把Windows2008R2域服務(wù)升級(jí)和遷移到WindowsServer2012R2上

1、把Windows2008R2域月艮務(wù)升級(jí)和遷移至IWindowsServer2012R2上（一）windowsServer2012R2中增加了不少功能，在AD角色中就增加了如下新特性:WorkplaceJoin:支持設(shè)備在不加入域的情況下，通過(guò)第二因子認(rèn)證和單點(diǎn)登錄通過(guò)web應(yīng)用代理訪問(wèn)內(nèi)部應(yīng)用：外部設(shè)備可以直接通過(guò)WeW用代理來(lái)訪問(wèn)內(nèi)部應(yīng)用和服務(wù),如：ADFSApplications。通過(guò)規(guī)則以決定訪問(wèn)ADFSS源的用戶權(quán)限，權(quán)限有三種：允許所有用戶訪問(wèn)、輸入憑據(jù)訪問(wèn)、拒絕用戶訪問(wèn)遷移工作可以有多種方式，常見(jiàn)的就是在不同設(shè)備上進(jìn)行遷移，這樣安全可靠。還有一種是就地升級(jí)的遷移，這種方式只限于能

2、直接升級(jí)到WindowsServer2012R2的系統(tǒng)，升級(jí)前做好系統(tǒng)備份工作。1.新安裝一臺(tái)Windowsserver2012R2服務(wù)器，打開(kāi)添加角色和功能對(duì)話框。3.在服務(wù)器選擇頁(yè)面，點(diǎn)擊下一步4.在服務(wù)器角色頁(yè)面，選擇AD域服務(wù)角色，點(diǎn)擊下一步5.在功能頁(yè)面，點(diǎn)擊下一步7.點(diǎn)擊下一步8.勾選“如果需要，自動(dòng)重新啟動(dòng)服務(wù)器”，點(diǎn)擊安裝9.安裝完成后點(diǎn)擊“將此服務(wù)器升級(jí)為域控制器”10.在部署配置頁(yè)面，選擇將域控制器添加到現(xiàn)有域，具體配置如圖所示，點(diǎn)擊下一步11.輸入目錄還原密碼，然后點(diǎn)擊下一步12.點(diǎn)擊下一步14.在路徑頁(yè)面，點(diǎn)擊下一步15.點(diǎn)擊下16.點(diǎn)擊下一步17.先決條件檢查通過(guò)后，

3、點(diǎn)擊安裝18.安裝完成后，點(diǎn)擊關(guān)閉19.在AD管理中心中看到，windowsserver2012R2服務(wù)器已經(jīng)成為域控制器*ActiveDirectory傳理中心bjdemo（本地）DomainControllers1»I*q內(nèi)口鵬4DomainCmrtrellAn.（7>,sisfa口M；*vu*rnsjrto,HlMM20UIJ*»-301nMi9s“MS113CMO一但«4XMWJ-唆事Ww*式¥ hogr*" Hli-yttwnOwwlflCbiiIiifllii.imTF«tamUwnMwimf»M0時(shí)事;怩

4、*EHtm殳RiffmwWtR：14苣M：劭?jī)?nèi)腐1回1AffeUtWndon.J91JKJ,X，/.net；人lJ(二)將域的五個(gè)角色轉(zhuǎn)移到Windowsserver2012R2AD域環(huán)境中的五大主機(jī)角色在WinServer多主機(jī)復(fù)制環(huán)境中，任何域控制器理論上都可以更改ActiveDirectory中的任何對(duì)象。但實(shí)際上并非如此，某些AD功能不允許在多臺(tái)DC上完成，否則可能會(huì)造成AD數(shù)據(jù)庫(kù)一致性錯(cuò)誤，這些特殊的功能稱(chēng)為“靈活單一主機(jī)操作”，常用FSM也表示，擁有這些特殊功能執(zhí)行能力的主機(jī)被稱(chēng)為FSMQt色主機(jī)。在WinAD域中，F(xiàn)SMOt五種角色，分成兩大類(lèi):森林級(jí)別(在整個(gè)林中只能有一臺(tái)DC

