Active Directory 产品操作指南

使用具有域管理员或备份操作员凭据的帐户登录域控制器。

启动 Windows 备份向导。

默认情况下， Always Start in Wizard Mode 复选框已选中。可不管此选项，单击 Next。

选择 Back up files and settings 选项，然后单击 Next。

选择 Let me choose what to back up 选项，然后单击 Next。

在 Items to Back Up 窗口，单击加号展开 My Computer 。

从展开的 My Computer列表中，选中 SystemState 选项，然后单击 Next。

选择存储备份的位置。

为该备份输入名称，然后单击 Next。

在向导的最后一页，选择 Advanced。

不要更改 Type of Backup的默认选项。应选择 Normal ，不选中复选框 Backup migrated remote storage data。 单击 Next。

选中 Verify data after backup 选项，然后单击 Next。

在 Backup Options 对话框中，选择备份选项，然后单击 Next。

只允许所有者和管理员访问备份数据及此介质上附加的任一备份：单击 Next。

在 When to back up 框中，根据需要选择适当的选项，然后单击 Next。

若满意所有已选选项，单击 Finish 按所选的计划执行备份操作。

注意： 也可通过适当的参数使用命令行的 backup 来备份系统状态。关于详细信息，可在命令提示符下键入 ntbackup -? 来查阅命令行参考。

使用具有域管理员、本地管理员或备份操作员凭据的帐户登录域控制器。

选择以下选项之一启动 Windows 备份向导：

单击 Backup Wizard 按钮，然后单击 Next。

选择 Back up selected files, drives, or network data。

在 Items to Back Up中，单击 SystemState 。然后选择含有系统文件的驱动器号，再单击系统磁盘。之后单击 Next。

在 Where to Store the Backup 框中，选择以下选项之一来选定备份介质类型：

在 Backup Media or File Name 框中，选择下列之一：

单击 Next后，会出现 Completing the Backup Wizard 屏幕。本屏幕总结了此备份作业的选项。核实 Prompt to replace data 已列入 How 类别中。若没有，单击 Advanced 按钮，然后单击 Next 直至到达 Media Options 屏幕，之后选择 Replace the data on the media with this backup。

完成剩余的向导屏幕，然后单击 Finish 开始备份操作。当 Replace Data 对话框出现时，单击 Yes 用此备份覆盖磁带或文件路径上现有的备份。进度指示器显示出备份操作的状态。

重新启动域控制器。

当屏幕显示选择操作系统时，按 F8。

从 Windows Advanced Options 菜单上选择 Directory Services Restore Mode。

根据提示，以本地管理员身份登录。

打开命令提示符。

寻找此域控制器的出站伙伴，键入： repadmin /showrepl /repsto <本地域控制器名称> 然后按 ENTER。

此 repadmin 命令将输出包含所有出站邻居信息的清单。对每一邻居，验证最近的同步尝试成功，并有指示还原后已复制的时间戳。

若复制未成功，可强制进行此域控制器与其出站伙伴间的复制，胜于等待下一复制周期。根据命令提示符，运行 repadmin /syncall /ed /A /P /q。

检查上一步命令输出中的复制错误。若无错，则复制成功。为完成复制，必须矫正任何复制错误。

在目录服务还原模式下，启动 Windows Server 2003 备份工具。依次单击 Start > Programs > Accessories > System Tools > Backup。

单击 Restore Wizard 按钮，然后单击 Next。

选择合适的备份位置并确认至少选择了 System disk 和 SystemState 容器。

单击 Advanced 按钮。

在 Restore Files to list下，选择 Original Location ， 然后单击 Next。

在 Advanced Restore Options 窗口，复选:

单击 Finish。

还原完成时，单击 Close，然后单击 Yes 重新启动计算机。

从命令提示符或在 Run 文本框中，键入 repadmin /options +DISABLE_INBOUND_REPL 然后按 ENTER。

核实选项已设。您应得到此消息：repadmin running command /options against server localhost 。

从命令提示符或在 Run 文本框中，键入 repadmin /options . -DISABLE_INBOUND_REPL 然后按 ENTER。

核实选项已设。您应得到此消息：repadmin running command /options against server localhost 。

从命令提示符或在 Run 文本框中，键入 ntdsutil 启动工具。

在 ntdsutil: 提示符下，键入 authoritative restore ，然后按 ENTER。

有关 Ntdsutil 命令行工具的帮助信息，可随时键入 help 。

键入 List NC CRs ，然后按 ENTER。

NTDSUTIL 将输出还原后可用的应用程序分区列表，以及相关的交叉引用。注意交叉引用的可分辨名称，以及对应于要还原的应用程序分区的应用程序分区可分辨名称。

键入 restore subtree <App Partition DN>，其中 App Partition DN 是以上提及的应用程序可分辨名称。

Ntdsutil 将提供确认对话框。单击 Yes 继续。

输出消息会指示操作状态。此处应不会失败。

键入 restore object <Cross Ref DN> （其中 Cross Ref DN 是以上提及的应用程序分区交叉引用可分辨名称），然后按 ENTER 。

Ntdsutil 将提供确认对话框。单击 Yes 继续。

输出消息会指示操作状态。此处应不会失败。

退出 Ntdsutil 工具。

从命令提示符或在 Run 文本框中，键入 ntdsutil 启动工具。

在 ntdsutil: 提示符下，键入 authoritative restore ，然后按 ENTER。

有关 Ntdsutil 命令行工具的帮助信息，随时键入 help 。

要还原对象，请键入 restore object <object DN> （其中 object DN 是要标记授权的对象可分辨名称）。

若要还原 corp.contoso.com 域中已删除的名为 John Smith 的用户，命令类似于： restore object CN=John Smith,CN=Users,DC=corp,DC=contoso,DC=com。可分辨名称中有空格或其他特殊字符时，请始终将可分辨名称放入引号中。

按 ENTER 键。Ntdsutil 将开始标记对象授权。输出消息会指示操作状态。最常见的失败原因是可分辨名称指定错误，或备份的 DN 不存在（这在试图还原备份后创建的用户时会发生）。

退出 Ntdsutil 工具。

还原操作完成后，在正常启动 Windows 模式下重新启动计算机。Active Directory 和证书服务自动删除其已从备份中还原的数据，并执行完整性检查并重新索引数据库。

能够登录系统后，浏览 Active Directory 。验证所有备份前目录中存在的用户和组对象都已还原。同样，验证文件复制服务 (FRS) 副本集中的文件和证书服务颁发的证书。

单击 Restore 选项卡。

选择 SystemState。（不需将系统磁盘还原至备用位置。）

在 Restore Files to 下拉菜单中，确认已选 Alternate Location ，然后指定备用位置。

还原过程完成后，关闭备份工具。

在命令行，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 metadata cleanup ，然后按 ENTER。

在 metadata cleanup: 提示符下，键入 connections ，然后按 ENTER。

在 server connections: 提示符下，键入 connect to server servername，其中 servername 是要从中清理故障域控制器元数据的域控制器（同一域中的所有功能性域控制器）。然后按 ENTER。

键入 quit ，然后按 ENTER 回到 metadata cleanup: 提示符。

键入 select operation target ，然后按 ENTER。

键入 list domains ，然后按 ENTER。

此操作将列出林中的所有域，每一域附带与其相关联的一个数字。

键入 select domain number，其中 number 是与故障服务器所在的域相关的数字。然后按 ENTER。

键入 list sites ，然后按 ENTER。

键入 select site number，其中 number 是指域控制器所属的站点号码。然后按 ENTER。

键入 list servers in site ，然后按 ENTER。这将列出站点上所有服务器，每一服务器附带一个相关的数字。

键入 select server number，其中 number 是指要删除的域控制器，然后按 ENTER 。

键入 quit ，然后按 ENTER。

屏幕会显示出 Metadata cleanup 菜单。

键入 remove selected server ，然后按 ENTER。

此时，Active Directory 确认域控制器已成功删除。若收到无法找到对象的错误报告，Active Directory 可能已删除了域控制器。

键入 quit 然后按 ENTER 直至回到命令符。

在 Active Directory 站点和服务上，展开适当站点。

删除与故障域控制器相关联的服务器对象。

在 Active Directory 用户和计算机上，扩展域控制器容器。

删除与故障域控制器相关联的计算机对象。

在 Run 文本框中，键入 dcpromo ，然后单击 OK。

会出现 Active Directory 安装向导。在欢迎屏幕上，单击 Next。

在 Domain Controller Type下，选择 Additional domain controller for an existing domain。 单击 Next。

