Windows Server 2003 域控搭建与 FSMO 迁移实战指南

简介：本资源是一份面向Windows Server 2003域环境管理员与系统运维初学者的实战型技术文档，聚焦主域控制器（PDC）与辅助域控制器（ADC）的完整部署流程，以及关键FSMO角色迁移的两种方式（转移与强制夺取），解决单点故障风险、高可用架构搭建及灾备切换等核心问题。资源为1个566KB的Word文档（.docx），内容结构清晰，涵盖主/辅域控搭建的详细步骤（含dcpromo向导配置项说明）、五类FSMO角色（RID/PDC/基础结构/架构/域命名）的图形化操作路径与命令行实操（ntdsutil全流程指令）、全局编录迁移方法及备份要点，附有典型IP规划、DNS设置、连接验证等易错环节提示。目前已有2064人学习下载，适合需在真实或模拟环境中完成域服务冗余部署与主控平滑迁移的技术人员系统掌握操作逻辑与排错思路。

1. Windows Server 2003 域控环境搭建：别急着点“下一步”，先看这三处必翻车的配置点

你手头刚配好两台 Windows Server 2003 Enterprise Edition 虚拟机，主控叫 A、辅控叫 B，IP 分别是 1.1.1.1/8 和 1.1.1.2/8，DNS 指向主控——看起来一切就绪，双击dcpromo开始装域控。结果装到一半卡在“DNS 注册诊断”报错，或者重启后客户端死活加不了域，甚至辅助域控同步失败、用户登录提示“找不到域控制器”。这不是玄学，是 Windows Server 2003 域服务对网络基础、命名规范和权限路径极其敏感的典型表现。这套环境虽已退出主流支持多年，但在某高校实验室、某老旧工控系统、某遗留 OA 迁移项目中仍真实存在；它不挑硬件，但极度挑配置逻辑——少设一个 DNS 后缀、多打一个空格、路径里带中文或空格、NETBIOS 名超 15 字，都可能让整个 AD 林建不起来。本文全程基于你手头真实的 Server 2003 SP2 环境（非 R2），所有步骤经实机复现验证，不依赖外部更新、不假设网络已优化、不跳过任何向导页的隐藏选项。适合正在啃老系统迁移任务的运维同学、备考 MCSE 2003 的考生，以及被甲方临时拉来救火、连ntdsutil都没敲过几遍的开发者。我们不讲抽象概念，只讲：A 机怎么装才不会卡在第 7 步，B 机怎么配才能秒通复制，以及当主控突然宕机时，哪条命令能让你 5 分钟内把五类 FSMO 角色全抢过来。

2. 主域控制器（DC-A）部署：从 dcpromo 向导到重启前的七项硬核确认

2.1 系统准备：不是装完 OS 就能开干，必须做这四件事

在运行dcpromo前，请务必完成以下检查。跳过任一项，后续大概率回退重装：

• 网络配置锁定：
  打开“网络连接” → 右键本地连接 → “属性” → 双击“Internet 协议 (TCP/IP)” → 手动设置 IP：1.1.1.1，子网掩码：255.0.0.0，DNS 服务器地址填127.0.0.1（关键！不能留空、不能填外网 DNS）。

  提示：Server 2003 域控制器必须将自身设为首选 DNS，否则dcpromo会因无法注册_msdcs.jiajie.comSRV 记录而失败。这是新手最常踩的坑，现象是向导卡在“验证 DNS 配置”页，日志报错0x0000251D。

• 计算机名与工作组清理：
  右键“我的电脑” → “属性” → “计算机名”选项卡 → 确认“计算机名为A”，“隶属于”必须是WORKGROUP（不能是其他域名或已加入域）。若显示为域，则先点“更改” → 选“工作组” → 输入WORKGROUP→ 确定 → 重启。