5、擁有訪問(wèn)主機(jī)角色)1:架構(gòu)主機(jī)(SchemaMaster)2：域命令主機(jī)(DomainNamingMaster)域級(jí)別(在域中只有一臺(tái)DC擁有該角色3: PDCWH器(PDCEmulator)4: RID主機(jī)(RIDMaster)5:基礎(chǔ)架構(gòu)主機(jī)(InfrastructureMaster)1:架構(gòu)主機(jī)控制活動(dòng)目錄整個(gè)林中所有對(duì)象和屬性的定義，具有架構(gòu)主機(jī)角色的DC是可以更新目錄架構(gòu)的唯一DC。這些架構(gòu)更新會(huì)從架構(gòu)主機(jī)復(fù)制到目錄林中的所有其它域控制器中。架構(gòu)主機(jī)是基于目錄林的，整個(gè)目錄林中只有一個(gè)架構(gòu)主機(jī)。2:域命令主機(jī)向目錄林中添加新域。從目錄林中刪除現(xiàn)有的域添加或刪除描述外部目錄的交叉引用對(duì)

6、象3:PDC1擬器向后兼容低級(jí)客戶端和服務(wù)器，擔(dān)任NT系統(tǒng)中PDQt色時(shí)間同步服務(wù)源，作為本域權(quán)威時(shí)間服務(wù)器，為本域中其它DC以及客戶機(jī)提供時(shí)間同步服務(wù),林中根域的PDC模擬器又為其它域PDC模擬器提供時(shí)間同步！密碼最終驗(yàn)證服務(wù)器，當(dāng)一用戶在本地DC登錄，而本地DC驗(yàn)證本地用戶輸入密碼無(wú)效時(shí)，本地DC會(huì)查詢PDC真擬器，詢問(wèn)密碼是否正確。首選的組策略存放位置，組策略對(duì)象（GPO）由兩部分構(gòu)成：GPTKGPC其中GPC#放在AD數(shù)據(jù)庫(kù)中，GP世認(rèn)存放PDC®擬器在windowssysvolsysvol<domainname>目錄下，然后通過(guò)DFS復(fù)制到本域其它DC中。nam

7、e域主機(jī)瀏覽器,提供通過(guò)網(wǎng)上鄰居查看域環(huán)境中所有主機(jī)的功能4:主機(jī)角色：RID主機(jī)Win環(huán)境中，所有的安全主體都有SID,SID由域SID+序列號(hào)組合而成，后者稱(chēng)為“相對(duì)ID"（RelativeID,RID）,在Win環(huán)境中，由于任何DC都可以創(chuàng)建安全主體，為保證整個(gè)域中每個(gè)DC所創(chuàng)建的安全主體對(duì)應(yīng)的SID在整個(gè)域范圍唯一性，設(shè)立該主機(jī)角色，負(fù)責(zé)向其它DC分配RID池（默認(rèn)一次性分配500個(gè)），所有非RID主機(jī)在創(chuàng)建安全實(shí)體時(shí)，都從分配給的RID池中分配RID,以彳證SID不會(huì)發(fā)生沖突！當(dāng)非RID主機(jī)中分配的RID池使用到80%寸,會(huì)繼續(xù)RID主機(jī)，申請(qǐng)分配下一個(gè)RID地址池！5:基

8、礎(chǔ)架構(gòu)主機(jī)基礎(chǔ)結(jié)構(gòu)主機(jī)的作用是負(fù)責(zé)對(duì)跨域?qū)ο笠眠M(jìn)行更新，以確保所有域間操作對(duì)象的一致性?；A(chǔ)架構(gòu)主機(jī)工作機(jī)制是定期會(huì)對(duì)沒(méi)有保存在本機(jī)的引用對(duì)象信息，而對(duì)于GC來(lái)說(shuō)，會(huì)保存當(dāng)前林中所有對(duì)象信息。如果基礎(chǔ)架構(gòu)主機(jī)與GC在同一臺(tái)機(jī)，基礎(chǔ)架構(gòu)主機(jī)就不會(huì)更新到任何對(duì)象。所以在多域情況下，強(qiáng)烈建議不要將基礎(chǔ)架構(gòu)主機(jī)設(shè)為GC接下來(lái)就開(kāi)始介紹如何利用ntdsutil.exe工具遷移五個(gè)主機(jī)角色1 .在windowsserver2012R2域控制器上，以管理員身份打開(kāi)Powershell,并且輸入ntdsutil.exe2 .輸入Rolesiirirudow4FOWFSlMll眼軌環(huán)有«?)?f&#