在 Network Credentials中，输入用户名、密码和用户帐户具备权限将新域控制器添加进去的域。单击 Next。

输入托管新域控制器的域的名称。单击 Next。

在 Database and Log Locations中，输入目录数据库 (Ntds.dit) 位置和日志文件的路径。为获得更好性能，请将数据库和日志文件分别存储在不同的物理磁盘驱动器上。单击 Next。

在 Shared System Volume中，输入定位系统卷 (SYSVOL) 的路径。单击 Next。

在 Directory Services Restore Mode Administrator Password中，输入启动目录服务还原模式时使用的密码。单击 Next。

摘要屏幕显示出所选条目的列表。确认信息正确，然后单击 Next 继续安装。

向导继续进行 Active Directory 安装。完成后，向导显示摘要屏幕，列出新域控制器所属的域和站点。确认此信息正确。单击 Finish 关闭向导。

单击 Restart 重新启动域控制器。

重新启动域控制器。若有消息显示一项或多项服务无法启动，则再重新启动一次域控制器。如果初始复制周期在新域控制器第一次重新启动时没有足够的时间完成，则有些服务可能无法成功启动。若在随后的重新启动时又出现类似消息，在事件查看器中检查事件日志以确定问题起因。

在 Run 文本框中，键入 dcpromo /adv ，然后单击 Next。

选择 Additional domain controller for exiting domain。

选择 From these restored backup files ，然后指向与还原系统状态数据相同的位置。

因为要提升的域控制器是全局编录服务器，Active Directory 安装向导会询问是否要此服务器也成为全局编录。

为操作提供适当凭据。

输入新域控制器将放入的域。这应与使用的系统状态数据所属的域是同一个域。

用 dcpromo继续其余步骤。

将 Windows Server 2003 光盘插入计算机的 CD-ROM 驱动器或 DVD-ROM 驱动器。插入 CD 时并按住 SHIFT 键防止其自动启动。

启动 Windows Explorer ，然后打开 Windows Server 2003 光盘中的 Support\Tools 文件夹。

在详细资料窗格中，双击 Deploy.cab 文件来打开它。

在 Edit 菜单上, 单击 Select All。

在 Edit 菜单上, 单击 Copy。

要在本地硬盘上创建新文件夹，请进行以下操作：

鼠标右键单击创建的新文件夹，然后单击 Paste。

双击新文件夹打开它，然后双击 Setupmgr.exe 文件。安装管理器向导启动。按照向导中的指示创建应答文件。

确认计算机使用的是静态 IP 地址。鼠标右键单击 My Network Places ，然后单击 Properties。

在 Network and Dial-up Connections 对话框中，鼠标右键单击代表本计算机所用连到网络的连接。默认的标签为 Local Area Connection, ，但可更改，因此这不一定与您的计算机上的标签相同。 单击 Properties。

在 Local Area Connection Properties 对话框中，在 Internet Protocol (TCP/IP) 上单击一次，突出显示它（确认没有清除其前面的复选框），然后单击 Properties。

在 Internet Protocol (TCP/IP) Properties 对话框中，确认已选 Use the following IP address: ，并显示出有效的 IP 地址、子网掩码和默认网关。单击 OK 关闭对话框。再次单击 OK 回到桌面。

请在控制面板中单击 Add/Remove Programs。 单击 Add/Remove Windows Components。

向下滚动至 Networking Services。突出显示它，然后单击 Details。

在 Networking Services 对话框中，选择 Domain Name System (DNS)前面的复选框。单击 OK。

单击 Next。如果需要，提供安装文件的位置。安装完成后，单击 Finish 结束向导，然后单击 Close 退出 Add/Remove Programs 。

在 Run 文本框中，键入 adsiedit.msc ，然后按 ENTER。

双击 DomainNC [machinename] （其中 machinename 是此域控制器名）。验正已展开 Domain NC 来显示域组件 (DC=) 文件夹。

单击域组件列出细节窗格中的容器和 OU。双击 Domain Controllers OU 显示代表域控制器的容器。

双击代表此域控制器（ CN = 计算机名）的容器以显示更多容器。

双击 CN=NTFRS Subscriptions 容器。

鼠标右键单击 CN=Domain System Volume 容器，然后单击 Properties。

在 Select which properties to view 列表下，选择 Mandatory。

在 Select a property to view 列表下，选择 fRSRootPath。当前值出现在 Value(s) 框中。

将当前值记录在上表中。以稍前论述的文件夹结构和新位置为基础，在表中记录此参数的新路经值。

单击 Cancel 关闭对话框。

在 Run 文本框中，键入 adsiedit.msc ，然后按 ENTER。

双击 DomainNC [machinename] （其中 machinename 是此域控制器名）。验正已展开 Domain NC 来显示域组件 (DC=) 文件夹。

单击域组件列出细节窗格中的容器和 OU。双击 Domain Controllers OU 显示代表域控制器的容器。

双击代表此域控制器（ CN = 计算机名）的容器以显示出更多容器。

双击 CN=NTFRS Subscriptions 容器。

鼠标右键单击 CN=Domain System Volume 容器，然后单击 Properties。

在 Select which properties to view 列表下，选择 Mandatory。

在 Select a property to view 列表下，选择 fRSStagingPath。当前值出现在 Value(s) 框中。

在表 1 中记录当前值。以稍前论述的文件夹结构和新位置为基础，在表 1 中记录此参数的新路经值。

在 Run 文本框中，键入 regedit ，然后按 ENTER。

在 Registry Editor 中，导航到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters。

Sysvol 出现在详细资料窗格中。当前值列在 Data 列中。

在表 1 中记录当前值。以稍前论述的文件夹结构和新位置为基础，在表 1 中记录此参数的新路经值。

命令提示符下，更改目录到 %systemroot%\SYSVOL\Sysvol。

注意： 这是假设系统卷仍在默认位置。若其已重新定位，将适当路径替换到这些指令中。

在命令提示符下，键入 dir。确认完全限定域名 (FQDN) 列为类型 <JUNCTION>。

在命令提示符下，键入 linkd fqdn （其中 fqdn 是 Dir 输出所列的域名）。这显示出存储在交接点的值。按 ENTER。

在表 1 中记录当前值。以稍前论述的文件夹结构和新位置为基础，在表 1 中记录此参数的新路经值。

命令提示符下，更改目录至 <%systemroot%>\SYSVOL\Staging Areas。

注意： 这是假设临时区域仍在默认位置。若其已重新定位，将正确路径替换到这些指令中。

在命令提示符下，键入 dir。确认完全限定域名列为类型 <JUNCTION>。

在命令提示符下，键入 linkd fqdn （其中 fqdn 是 Dir 输出所列的域名）。这显示出存储在交接点的值。按 ENTER 。

在表 1 中记录当前值。以稍前论述的文件夹结构和新位置为基础，在表 1 中记录此参数的新路经值。

本地登录或打开与要查询 IP 地址的服务器相连的终端服务。

桌面上，鼠标右键单击 My Network Places，然后单击 Properties。

在 Network and Dial-up Connections 对话框中，鼠标右键单击 Local Area Connection，然后单击 Properties。

双击 Internet Protocol (TCP/IP)。

使用 IP address and Subnet mask 中的值计算子网地址。

在 Active Directory Sites and Services 上展开 Sites 容器，然后单击 Subnets 容器。

在详细信息窗格的 Name 列，找到与子网地址匹配的子网对象。

在 Site 列，记录 IP 子网地址关联的站点。

确认操作主机可定位，在命令提示符下，键入：

dcdiag /s: domaincontroller /test:knowsofroleholders /verbose
其中 domaincontroller 是要添加新域控制器的域的域控制器名。详细选项提供了测试的操作主机的详细列表。接近屏幕底部，有一条消息确认测试成功。若是用详细选项，请留意输出显示的底部。操作主机列表后立即出现测试成功确认消息。然后按 ENTER。