  注意：A是 NetBIOS 名，必须全大写、无下划线、无连字符、长度 ≤15 字符。jiajie.com是 DNS 域名，二者语义分离，不可混用。

• 系统盘空间与权限：
  确保系统盘（通常是 C:\）剩余空间 ≥ 2GB。活动目录数据库（ntds.dit）默认存于%SystemRoot%\NTDS\，日志存于%SystemRoot%\NTDS\，共享系统卷（SYSVOL）存于%SystemRoot%\SYSVOL\。这三个路径必须位于 NTFS 分区，且安装账户需对C:\Windows具有完全控制权限（默认 Administrator 满足）。

• 关闭无关服务与防火墙：
  运行services.msc，确认以下服务状态：

  • DNS Client：自动，已启动（即使你还没装 DNS 服务，此客户端必须运行）
  • Server：自动，已启动
  • Workstation：自动，已启动
  • Windows Firewall/Internet Connection Sharing (ICS)：禁用（Server 2003 防火墙默认开启，会拦截 LDAP 389、Kerberos 88、DNS 53 等端口）

2.2 dcpromo 向导执行：每一步参数含义与避错逻辑

按Win + R→ 输入dcpromo→ 回车，启动活动目录安装向导。以下为各关键页操作说明（非截图式罗列，重在解释“为什么这么选”）：

• “欢迎使用”页：勾选“在向导中显示这些页面”，避免跳过诊断步骤。

• “域控制器类型”页：选择“新域的域控制器”。

  解释：这是新建林（Forest）的起点，不是加入现有域。若误选“现有域的域控制器”，向导会要求输入域凭据，此时域根本不存在，必然失败。

• “创建新域”页：选择“在新林中的域”。

  注意：Server 2003 不支持“新域树中的域”（即同一林下多根域名），此处唯一合法选项就是“新林”。

• “新域的 DNS 全名”页：输入jiajie.com（小写，无空格，不带前导/后缀）。

  关键逻辑：该名称将成为 DNS 区域名、LDAP 根命名上下文（dc=jiajie,dc=com）、Kerberos realm。它必须能被 DNS 解析（所以前面强制设本机为 DNS），且不能与公网已注册域名冲突（测试环境可忽略，但生产环境务必查 WHOIS）。

• “NetBIOS 域名”页：输入JIAJIE（全大写，≤15 字符，无标点）。

  血泪经验：若输成jiajie或JiaJie，向导会自动转为大写，但某些旧客户端（如 Windows 98/ME）可能因大小写敏感导致登录失败。统一用大写最稳妥。

• “数据库和日志文件位置”页：保持默认C:\Windows\NTDS\，切勿修改为 D:\ 或其他路径。

  原因：Server 2003 的dcpromo对非系统盘路径支持极差，曾出现日志文件写入失败、数据库初始化中断等问题。如确需迁移，应在安装完成后用ntdsutil移动，而非向导中指定。

• “共享的系统卷 (SYSVOL)”页：保持默认C:\Windows\SYSVOL\。

  注意：SYSVOL 必须位于 NTFS 卷，且其父目录（C:\Windows）权限需包含Authenticated Users的读取权限（向导自动配置，无需手动干预）。

• “DNS 注册诊断”页：选择第二项：“是，我在该计算机上安装并配置 DNS 服务器”。

  解释：这是 Server 2003 域控的强依赖。选择此项后，向导会自动安装 DNS 服务，并为jiajie.com创建正向查找区域，添加_ldap._tcp.dc._msdcs.jiajie.com等关键 SRV 记录。若选第一项（“否，我将稍后手动配置”），则必须确保已有 DNS 服务器且已正确配置所有 AD 所需记录，否则域功能残缺。

• “权限”页：选择“Windows 2000 或 Windows Server 2003 兼容性”。

  说明：此选项决定默认组策略模板和安全描述符格式。选此项兼容性最好，避免与旧客户端（如 Win2K、XP）交互异常。若未来需升级至 Server 2008+，再提升林功能级别。