9、187;L3MicfosaftCcrpcrftion.保管斫有包利f節(jié)t;MrsersMjrninistrator<ttJl?t«O>ntd»ut>4,tKtC;Windcn*isyitswJ2ntdsul.i1.exrJRoltifsrnorsiratmiKP：一3.輸入connection凄S二WdwlcywsPowerSfriellrtindcRMSiPowerS-hel1|ih儀所右cel2013HidCdrporati保甯斯有釵"LPSCiUsers-Acfministrator.BJE3EFO>ntdsvltiI.exe匚：Wi

10、ndcrnys<tcal2ntuLi1.e;Rol，玄Mm-tintcnrari*:connectiofkserverconnecticnss,4.輸入connecttoserverwin2012R2(注：新的域控名稱(chēng))Corp&ratHntcKutilH&IekXULertVAdmftisnrjitor.njml!windou5£ysitn!¥2ntdiati'Pfiwt?traintcFrd»-*cc：Ucw*nv匚ttens>erv(rciiincXiQns;tQmcttt摩宏到win?D12r?.H引電Wird吟fP&a

11、mp;erShsI：5.輸入quit返回上層命令99：WindowsfnwcrShcllhindDMPcwer&liel/銀肺有<C)?013UicrospftCerpQr«ion,圖簾淅百枚利.P5C：U5er5*drtiini5tritor.5JDE«O*titdiuti1.rxcC：Xnyindon4£ytt«ml2rtdsLiti1.cut:Beltsfsft*ofii'interbaflc#:cairwctioa»servertorinKtins：connectt。serverir»2Q1Z2源定到*i

12、n201?r2.用本要索的閑產(chǎn)的挑證甚有fein?012r2.servercenneetions;qui-t7.輸入transferinfrastructuremaster,遷移基礎(chǔ)架構(gòu)主機(jī)角色，點(diǎn)擊是-CM113士.£獷。£味網(wǎng)行本rDPI(%LHlibNdtEir-L.L%IXEJEMlI.t%、產(chǎn)F.lf-,"：k)£'-CWMWTO&S#teiAg«Xh-OCf£MO.CM-StPVtr«nCIMMmJ1力Fir1,r12rudu士由1it肺貯i，CN*511CSpf*濫&rf"i6

13、1rsMKdnddBmfik豪癰電戶的憑福通尊M20n七erwercfvicctionfi"qi，tSC：W&er$,xAdHUMtr»tor.BJIMh(0>ntduitll.exe!srir>dofc5tpffJ?ntd4uti1.thRoVtrwi?rccriVKctionsfconccttoservermin?012r2f&ve)aHG貯亡wnEwrErjjrtsferrtaviMvJifiCerMiawM$nm掏-CKfcNiTOSSrtrifMjv.CNaDCOE*iO|NaServers普1g-Ch»NlDSettirig

14、i-l'i，1M2012R2.CN-SEirvei笈鼾有COJ0I3MicrosoftcorponticHi.保理所有出利L揖但博安認(rèn)巧清jI，仔mm主"rmMMm2r*:A3Dtiori|OC"bjdei*a*pckcmfrifIguratinntijdeiro.（施z逸,回總足.MA:WifvJwmPoxSheli1&,C»n*PC|>jd*wcDC-comianp箕-bideircK-ccmrieri.OC6m/!g.OCEMi8.輸入transferPDC,遷移PDC機(jī)角色，點(diǎn)擊是產(chǎn)。ECMII(Ci2013MicrofcSrpQut

15、iQn.保航所有投中33r：U"翳UMi(1"t"。日J(rèn)OftSKT*fltdutil.EX4*kwiradamXsyctesSJn.(tfcutil.ests*nrl包氐sinofHdimt.iErini.rice：CQTEEt+g、ciiv«rtS4His:cio-nncttoi<rv«rinJCIUrJ修率到win2Q12r2門(mén)車(chē)簟索的用戶的憑證在潴EnZCUNR.彳廿小ronnecri«n$:quit手mGtmoLDCU：1ran5fcrmining3Mt廠3-2科如遭詢震片推珥3Ktbesetinfl?XN«