要测试确保操作主机运行正常并能上网，在命令提示符下，键入：

dcdiag /s: domaincontroller /test:fsmocheck
其中 domaincontroller 是要添加新域控制器的域的域控制器名。详细选项提供了测试的操作主机的详细列表。接近屏幕底部，有一条消息确认测试成功。然后按 ENTER。

在 Active Directory 站点和服务上展开 Sites 容器并展开 Server 对象站点。

打开 Servers 容器，然后展开 Server 对象查看所有子对象。

本地登录或打开与要查询 IP 地址的服务器相连的终端服务。

桌面上，鼠标右键单击 My Network Places，然后单击 Properties。

在 Network and Dial-up Connections 对话框中，鼠标右键单击 Local Area Connection，然后单击 Properties。

双击 Internet Protocol (TCP/IP)。

使用 IP address and Subnet mask 中的值计算子网地址。

在 Active Directory 站点和服务上展开 Sites 容器，然后单击 Subnets 容器。

在详细资料窗格中，双击 Name 列，找到与子网地址匹配的子网对象。

在 Site 列，记录 IP 子网地址关联的站点。

在 Active Directory 站点和服务上展开 Sites 容器以及服务器对象所在的站点。

打开 Servers 容器显示当前为该站点配置的域控制器。

鼠标右键单击要移动的服务器对象，然后单击 Move。

在 Site Name 框中，单击目的站点，然后单击 OK。

展开服务器要移到的 Site 对象，然后展开 Servers 容器。

确认移动的服务器对象存在。

展开 Server 对象并验证 NTDS 设置对象存在。

若网络使用根目录提示作为转发器方法，则无需执行任何附加选项。根目录提示在安装时自动配置。不用继续步骤 2 。

若需要配置转发器，则打开 DNS 管理单元并继续步骤 3 。

在控制台树，鼠标右键单击 computer_name （其中 computer_name 是域控制器的计算机名），然后单击 Properties。

在 computer_nameProperties 工作表（其中 computer_name 是域控制器的名称）的 Forwarders 选项卡上，选择 Enable forwarders 复选框。

在 IP address 框中，键入 ip_address （其中 ip_address 是 DNS 服务器的 IP 地址或域所委派的最近复制伙伴），单击 Add，然后单击 OK。

从 DNS 管理单元，导航至控制台树中的 child_domain （其中 child_domain 是子域名称）。

在控制台树，鼠标右键单击 child_domain，然后单击 Properties。

在 child_domain properties中的 Name Servers 选项卡上, 单击 Add。

在 New Resource Record 对话框的 Server name 框中，键入 child_dc. child_domain. parent_domain （其中 child_dc 是新域控制器名称， child_domain 是子域名称，而 parent_domain 是父域名称）。

在 New Resource Record 对话框的 IP address 框中，键入 ip_address （其中 ip_address 是子域控制器的 IP 地址），单击 Add，然后单击 OK。

在网上邻居，打开 Properties 对话框。

在 Network and Dial-up Connections 对话框中，鼠标右键单击代表本计算机所使用连到网络的连接。默认的标签为 Local Area Connection，但可更改，因此这不一定与计算机上的标签相同。 单击 Properties。

在 Local Area Connection Properties 对话框中，在 Internet Protocol (TCP/IP) 上单击一次，突出显示它（确认没有清除其前面的复选框），然后单击 Properties。

在 Internet Protocol (TCP/IP) Properties 对话框中，确认 Use the following DNS server addresses: 已经选中。

若新域控制器位于林根域，则给林根域中另一个 DNS 服务器设置首选 DNS 服务器 IP 地址。设法选择离新域控制器较近的服务器。给新域控制器的 IP 地址设置备用服务器地址（这样它将引用自己）。

若新域控制器位于子域，给新域控制器的 IP 地址设置首选 DNS 服务器 IP 地址（这样它将引用自己）。为同一域中另一 DNS 服务器设置备用 DNS 服务器地址。设法选择离新域控制器较近的服务器。

单击 OK 关闭对话框。

从 DNS 管理单元，导航至控制台树中的 child_domain （其中 child_domain 是子域名称）。

在控制台树，鼠标右键单击 child_domain，然后单击 Properties。

在 child_domain properties 中的 Name Servers 选项卡上, 单击 Add。

在 New Resource Record 对话框的 Server name 框中，键入：

child_dc。 child_domain。 parent_domain
其中 child_dc 是新域控制器名称， child_domain 是子域名称，而 parent_domain 是父域名称。

在 New Resource Record 对话框的 IP address 框中，键入 ip_address （其中 ip_address 是子域控制器的 IP 地址），单击 Add，然后单击 OK。

在 DNS 管理单元，鼠标右键单击控制台树上的新域控制器，然后选择 New Zone。

在新区域向导上，单击 Next 继续。

选择 Standard secondary 作为区域类型。单击 Next。

确认 Forward lookup zone 已经选中。单击 Next。

作为区域名，键入 _msdcs.forestrootdomain （其中 forestrootdomain 是林根域的完全限定域名），然后单击 Next。

在 Master DNS Servers 对话框中，输入至少两个林根域中的 DNS 服务器的 IP 地址。单击 Next。

检查您所定义的设置，然后单击 Finish 关闭向导。

打开网上邻居中的 Properties 对话框。

在 Network and Dial-up Connections 对话框中，鼠标右键单击代表本计算机所使用连到网络的连接。默认的标签为 Local Area Connection，但可更改，因此这不一定与计算机上的标签相同。 单击 Properties。

在 Local Area Connection Properties 对话框中，在 Internet Protocol (TCP/IP) 上单击一次，突出显示它（确认没有清除其前面的复选框），然后单击 Properties。

在 Internet Protocol (TCP/IP) Properties 对话框中，确认 Use the following DNS server addresses: 已经选中。

若新域控制器定位于林根域，给林根域中另一个 DNS 服务器设置首选 DNS 服务器 IP 地址。设法选择离新域控制器较近的服务器。给新域控制器的 IP 地址设置备用服务器地址（这样它将引用自己）。

若新域控制器位于子域，给新域控制器的 IP 地址设置首选 DNS 服务器 IP 地址（这样它将引用自己）。为同一域中另一 DNS 服务器设置备用 DNS 服务器地址。设法选择离新域控制器较近的服务器。

单击 OK 关闭对话框。

在命令提示符下，键入 netdiag /test:member

若测试成功，您应在接近屏幕底部看到消息“ Domain membership test Passed ”。若使用 /v 选项，将列出域控制器名称、角色、域名及许多新域控制器的其他统计信息。

要检查复制是否运转，在命令提示符下，键入 dcdiag /test:replications ，然后按 ENTER。

对于此测试， /v 选项不显示任何有意义的附加信息。消息显示测试通过的连通性及复制。

要确认为复制设置了适当的权限，在命令提示符下，键入 dcdiag /test:netlogons ，然后按 ENTER。

消息显示测试通过的连通性及网络登录。

在 Run 文本框中，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 roles ，然后按 ENTER。

在 fsmo maintenance: 提示符下，键入 connections ，然后按 ENTER。

在 server connections: 提示符下，键入 connect to server servername （其中 servername 是属于包含操作机主的域的域控制器名）。

收到连接确认后，键入 quit 然后按 ENTER 退出此菜单。

在 fsmo maintenance: 提示符下，键入 select operation target ，然后按 ENTER。

在 select operations target: 提示符下，键入 list roles for connected server ，然后按 ENTER。

系统响应，列出当前角色以及当前分派托管每一角色的域控制器的轻型目录访问协议 (LDAP) 名。

键入 quit 然后按 ENTER 退出 Ntdsutil.exe 的每一提示符。键入 quit ，然后在 ntdsutil: 提示符下按 ENTER 关闭窗口。

在 Active Directory 域和信任的控制台树上，鼠标右键单击 Active Directory Domains and Trusts，然后单击 Connect to Domain Controller。

确认已在 Domain 框中输入适当域名。

列出了此域的可用域控制器。

在 Name 列，单击要迁移其角色的域控制器（选中它）。单击 OK。

在 Active Directory 域和信任的控制台树上，鼠标右键单击 Active Directory Domains and Trusts，然后单击 Operations Master。