• “管理员密码”页：输入adchina（作为目录服务还原模式密码，DSRM Password）。

  重要：此密码独立于 Administrator 账户密码，仅用于进入 DSRM（按 F8 启动时选择）。务必记牢，丢失则无法修复 AD 数据库。建议写在加密文本中，而非贴在显示器上。

• “摘要”页：点击“下一步”前，务必点击“导出设置”按钮，保存一份.dcp配置文件（如a-dc-config.dcp）。

  后悔药：若安装中途失败或重启后服务异常，可用该文件重新触发向导，避免重复填表。

向导开始安装，进度条走完后提示重启。不要立即点“完成”，先打开事件查看器（eventvwr.msc）→ 查看“系统”日志，确认无Error级别事件（尤其关注NTDS General、DNS Server、Netlogon源）。若有Event ID 1311（DNS 注册失败）或Event ID 1925（复制失败），请立即回退检查 DNS 配置。

2.3 重启后验证：五项命令级检查，拒绝“看起来正常”

重启进入桌面后，执行以下命令逐项验证，任一失败即表示域控未真正就绪：

# 1. 检查 Netlogon 服务状态（AD 核心服务） sc query netlogon # 正常输出：STATE : 4 RUNNING；若为 1 STOPPED，运行 net start netlogon # 2. 验证 DNS 是否成功注册关键 SRV 记录 nslookup -type=srv _ldap._tcp.dc._msdcs.jiajie.com # 正常应返回：A.jiajie.com 的 IP 地址（1.1.1.1）及端口 389；若返回 *** Can't find ...: Non-existent domain，说明 DNS 区域未创建或记录缺失 # 3. 测试 LDAP 连接（本机直连） ldp.exe # 在 LDP 窗口 → Connection → Connect → Server: localhost, Port: 389, SSL: 不勾选 → OK；若连接失败，检查 Windows Firewall 是否禁用、端口 389 是否被占用 # 4. 查询域控制器角色（确认 PDC 仿真主机在 A 上） netdom query fsmo # 正常输出中 "PDC Role" 行应显示 "A.jiajie.com" # 5. 检查 SYSVOL 共享是否发布 net share # 输出中应含 "SYSVOL" 和 "NETLOGON" 两项，路径指向 C:\Windows\SYSVOL\sysvol 和 C:\Windows\SYSVOL\scripts

若nslookup失败，立即检查 DNS 控制台（dnsmgmt.msc）→ 展开“正向查找区域” → 确认存在jiajie.com区域 → 右键 → “属性” → “区域传送”选项卡 → 确保“允许区域传送”已勾选（辅助域控需要此权限）。若无该区域，需手动创建并导入向导应生成的记录。

3. 辅助域控制器（DC-B）部署：网络连通性是前提，DNS 指向是命门

3.1 网络与 DNS 预检：三步不通，后面全是白忙

DC-B 的部署成败，90% 取决于网络层是否真正打通。请严格按顺序执行：

• 步骤 1：IP 与 DNS 静态绑定
  DC-B 网络配置：IP1.1.1.2，子网掩码255.0.0.0，首选 DNS 服务器必须为1.1.1.1（DC-A 的 IP），备用 DNS 可留空或填127.0.0.1（但不推荐，因 DC-B 尚未装 DNS 服务）。

  注意：绝对禁止将 DC-B 的 DNS 指向公网 DNS（如114.114.114.114）或0.0.0.0。否则dcpromo无法解析jiajie.com的 SOA 记录，直接报错0x0000251D。

• 步骤 2：双向连通性验证
  在 DC-B 上依次执行：

  ping 1.1.1.1 # 测试基础 ICMP 连通 nslookup jiajie.com # 测试 DNS 解析，应返回 1.1.1.1 nslookup -type=srv _kerberos._tcp.jiajie.com # 测试关键 SRV 记录，应返回 A.jiajie.com 及端口 88 telnet 1.1.1.1 389 # 测试 LDAP 端口（需先启用 Telnet 客户端：Control Panel → Add/Remove Programs → Add Windows Components → Telnet Client）