16、iXDsrruer?!acw»Defnuitr-irsts-itfl-mir*iCMsiTrf'!；B<H*c&nfiauraticmtDCrbj«J?sMs,occ電生蛇CNMICSMtMgW.EWlM2OL2R2FCk-Octj.uU-fTCW-SSdurAti6rKDtb)diH-CwH7DSte,CiMDt(JEMCl-CK-JD二鵬E2$j£M=KDEk、M=引構(gòu)C-hTP%SrtlirHJ-iCH-OCECMOjClMmotnAlnienaince:irafiifrinfraiirut>tt"toinl012r2,

17、h如it/美匕作雨<kKfOSeETENmCMMOJlH|宓主機(jī)CH=WTD55ettinflsBCh-WIMJ-OLDTChNTD53/ttiriqCh!DCOfKlBC;工口儀NTQ3n中山區(qū)酬陽(yáng)-aHlCNNTDSSettings4di】NK)I2*2rmirwintmance;trflnfrrp'dcN=5ites,CNijmmationBM=4ideCN-Conf1rhri承，j/V1IX'»<miCNrCorifigur.IJg-rtn.£HC51f1"!i.tflOrt；bl-1>1IK1口-UN-WTfi£

18、;iFWj!fcpCM-OTDfHDCMcrrBCFl-OeFsiult-FiritSite-hxn-Thronfigurat貨檔一<M=MTIK,C*tWl»r2012R.2,CM=S-#一一上一一”-一-*上一i«如唾»,：>.'-lA-hEf'rv'j、e，iff-鏟*.&e【ii»w*1l：ikn«,但一e-八一仁三y“，ywr4!$MOF!111cb0JfliPIHl4PC_*CQ®settinjii工NIL?£H=s手昱u】t-F1P£t-SiteUaufia

19、B»*S5iratianrix=bid«ws(x=|&trn-b(f*rpdc卷若！*心”產(chǎn)爾次市定S件E院構(gòu)-CMHTFDSSettings.CIMXUM>ICN-S<fiier£rCMri|hefdUiH-Firit-s4tc-hiarCKCWaC-Orstiflur«tionBOC»«tojifDC*C«r命名正機(jī)HCht-wrftS5Mdm1N2Q*2R22N*5C：廣收E*5*63uilF"“，5壯片N»cKM4腫KQnffqu也口61.曜-bjOmil*DC-CH-NTDS

20、.ettiingih.Ck-WIMZOLZRJ：PC»-erwars,-Dwtau11-Firstte-hawPCM-SiteipcMEConfiguration,DCidbjdenerDCz(Jridcm尹川mistringtpCk*DTMMOc*r«srvrtjulr=rlrtsitri卜上廿,匚"rCtwifTijui/iJwirDCLbjdFHKJrOCyMhJSttg-<W-kT(K;缶昆Eqri(|4EM=.工ftJ.EMh邑亡LE于工F<：H-3faLi】E-F】r4E-Ci量也-Nimtf.£A=，EWE1sxzH奶F，曲/馬

21、，iAi'i.K匕bjiMiri*SBC-f*gzintEeirKe：t-rLTiFerr-i-dk一碇,LNsSlles,LN=CWf1QliFatifliriiMfiylte»icnnfiquLNEibn產(chǎn)Naw1«Jd躋C=MTOS仆*3CNum»F,EHOHULlI膜黑麟，B«煙衿-Cl餐心主機(jī)irjLiri<mi1CK：b-jdtrmjiXrocCNCflifiWiK-l?jdcoCNEMM孔rjJT內(nèi)吁Gult-Fifq：-3七穴，1'個(gè).|：H.1ng.C1MHisR£01Jli2pCN»S<

22、rvcris|C>t4«fAM1t-HWt-Si«-Huetruin>wbzftnce:七卻必瞳務(wù)修黜|RID回七r-rt,tn<e；trjuivferinJOUi-rE增克此CNTH?Settings；cmmtdj-bsetting's,七局XTM5eCtingsxeiMX的fi0門(mén)t*on.oc,iKrctoBCli«ConfiguratlM.DCablcInra.DC.,it。KXsClmFf典mEi.OCisbjch*&110cPDC-CWHTDSSCI?R?«!CN-MTDiset11r*gsPIrfOlJft