第一个文本框中出现当前的域命名主机名称。第二个文本框中应出现要传输其角色的服务器。若情况并非如此，重复步骤 1 至 4。

单击 Change。单击 OK确认角色传输。再次单击 OK 关闭显示迁移发生的消息框。单击 Close 关闭 Change Operations Master 对话框。

在 Active Directory 架构管理单元的控制台树上，鼠标右键单击 Active Directory Schema，最后单击 Change Domain Controller。

在 Change Domain Controller 对话框中单击 Specify Name。然后，在文本框中键入要传输其架构主机角色的服务器名。单击 OK。

在控制台树，鼠标右键单击 Active Directory Schema。Click Operations Master。 Current Focus 框显示出采用角色的服务器名。第二个框中列出当前架构主机。

单击 Change。单击 OK 确认选择。系统确认操作。再次单击 OK 确认操作完成。

单击 Cancel 关闭 Change Schema Master 对话框。

注意： 不建议在全局编录服务器上托管基础结构主机。若要将基础结构主机角色传输至全局编录域控制器上，系统会显示不建议这样做的警告声明。

单击 Yes 确认迁移，然后单击 OK 确认操作完成。

在 Active Directory Users and Computers 管理单元的控制台树顶端，鼠标右键单击 Active Directory Users and Computers。单击 Connect to Domain Controller。

在 Available controllers 列表下，单击要传输其角色的服务器名，然后单击 OK。

在控制台树顶端，鼠标右键单击 Active Directory Users and Computers，然后单击 Operations Masters。

上面的框中会出现当前操作主机角色持有者名称。下面的框中则显示要传输其角色的服务器名称。

单击属于要传输的角色的选项卡：RID ，PDC 或 Infrastructure 。检查显示的计算机名，然后单击 Change。再单击 Yes 传输角色。

为每个需要传输的角色重复步骤 4。

登录林 A。

单击 Start，单击 Run，键入 cmd 进 Open 框中，然后按 ENTER。

在命令提示符下，键入 ping <the name of forest B>，然后按 ENTER。

您会得到一个答复。

登录林 B。

单击 Start，单击 Run，键入 cmd 进 Open 框中，然后按 ENTER。

在命令提示符下，键入 ping <the name of forest A>，然后按 ENTER。

您会得到一个答复。

依次单击 Start > All Programs > Administrative Tools > DNS。

鼠标右键单击 <server name>，然后单击 Properties。

在 Forwarders 选项卡上, 单击 New ， 键入林名，然后单击 OK。

键入 DNS 服务器的 IP 地址（例如，键入 10.1.1.2），然后单击 Add。

单击 Start，单击 Run，键入 cmd 进 Open 框中，然后按 ENTER。

在命令提示符下，键入 ping 及林名，然后单击

您会得到一个答复。

依次单击 Start > All Programs > Administrative Tools > Active Directory Domains and Trusts。

鼠标右键单击代表林 A 的林目标，然后单击 Properties。

单击 Trusts 选项卡, 单击 New Trust，然后单击 Next 进 Trust Creation Wizard。

在 Name 框中，键入要配置信任的林名，然后单击 Next。

单击 Forest Trust，然后单击 Next。若 Forest Trust 不是选项，检查前一节步验证是否将林的功能级别提升至 Windows Server 2003。

单击 Two Way，然后单击 Next。

单击 This Domain 和 Specified Domain，然后单击 Next。

在林 A 域的 Credentials 对话框中，键入用户名（administrator）和 password，然后单击 Next。

单击本地林中的 Allow authentication for all resources ，然后单击 Next。

单击林 A 中的 Allow authentication for all resources ，然后单击 Next。

注意： 操作此步时，信任双方禁用选择性身份验证选项。下一节将启用选择性身份验证选项。

检查列出的更改，然后单击 Next 许可更改。

单击 Yes，确认外向信任，然后单击 Next。

当列有要发送的名称后缀的对话框显示出来时，不要做任何更改。单击 Next，单击 Finish，然后单击 OK。

在每个林域创建并命名测试文件共享，然后分配权限至共享：

验证您能够得到访问域和您所创建的 Sampletext.txt 文件的权限。

确认使用管理权限登录林 A。

依次单击 Start > All Programs > Administrative Tools > Active Directory Domains and Trusts。

鼠标右键单击林 A，然后单击 Properties。

单击 Trusts 选项卡，鼠标右键单击 Domains trusted by this domain （外向信任）框中的林 B，然后单击 Properties。

单击 Authentication 选项卡, 单击 Allow authentication only to selected resources 在 local forest，单击 OK ， 然后单击 OK。

在指定计算机上，依次单击 Start > All Programs > Accessories >Windows Explorer。

在控制台树，单击 Local Disk (C:) 。 鼠标右键单击详细信息窗格的空白区域，指向 New，单击 Folder，然后在 Testfolder 中键入新文件夹名称。

双击详细信息窗格中的新 Testfolder 文件夹以将其打开，鼠标右键单击空白区域，指向 New，单击 Text Document，然后在 Testdoc.txt 中键入文档名称。

在控制台树，鼠标右键单击 Testfolder 文件夹，然后单击 Sharing and Security。

单击 Share this folder，单击 Permissions，单击 Add，然后键入 Administrator@[name of forest]。

在 Group or user names 框中，单击林 A 。

单击 Change （位于 Allow 列，此列在 Permissions for [name of forest] Administrator@[name of domain].com 框中），单击 Read （位于 Allow 列），然后单击 OK。

在 Group or user names 框中，单击 Everyone， 然后单击 Remove。

使用管理特权登录指定计算机。

单击 Start，单击 Run，键入 \\<name of server>\<name of share> （在 Open 框中），然后按 ENTER。

由于启用了 Selective Authentication 选项，您无权访问共享。若您能使用共享，检查权限是否正确配置。

使用管理权限登录指定计算机。

依次单击 Start > All Programs > Administrative Tools > Active Directory Users and Computers。

在 View 菜单上, 单击 Advanced Features。 在控制台树，单击 Domain Controllers。

在详细信息窗格，鼠标右键单击指定计算机名，然后单击 Properties。

单击 Security 选项卡, 单击 Add，键入 administrator@[name of forest].com，然后单击 OK。

在 Group or user names 框中，单击 Administrator@[name of forest].com ， 然后单击选择 Allowed to authenticate check box （在 Allow 列，此列位于 Permissions for Administrator@[name of forest].com 框中）。

这样做之后，administrator@[name of forest].com 用户可对指定计算机进行身份验证。

使用管理权限登录指定计算机。

单击 Start，单击 Run，键入 \\<name of server>\<name of share> （在 Open 框中），然后按 ENTER。

现在您有权访问共享。

使用管理权限登录域。

依次单击 Start > All Programs > Administrative Tools > Active Directory Domains and Trusts。

在控制台树，鼠标右键单击域，然后单击 Properties。

单击 Trusts 选项卡，鼠标右键单击 Domains trusted by this domain (outgoing trusts) 框中要删除的林，然后单击 Remove。

单击 Yes，从本地域或其他域删除信任。

在 User name 框中，键入 Administrator ，然后键入 password （在 Password 框中）。

单击 Yes ， 然后选择删除信任的选项。

重复步骤 4 至 7 删除 Domains that trust this domain (incoming trusts) 框中的内向信任。

在 Active Directory 站点和服务上展开 Sites 容器，展开要检查的域控制器站点，再展开 Servers 容器，然后展开 Server 对象。

鼠标右键单击 NTDS Settings 对象，然后单击 Properties。

在 General 选项卡上,若已选 Global Catalog 框，则服务器指定为全局编录服务器。

在 Run 文本框中，键入 dcpromo ，然后单击 OK。

会出现 Active Directory 安装向导。在欢迎屏幕单击 Next 。

将有一个选项选择此服务器为域中最后的域控制器。若选择此选项，向导会试图从林中删除该域。 不要选择此选项。单击 Next。

在管理密码屏幕，输入并确认删除 Active Directory 后要分配给本地管理员帐户的密码。单击 Next。

在摘要屏幕，确认信息正确，然后单击 Next 继续删除。

向导继续进行删除 Active Directory。完成后，向导显示完成屏幕。单击 Finish 关闭向导。

单击 Restart 重新启动域控制器。

在 Active Directory 站点和服务上展开 Sites 容器，然后展开要从中删除服务器对象的站点。

打开 Servers 容器，然后展开要删除的 Server 对象。

若服务器对象下无子对象，鼠标右键单击 Server 对象，然后单击 Delete。

重要： 不要删除有子对象的服务器对象。若要删除的服务器对象下出现 NTDS 设置或其他子对象，则在查看配置容器的域控制器上不会出现复制，或者删除的服务器对象所属的服务器会取消不正确。

