域控制器最多的站点，但需权衡复制成本与管理需求。
- 域命名主机（Domain Naming Master）