23、?/構(gòu)CKICSSettingsXN-wImSOIS10 .輸入transferschemamaster,遷移架構(gòu)主機(jī)角色，點(diǎn)擊是11 .輸入Netdomqueryfsmo,查看角色轉(zhuǎn)移情況nUtrHtor*8JDEH0>UJsFsMidninietrat&ik.BJDEPioneedfrquei*yFft*w構(gòu)主機(jī)UIN2012R2.hjdtho.cdhwsoftfindous2013nicrosoft所。保留所有權(quán)利名王機(jī)HINZ912R2,II1N23L2R2.Itjdenu.con池管理器WIH2ei2R2.bJdcnP.CQR主機(jī)UlN012ft2.bjaeno.cot

24、h成功完成.管理員:C;Windowss-ystern32cmd.exe（三）降級(jí)windowsserver2008R2域控級(jí)別，刪除上面域服務(wù)，然后windowsserver2012R2上提升域功能級(jí)別。1.首先我們登陸到windowsserver2008R2上（源域控服務(wù)器），運(yùn)行dcpromo。2.彈出域服務(wù)安裝向?qū)?，點(diǎn)擊下一步Directory域JR務(wù)x|J此外復(fù)機(jī)黑是ActiveDirectory閾空制器中同傳用r鶻攘碾毒服務(wù)器上的小山以由皿蠲有關(guān)配奈"Dinctor爐臟雕符的注細(xì)隹息|下一步黨”取消彈3.彈出警告，點(diǎn)擊確定©IActiveDirectory技解務(wù)

25、安攀向?qū)g迎使用ActiveDirectory域獴務(wù)安裝茴導(dǎo)此計(jì)算愚IhmoMy域控制署分可使用章茴翩海毒服務(wù)器上的4cDirtctry上赫AetinSiraetery展庵努安裝向?qū)戶前8用之Ct詈*II于域務(wù),用F服意地錄Ct芳dssAE飛=可褊矗ai制口確息.Mi錄&器中全局編Active可訪問(wèn)其他蠲定5.在刪除DN峻派頁(yè)面，點(diǎn)擊下一步6.輸入新的管理員密碼，然后點(diǎn)擊下一步7,在摘要頁(yè)面點(diǎn)擊下一步8.卸載完成后，回到windowsserver2012R2域控制器上，然后打開(kāi)AD管理中心，在任務(wù)欄中點(diǎn)擊“提升林功能級(jí)別”。瞳Oirvdor.ActiveDirectory管理中心*b

26、jdemo體地）（«*adbiMnhlMiDvRhJT<sn£ai-nwforup_MM!如SrFWflMd.網(wǎng)BQvMk片摩即b>UiTPMMwtK*tffN*v*msan*CT-MAWW*if鹿QuOtfeIpiKCOjteUjHlV1liii/gf,g接下來(lái)用同樣方法，提升域功能級(jí)別，到這里，域升級(jí)的工作步驟就差不多了，接下來(lái)就是在工作中驗(yàn)證新遷移的域有沒(méi)有存在身份驗(yàn)證問(wèn)題，所以建議在域遷移升級(jí)后，不要急于刪掉原來(lái)的域控制器，等確保無(wú)誤后，再刪除域控?？梢陨?jí)到這些版本W(wǎng)indowsServer2012R2Standard或WindowsServer201

27、2R2DatacenterWindowsServer2012R2DatacenterWindowsServer2012R2StandardWindowsServer2012R2Standard或WindowsServer2012R2DatacenterWindowsServer2012R2DatacenterWindowsServer2012R2Standard（四）利用就地升級(jí)的方式升級(jí)域控制器到windowsserver2012R2卜表列出了支持就地升級(jí)的路徑:可以將運(yùn)行WindowsServer200864位版本或WindowsServer2008R2的域控制器升級(jí)至ijWindowsServer2012R2。運(yùn)行WindowsServer2003或WindowsServer200832位版本的域控制器則無(wú)法升級(jí)。若要替換它們，請(qǐng)?jiān)谟蛑邪惭b運(yùn)行WindowsServer2012R2的域控制器，然后刪除運(yùn)行WindowsServer2003的域控制器。如果運(yùn)行下列版本帶有SP2的WindowsServer2008Standard或帶有SP2的WindowsServer2008Enterprise帶有SP2的WindowsServer2008DatacenterWindowsWebServer2008帶有SP1的WindowsS