单击 Yes 确认选择。

控制面板上单击 System Properties。

在 Computer Name 选项卡, 单击 Change。

单击 OK 认可重命名域控制器会导致其对于用户和计算机暂时不可用（参见以下注意）。

在 Computer Name 中， 键入新名称。

单击 OK 关闭 System Properties 框。

若有提示，使用域管理或企业管理授权输入帐户的用户名/密码。

在要管理数据库文件的域控制器上，打开命令提示符并更改目录为包含要管理文件的目录。

运行 dir 命令检查数据库大小。下例中，Ntds.dit 文件和日志文件存储在同一目录下。例中，文件占用了磁盘空间的 58,761,216 字节。

H:\NTDS>dir 
 Volume in drive H has no label. 
 Volume Serial Number is 003D-0E9E 
 Directory of H:\NTDS 
01/29/2002  11:04 AM    <DIR>          . 
01/29/2002  11:04 AM    <DIR>          .. 
01/28/2002  03:03 PM    <DIR>          Drop 
01/29/2002  10:29 AM             8,192 edb.chk 
01/29/2002  10:29 AM        10,485,760 edb.log 
01/29/2002  10:29 AM        10,485,760 edb00001.log 
01/29/2002  10:29 AM        14,696,448 ntds.dit 
01/28/2002  02:54 PM        10,485,760 res1.log 
01/28/2002  02:54 PM        10,485,760 res2.log 
               7 File(s)     58,761,216 bytes 
               3 Dir(s)     779,284,480 bytes free 

用目录服务还原模式下的域控制器，打开命令提示符，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

在 file maintenance: 提示符下，键入 info ，然后按 ENTER.

在 file maintenance: 提示符下，键入 quit 然后按 ENTER 。键入 quit 然后再次按 ENTER 退出 Ntdsutil.exe。

在 Windows Explorer 中，单击 My Computer。

在 View 菜单上, 单击 Details。

在详细信息窗格的 Name 列中定位卷。记下 Total Size 中的值。

导航至存储数据库文件或/和日志文件的文件夹。

鼠标右键单击文件夹，然后单击 Properties，记下 Size on disk中的值。

若卷中包含 SYSVOL ，导航至此文件夹然后重复步骤 5 。

比较大小。若相关的数据库文件和 SYSVOL 文件（如果需要）合起来的大小远远小于卷的大小，那么检查其他文件的卷内容。

若有其他文件，移走那些文件并重新评估卷上的磁盘空间。

在目录服务还原模式下，打开命令提示符并更改目录至目录数据库文件 (Ntds.dit) 或日志文件（无论正移动哪个）的当前位置。

运行 dir 命令并记录下 Ntds.dit 文件的当前大小和位置。

在命令提示符下，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

要移动数据库文件，在 file maintenance: 提示符下，使用以下命令：

移动操作完成后，在 file maintenance: 提示符下，键入 quit ，然后按 ENTER。再次键入 quit ，然后按 ENTER 退出 Ntdsutil.exe。

更改至目的目录，然后运行 dir 命令确认文件存在。若已移动数据库文件，依步骤 2 中记录的文件大小检查 Ntds.dit 文件的大小，确保定位在正确文件上。

要永久移动数据库文件或日志文件，转到步骤 9。

要临时移动数据库文件或日志文件，则现在可对初始驱动器执行所有必需的更新。更新驱动器后，重复步骤 1 至 7 移动文件回初始位置。

若数据库文件或日志文件的路径未更改，转到步骤 10。

若数据库文件或日志文件的路径已从初始位置更改，则仍在目录服务还原模式下按如下步骤检查数据库文件夹或日志文件夹的权限：

在命令提示符下，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

在 file maintenance: 提示符下，键入 integrity ，然后按 ENTER。

若完整性检查失败，用修正记录进行语法数据库分析。

若完整性检查成功，键入 quit ，然后按 ENTER 退出 file maintenance: 提示符。再次键入 quit ，然后按 ENTER 退出 Ntdsutil.exe。

正常地重新启动域控制器。若越过终端服务连接远程执行此步骤，则确保在重新启动域控制器前已为正常重新启动修改了 Boot.ini 文件。

在目录服务还原模式下重新启动域控制器。

在事件查看器中检查错误。

在目录服务还原模式下，打开命令提示符并更改目录至数据库文件 (Ntds.dit) 或日志文件的当前位置。若数据库文件和日志文件在不同的位置，对每个目录执行步骤 2。

运行 dir 命令并记录下 Ntds.dit 文件和日志文件的当前大小和位置。

按以下所示建立和共享文件夹的网络连接。由于是以本地管理员身份登录，除非共享文件夹上的权限包含内置管理员帐户，否则必须提供域名、用户名和具有在共享文件夹上进行写入操作的权限的帐户密码。

下例中，\\SERVER1\NTDS 是共享文件夹的名称。K：是映射到共享文件夹上的驱动器。例中需要您键入的文本以粗体显示。键入第一行后按 ENTER，Ntdsutil.exe 提示输入密码。键入密码，然后按 ENTER。

H:\>net use K: \\SERVER1\NTDS /user:domainName\userName *
Type the password for \\SERVER1\NTDS:
Drive K: is now connected to \\SERVER1\NTDS
命令顺利完成。

使用 xcopy 命令将数据库文件和日志文件复制到步骤 3 中确定的位置。例中数据库文件位于 H:\WINNT\NTDS 并且共享有子目录数据库，您键入的文本以粗体显示：

H:>xcopy WINNT\NTDS K:\DB

命令将 WINNT\NTDS 的内容复制到共享文件夹（所述的 K：驱动器）中的子文件夹数据库。若数据库文件和日志文件在不同位置，对日志文件重复 xcopy 命令，指定日志文件的子文件夹。

更改驱动器至新位置，然后运行 dir 命令以比较该文件大小与步骤 2 中列出的文件大小。使用此步骤确保将正确的文件集复制回本地计算机。

在这一点上，可安全的销毁原始本地驱动器上的数据。

目标驱动器准备好后，若需要重建与步骤 3 中所述的网络驱动器的连接。

从远程共享文件夹将数据库和日志文件复制回域控制器上的初始位置。

在命令提示符下，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

在 file maintenance: 提示符下，键入 integrity ，然后按 ENTER 。

若完整性检查失败，用修正记录进行语法数据库分析。

若完整性检查成功，键入 quit ，然后按 ENTER 退出 file maintenance: 提示符。再次键入 quit ，然后按 ENTER 退出 Ntdsutil.exe。

正常地重新启动域控制器。若越过终端服务线路远程执行此步骤，则在重新启动域控制器前已为正常重新启动修正了 Boot.ini 文件。

若重新启动域控制器时出现错误：

若重新启动域控制器中事件查看器记录了如下事件，按以下方法解决事件：

在 Run 文本框中，键入 regedit 或 regedit32，然后单击 OK。

导航至 Garbage Collection 条目（位于 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics）。

双击 Garbage Collection，然后对于 Base 或 Radix，单击 Decimal。

在 Value data 或 Data 框中，键入 0 至 5 之间的一个整数，然后单击 OK。

重新启动域控制器。

当屏幕显示选择操作系统时，按 F8。

从 Windows Advanced Options 菜单上，选择 Directory Services Restore Mode。

根据提示，以本地管理员身份登录。

在终端服务客户端，连接到要以目录服务还原模式重新启动的域控制器。在远程域控制器上执行以下步骤。

鼠标右键单击 My Computer，选择 Properties，然后选择 Advanced 选项卡。

单击 Settings for startup and recovery。

单击 Edit 按钮编辑启动选项文件。

修改默认目录以包括 safeboot:dsrepair 切换，如下例所示：

multi(0)disk(0)rdisk(0)partition(2)\WINNT="W2K DC \\<your server 
name>" /fastdetect /SAFEBOOT:DSREPAIR 

注意： 此 /safeboot:dsrepair 切换为运行 Windows 2000 服务器家族的域控制器工作。

保存修改的 Boot.ini 文件并关闭记事本。

在 Start 菜单上, 单击 Shut Down ，然后单击 Restart。重新启动过程中，终端服务客户端报告会话断开。

告诫： 此步骤中，确认单击 Restart 而非 Shut Down 。若单击 Shut Down，则无法远程重新启动域控制器。

等待直至远程域控制器的重新启动过程完成，然后重新连接客户端会话。

重新连接后，以本地管理员身份登录。

鼠标右键单击 My Computer，选择 Properties，然后选择 Advanced 选项卡。

单击 Settings for startup and recovery。

单击 Edit 按钮编辑启动选项文件。

从 Boot.ini 文件的默认条目中删除 /safeboot:dsrepair 开关，然后保存文件。关闭记事本。

在目录服务还原模式下，按以下步骤将数据库文件压缩至本地目录或远程共享文件夹：

在命令提示符下，键入 ntdsutil ，然后按 ENTER。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

在 file maintenance: 提示符下，键入 compact to drive:\ LocalDirectoryPath （其中 drive:\ LocalDirectoryPath 是到本地计算机上位置的路径），然后按 ENTER。

若已将驱动器映射到远程计算机的共享文件夹上，只键入驱动器号（例如： compact to K:\）。

注意： 压缩本地驱动器时，必须提供路径。若路径包含任何空格，整个路径必须用引号括起来（例如： compact to "c:\new folder"）。若目录不存在，Ntdsutil.exe 将创建它，并再此位置创建名为 Ntds.dit 的文件。

若碎片整理程序顺利完成，键入 quit ，然后按 ENTER 退出 file maintenance: 提示符。再次键入 quit ，然后按 ENTER 退出 Ntdsutil.exe。转到步骤 6。

若碎片整理程序完成中出现错误，转到步骤 9。

告诫： 不要覆盖初始的 Ntds.dit 文件或删除任何日志文件。

若碎片整理完成且无错误，则按 Ntdsutil.exe 在屏幕上的指示，通过键入以下命令删除日志目录中的所有日志文件 del drive:\pathToLogFiles\*.log

注意： 无需删除 Edb.chk 文件。

若空间许可，或者重新命名初始的 Ntds.dit 文件以保护它，或者将其复制到不同的位置。避免覆盖初始的 Ntds.dit 文件。手动复制压缩的数据库文件至初始位置，如下所示：

copy temporaryDrive:\ntds.dit 
originalDrive:\pathToOriginalDatabaseFile\ntds.dit 

键入 ntdsutil ，然后按 ENTER 。

在 ntdsutil: 提示符下，键入 files ，然后按 ENTER。

在 file maintenance: 提示符下，键入 integrity ，然后按 ENTER。

若完整性检查失败，可能是由于步骤 6.b. 的复制操作过程中出现了错误。重复步骤 6.b. 至步骤 9。若完整性检查再次失败：

若完整性检查成功，依如下步骤继续：

正常地重新启动域控制器。若越过终端服务对话远程连接，则在重新启动域控制器前已为正常重新启动修正了 Boot.ini 文件。

在目录服务还原模式下重新启动域控制器。

在事件查看器中检查错误。

若重新启动域控制器中事件查看器记录了如下事件，按以下方法解决事件：

检查数据库完整性，然后继续如下步骤：

若完整性检查失败，尝试重复以上步骤 6 至步骤 9，然后再重复完整性检查。若完整性检查再次失败：

若完整性检查成功，用 fixup进行语法数据库分析。

若用 fixup 进行的语法数据库分析成功，退出 Ntdsutil.exe，然后正常地重新启动域控制器。

若用 fixup 进行的语法数据库分析失败，联系 Microsoft 产品支持服务。

若没有在 ntdsutil: 提示符下，则打开命令提示符，键入 ntdsutil，然后按 ENTER。

在 ntdsutil: 提示符下，键入 semantic database analysis ，然后按 ENTER。

在 semantic checker: 提示符下，键入 verbose on ，然后按 ENTER。

在 semantic checker: 提示符下，键入 go fixup ，然后按 ENTER。

在命令提示符下，键入 net start ntfrs ，然后按 ENTER。

可使用事件查看器检查 NTFRS 是否正确重新启动。事件 ID 13501 说明服务重新启动。寻找事件 ID 13516 检查域控制器是否运转并准备好服务。若移动 SYSVOL 至新位置或重新定位临时区域文件夹，则请寻找表示成功的事件 ID 13553 和 13556。

在 Run 文本框中，键入 regedit ，然后按 ENTER。

在 Registry Editor 中，导航到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NtFRS\Parameters。

双击 Staging Space Limit in KB ，打开 Edit 对话框。

在 Base 框架中，选择 Decimal。

在 Value Data 中，输入从 10000 到 2000000000 的一个值。不要用逗号。单击 OK。

关闭注册表编辑器。

启动 Adsiedit 程序。

在 Domain NC下，将 NTFRS Subscriber 对象定位在 Active Directory 的主机帐户下。此属性的一般路径为：CN=Replica Set Name，CN=NTFRS Subscriptions，CN=Computername，DC=Domain Name，DC=COM。

例如，重新设置 A.com 域中域控制器 \\DC1 的 SYSVOL 副本集的临时路径， FrsStagingPath 参数的可分辨名称（也称为 DN）路径是：

CN=Domain System Volume (SYSVOL share), CN=NTFRS Subscriptions, CN=DC1, DC=A,DC=COM

其中（从右至左读可分辨名称时）：

DC=A,DC=COM 是托管计算机帐户的域。

CN=DC1 是域命名文本 (NC) 中的主机帐户。

CN=NTFRS Subscriptions 是 NtfrsSubscriber 对象，它保存有 FrsStagingPath 参数。

CN=Domain System Volume (SYSVOL share) 是 FRS 订阅对象。

鼠标右键单击对象，打开 NTFRS Subscriber 对象 [此例中为域系统卷（SYSVOL 共享）] 的属性栏，然后单击 Properties。

单击参数列表中的 fRSStagingPath ，然后单击 Edit 按钮。

输入 FRS Staging 文件夹新位置的路径，然后单击 OK。

单击 OK 关闭属性窗口。

确认已在注册表中更新临时路径：

运行 net stop ntfrs ，或使用服务管理单元停止文件复制服务。

移动所有与域系统卷（SYSVOL 共享）副本集相应的临时文件到新的临时位置。若不只一个副本集共享当前临时文件夹，则将临时文件复制到新的临时文件夹更安全些。

net start ntfrs ，或使用服务管理单元后跟随 net start ntfrs启动文件复制服务。

在 Active Directory 站点和服务上，展开 Sites 容器以显示出站点清单。

双击含有域控制器的站点。

注意： 若不知道含有域控制器的站点，则打开命令提示符，然后输入 ipconfig 以获得域控制器的 IP 地址。使用 IP 地址检查一个 IP 地址映射到一个子网并决定站点关联。

打开 Servers 文件夹，显示该站点的服务器清单。

打开域控制器名称以显示其 NTDS 设置。

双击 NTDSSettings ，在详细信息窗格中显示连接对象列表（它们代表了用于复制的入站连接）。此 From Server 列显示出作为复制伙伴的域控制器名称。

单击 Start，单击 Run，然后键入以下命令：

dcpromo /forceremoval

单击 OK。

在 Welcome to the Active Directory Installation Wizard 页上，单击 Next。

在 Force the Removal of Active Directory 页上，单击 Next。

在 Administrator Password中，键入并确认要分配给本地 SAM 数据库管理员帐户的密码，然后单击 Next。

在 Summary中，单击 Next。

在事件查看器中，单击事件查看器树上的 File Replication Service ，显示 FRS 事件。

寻找带有日期和时间戳、与新近的重新启动相对应的事件 13516。这需要 15 分钟或更长的时间方可显示出来。事件 13508 表示 FRS 正在启动服务的过程中。事件 13509 表示服务已成功启动。事件 13516 表示服务已启动，文件夹已共享，而且域控制器运行正常。

要检查共享文件夹已创建，打开命令提示符，然后键入 net share ，显示出此域控制器上包含网络登录和 SYSVOL 的共享文件夹列表。

在命令提示符下，键入 dcdiag /test:netlogons ，然后按 ENTER。

寻找表示 computername 通过测试网络连接的消息。其中 computername 是域控制器名。若未见到测试通过信息，则某些问题阻止了复制运行。此测试检查是否设置适当的登录特权使复制能发生。若此测试失败，检查设置在网络登录和 SYSVOL 共享文件夹上的权限。

在 Run 文本框中，键入 regedit ，然后单击 OK。

导航至 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters

展开 Parameters。

按以下步骤修改 BurFlags 条目之一：

修改全局 BurFlags 条目：

修改复制集指定的 BurFlags 条目：

在详细资料窗格中，双击 BurFlags。

在 Value data 框中，键入 D2 十六进制，或 210 十进制，然后单击 OK。

在 Windows Explorer 中，导航至代表当前 Windows 系统卷的文件夹。此文件夹默认为 %systemroot%\SYSVOL 文件夹。

鼠标右键单击 SYSVOL 文件夹，然后单击 Copy。

在 Windows Explorer 中，导航至控制台树上创建的新位置，鼠标右键单击新位置，然后单击 Paste。您会看到一个对话框，显示有些文件已存在，还有提示问是否要继续复制文件夹。对此种提示，全部单击 No。

检查文件夹结构是否正确复制。对比新旧文件夹结构。打开命令提示符，然后键入 dir /s ，列出文件夹内容。确认所有文件夹存在。若新位置上丢失了任何文件夹（例如：脚本），则重新创建它们。

在 Run 文本框中，键入 regedit ，然后按 ENTER。

在 Registry Editor 中，导航到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters。

双击 SysVol ，打开 Edit 对话框。

在 Value Data中，输入新路径。包括驱动器号。单击 OK。

关闭注册表编辑器。

在 Run 对话框中，键入 adsiedit.msc ，然后按 ENTER。

双击 DomainNC [computername]，其中 computername 是此域控制器名。确认域 NC 展开以显示域组件 (DC=) 文件夹。

单击域组件列出细节窗格中的容器和 OU。双击 Domain Controller OU 列出代表域控制器的容器。

双击代表此域控制器（ CN= 计算机名）的容器以列出更多容器。

双击 CN=NTFRS Subscriptions 容器。

鼠标右键单击 CN=Domain System Volume 容器，然后单击 Properties。

在 Select which properties to view 列表下，选择 Mandatory。

在 Select a property to view 列表下，选择 fRSStagingPath。

在 Edit Attribute 框中，输入要定位临时区域文件夹新位置的完整路径（先前创建的新文件夹路径）。包括驱动器号。单击 Set, ，然后单击 OK。

在命令提示符下，更目录到 %systemroot%\SYSVOL\staging areas。键入 dir 列出内容。检查 DIR 输出中有 <JUNCTION>。

更新交接使其指向新位置。键入以下命令：

linkd junctionnamenewpath

其中 newpath 是早些时候输入的 fRSStagingPath 的相同的值。按 ENTER。

在 Run 文本框中，键入 regedit ，然后按 ENTER。

在注册表编辑器中，导航到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters. Note the path stored under SysVol。

控制面板上双击 System。

在 Advanced 选项卡, 单击 Environment Variables。

在 System Variables下，单击 New。

在 Variable Name，键入 sysvol。

在 Variable Value，键入 path （其中 path 是步骤 2 中记录的路径）。单击 OK 两次。再次单击 OK 关闭 Properties。

用记事本创建文件。打开记事本输入以下信息：

[Unicode] 
Unicode=yes 
[Version] 
signature="$CHICAGO$" 
Revision=1 
[Profile Description] 
Description=default perms for sysvol 
[File Security] 
;"%SystemRoot%\SYSVOL",0,"D:AR(A;OICI;FA;;;BA)" 
"%Sysvol%",2,"D:P(A;CIOI;GRGX;;;AU)(A;CIOI;GRGX;;;SO)(A;CIOI;GA;;; 
BA)(A;CIOI;GA;;;SY)(A;CIOI;GA;;;CO)" 
"%Sysvol%\domain\policies",2,"D:P(A;CIOI;GRGX;;;AU)(A;CIOI;GRGX;;; 
SO)(A;CIOI;GA;;;BA)(A;CIOI;GA;;;SY)(A;CIOI;GA;;;CO) 
(A;CIOI;GRGWGXSD;;;PA)" 

用此文件将安全设置应用到新的 SYSVOL 文件夹。将此文件另存为 Sysvol.inf。

打开新的命令提示符。不要使用桌面上已打开的命令提示符，因其没有适当的环境设置。更改目录至保存 Sysvol.inf 文件的文件夹。

在命令提示符下，在同一行键入以下命令：

SECEDIT /Configure /cfg sectemplatepath\sysvol.inf /db sectemplatepath\sysvol.db /overwrite

其中 sectemplatepath 是保存 Sysvol.inf 的路径。按 ENTER。

使用 Windows Explorer 删除重建的现有 %systemroot%\SYSVOL 文件夹。

连接到早些时候计划从中复制 SYSVOL 文件夹结构而识别为复制伙伴的域控制器上的 Admin$ 共享。

一旦连接到 Admin$ 共享点，检查出现标签为 SYSVOL 的文件夹。鼠标右键单击 SYSVOL 文件夹，然后单击 Copy。

同一目录下，找到空白区域，鼠标右键单击。再单击 Paste。您会看到一个对话框，显示有些文件已存在，还有提示符提问是否要继续复制文件夹。对此种提示，全部单击 No。

检查最初的 SYSVOL 文件夹和标记为 SYSVOL 副本的新文件夹都已出现。鼠标右键单击 Copy of SYSVOL ，然后单击 Rename。键入 SYSVOL2 ，然后按 ENTER。

打开命令提示符。更改为代表与创建 SYSVOL2 文件夹的远程域控制器连接的驱动器号。

更改目录至 SYSVOL2\sysvol。

键入 dir ，然后按 ENTER。检查 <JUNCTION> 都在 Dir 输出中出现，其后为域名。

必须更新此交接中的路径使其指向新位置。键入以下命令：

linkd junctionnamenewpath

其中 newpath 是表 1 第 4 行在收集系统卷路径信息时记录的值。按 ENTER。

若临时区域已重新定位且不在 SYSVOL 文件夹中，跳过步骤 10 和 11，执行步骤 12。在命令提示符下，更改目录至创建的 SYSVOL 副本下的 \SYSVOL2\staging areas。键入 dir 列出内容，检查 Dir 输出中是否有 <JUNCTION>。

更新交接使其指向新位置。键入以下命令：

linkd junctionnamenewpath

其中 newpath 是表 1 第 5 行在收集系统卷路径信息时记录的值。按 ENTER。

在命令提示符下，更改返回到修补的域控制器的 %systemroot%。

根据命令提示符，使用 Xcopy 命令复制创建的 \SYSVOL2 文件夹内容到本地驱动器的新 SYSVOL 文件夹。键入以下命令：

xcopydrive:\sysvol2\*.* sysvol\*.* /s /e /h /c /y

其中 drive 是代表到远程域控制器的连接。按 ENTER。

检查文件夹结构是否正确复制。对比新文件夹与远程域控制器上的 SYSVOL（不是 SYSVOL2）的文件夹结构。打开命令提示符，然后键入 dir ，列出文件夹内容。确认所有文件夹存在。

删除在远程域控制器上创建的 SYSVOL2 文件夹。

断开与远程域控制器的连接。若必须在该域控制上创建一个共享文件夹以与其连接，删除共享文件夹。有些组织认为保留不用的共享文件夹有安全风险。

正常方式重新启动域控制器。

使用 Ping 工具检查 SNTP 服务器可访问。键入 ping server （其中 server 是 SNTP 服务器的 DNS 名或 IP 地址），然后按 ENTER。

若需要为发送通信量打开 UDP 端口 123。

为接收 SNTP 通信量打开 UDP 端口 123（或所选择的其他端口）。

在命令提示符下，键入 w32tm -portnumber （其中 portnumber 是步骤 3 中描述的服务器端口），然后按 ENTER。

在命令提示符下，键入 net time /setsntp:server （其中 server 是 SNTP 服务器的 DNS 名或 IP 地址），然后按 ENTER。

检查已设置手动配置的时间源，在命令提示符下，键入 net time /querysntp ，然后按 ENTER 。

检查已显示 SNTP 服务器名。

停止并重新启动时间服务以使更改生效。

在命令提示符下，键入 net stop w32time ，然后按 ENTER。

在命令提示符下，键入 net time /setsntp ，然后按 ENTER。

检查已清除手动配置的时间源，在命令提示符下，键入 net time /querysntp ，然后按 ENTER。

在命令提示符下，键入 regedit ，然后按 ENTER 。

导航至以下注册表项并将值改为 1：

Hkey_Local_Machine\System\CurrentControlSet\Services\W32Time\Config\AnnounceFlags = 0x5

运行 w32tm /config /update。

使用 Ping 工具搜索 SNTP 服务器以确保其从客户端可访问。键入 ping server （其中 server 是 SNTP 服务器的 DNS 名或 IP 地址），然后按 ENTER。

在命令提示符下，键入 net time /setsntp:server （其中 server 是 SNTP 服务器的 DNS 名或 IP 地址），然后按 ENTER。

检查已手动配置的时间源，在命令提示符下，键入 net time /querysntp ，然后按 ENTER。

检查 SNTP 服务器名已显示。

在命令提示符下，键入 net time /setsntp ，然后按 ENTER。

检查已清除手动配置的时间源，在命令提示符下，键入 net time /querysntp ，然后按 ENTER。

确认收到如下消息：本计算机当前未配置为使用指定的 SNTP 服务器。

在命令提示符下，键入以下命令，然后按 ENTER：

w32tm -period value

其中 value 是以下之一：

停止并重新启动时间服务以使更改生效。

确认注册表中的间隔已改。

打开管理工具并选择 Services。

鼠标右键单击 Windows Time，然后选择 Properties。

此 Windows Time Properties 对话框出现。

在 Startup Type 字段，从下拉菜单中选择 Disabled 。

单击 OK。检查时间服务类型显示为 Disabled。

与另一域的管理员就建立信任所用的安全信道密码达成一致。

在被信任域，以域管理成员身份登录。

在 Active Directory 域与信任中，展开域树直至被信任域名出现，然后鼠标右键单击被信任域节点。

单击 Properties，然后单击 Trusts 选项卡。

在 Domains that trust this domain 框旁边，单击 Add。

在 Trusting domain 框中，键入信任域名。若添加 Windows 2000 域，键入完整的 DNS 名（此例中为noamreskit.com ）。若域运行的是 Windows 的早期版本，则键入域名（此例中为noam ）。

在 Password 框中，键入约定密码。

在 Confirm password 框中，再次键入密码，然后单击 OK。

出现消息显示无法验证信任。单击 OK。

注意： 此错误原因是 Windows 2000 试图验证安全信道。此时无法验证安全信道，因为信任的另一方还未创建。

单击 OK 关闭 Properties 工作表。

在信任域，以域管理成员身份登录。

在 Active Directory 域与信任，展开域树直至信任域名出现，然后鼠标右键单击信任域节点。

单击 Properties，然后单击 Trusts 选项卡。

在 Domains trusted by this domain 框旁边，单击 Add。

在 Trusted domain 框中，键入被信任域名。若添加 Windows 2003 域，键入完整的 DNS 名（此例中为acquired.com ）。若域运行的是 Windows 的早期版本，则键入域名（此例中为acquired ）。

在 Password 框中，键入约定密码。

在 Confirm password 框中，再次键入密码，然后单击 OK。

出现消息显示已添加被信任域而且已验证信任。单击 OK。

出现消息询问是否验证信任。单击 Yes，然后单击 OK。

单击 OK 关闭 Properties 工作表。

与另一域的管理员就建立信任所用的安全信道密码达成一致。

在第一域，以域管理成员身份登录。

在 Active Directory 域和信任，展开 reskit.com，然后鼠标右键单击 noam.reskit.com。

单击 Properties，然后单击 Trusts 选项卡。

在 Domains trusted by this domain 框旁边，单击 Add。

在 Trusted domain 框中，键入被信任域名。 若添加 Windows 2003 域，键入完整的 DNS 名。若域运行的是 Windows 的早期版本，则键入域名。

在 Password 框中，键入约定密码。

在 Confirm password 框中，再次键入密码，然后单击 OK。

出现消息显示信任无法验证。单击 OK。

注意： 此错误原因是 Windows 2003 试图验证安全信道。此时无法验证安全信道，因为信任的另一方还未创建。

在 Domains that trust this domain 框旁边，单击 Add。

在 Trusting domain 框中，键入信任域名。若添加 Windows 2000 域，键入完整的 DNS 名（此例中为acquired01-int.com ）。若域运行的是 Windows 的早期版本，则键入域名（此例中为acquired01-int ）。

在 Password 框中，键入约定密码。

在 Confirm password 框中，再次键入密码，然后单击 OK。

出现消息询问是否验证信任。单击 Yes。

单击 OK 关闭 Properties 工作表。

注意： 若在 acquired01-int.com 域中成功创建信任，则单击 Yes 验证信任。若未创建信任，单击 Yes 会显示错误。信任创建在 acquired01-int.com 域，信任有效。无须验证信任是否有效。

登录第一个域。

在 Active Directory 域和信任的控制台树，鼠标右键单击要删除的域节点之一，然后单击 Properties。

单击 Trusts 选项卡。

在 Domains trusted by this domain 或 Domains that trust this domain上，单击要删除的信任，然后单击 Remove。

对信任涉及的其他域重复此步骤。

用具有域管理员凭据的帐户登录信任域。

在命令提示符下，键入 netdom /filtersidstrusteddomain （其中 trusteddomain 是要筛选其 SID 的域），然后按 ENTER。

用具有域管理员凭据的帐户登录信任域。

在命令提示符下，键入 netdom /filtersids notrusteddomain （其中 trusteddomain 是先前应用 SID 筛选而现在要删除的信任域），然后按 ENTER。

在 Active Directory 站点和服务上，鼠标右键单击 Sites 容器，然后单击 New Site。

在 Name 框中，键入站点名。

在 Link Name 列表中，单击此站点的站点链接，然后单击 OK。

在 Active Directory 消息框中，读信息，然后单击 OK。

在 Active Directory 站点和服务上，展开 Sites 容器。

鼠标右键单击 Subnets，然后单击 New Subnet。

在 New Object - Subnet 对话框的 Address 框中，键入子网的网络地址或 IP 地址范围内的任何 IP 地址。

在 Mask 框中，键入子网掩码。

在 Site Name 框中，单击此子网关联的站点，然后单击 OK。

在 Active Directory 站点和服务上，展开 Sites 容器，然后单击 Subnets 容器。

在详细信息窗格，鼠标右键单击要与站点关联的子网，然后单击 Properties。

在 Site 框中，单击此子网关联的站点，然后单击 OK。

在 Active Directory 站点和服务上展开 Sites 容器，然后展开 Inter-Site Transports 容器。

鼠标右键单击 IP，然后单击 New Site Link。

在 Name 框中，键入站点链接的名称。

在 Sites not in this site link 框中，单击想添加至站点链接的站点。按住 SHIFT 键，单击列表中相邻的第二个站点，或按住 CTRL 键，单击列表中不相邻的第二个站点。

在选择所有想添加至站点链接的站点后，单击 Add，然后单击 OK。

在 Active Directory 站点和服务上展开 Sites 容器，然后展开 Inter-Site Transports 容器。

单击 IP。在详细信息窗格, 鼠标右键单击要从中删除站点的站点链接，然后单击 Properties。

在 Sites in this site link 框中，单击要从站点链接删除的站点。

单击 Remove，然后单击 OK。