  若telnet失败（连接被拒绝），检查 DC-A 的 Windows Firewall 是否禁用、netlogon服务是否运行、端口 389 是否被其他程序占用（如 IIS 的 FTP 服务有时会抢占）。

• 步骤 3：时间同步强制校准
  DC-B 时间必须与 DC-A 误差 ≤ 5 分钟，否则 Kerberos 认证失败。在 DC-B 上执行：

  w32tm /config /syncfromflags:manual /manualpeerlist:"1.1.1.1" /reliable:yes /update net stop w32time && net start w32time w32tm /resync

  验证：w32tm /query /status中 “Source” 应显示1.1.1.1，“Last Successful Sync Time” 应为近期时间。

3.2 dcpromo 安装辅助域控：与主控的关键差异点

在 DC-B 上运行dcpromo，向导流程与主控高度相似，但以下页面存在本质区别：

• “域控制器类型”页：必须选择“现有域的额外域控制器”。

  错误示范：若误选“新域的域控制器”，向导会尝试创建新林，导致两个互不信任的域，后续无法修复。

• “网络凭据”页：输入具有域管理员权限的账户。

  • 用户名：JIAJIE\Administrator（NetBIOS 域名\用户名）或Administrator@jiajie.com（UPN 格式）
  • 密码：adchina（即主控安装时设置的目录服务还原密码）

  注意：此处密码是域管理员密码，不是 DC-B 本地 Administrator 密码。若忘记域管理员密码，需用 DSRM 登录 DC-A 重置。

• “域名”页：输入jiajie.com（与主控完全一致，大小写敏感）。

  常见错误：输成JIAJIE.COM或jiajie，向导会报错The specified domain does not exist or cannot be contacted。

• “目录服务还原模式密码”页：再次输入adchina。

  说明：辅助域控的 DSRM 密码可与主控不同，但为简化管理，建议统一。此密码仅用于 DC-B 本机的 DSRM 模式。

• “摘要”页：同样点击“导出设置”，保存b-dc-config.dcp。

  提示：辅助域控安装耗时远长于主控（因需同步数 GB 的 AD 数据库），耐心等待，勿强制中断。

安装完成后重启。重启后不要急于验证，先等 5-10 分钟——AD 复制是异步过程，初始同步需时间。

3.3 复制状态验证：不止看“绿灯”，要看具体对象同步

3.3.1 图形化工具：Active Directory Sites and Services

打开dssite.msc→ 展开Sites→Default-First-Site-Name→Servers→A和B→ 分别右键NTDS Settings→ “属性” → 切换到“常规”选项卡：

• 确认“服务器”字段显示A.jiajie.com和B.jiajie.com
• 点击“立即复制”按钮（针对CN=Configuration,DC=jiajie,DC=com和DC=jiajie,DC=com两个命名上下文）
• 查看“复制状态”栏：应显示“成功”且时间戳为当前时间

若显示“复制失败”，右键NTDS Settings→ “所有任务” → “检查复制拓扑”，观察是否有红色叉号。常见原因：DC-B 的 DNS 未正确解析 DC-A 的 GUID 域名（如6ac5f9e2-1a2b-4c3d-8e9f-0123456789ab._msdcs.jiajie.com）。

3.3.2 命令行深度验证：repadmin 工具（需提前安装）

Server 2003 默认不带repadmin，需从 Windows Server 2003 Resource Kit Tools 安装。若未安装，用以下替代方案：

# 方法 1：用 dcdiag 检查复制健康度（系统自带） dcdiag /test:replications /v # 方法 2：手动查询 USN（更新序列号）确认数据新鲜度 replica version on DC-A: dsquery * "CN=A,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=jiajie,DC=com" -attr msDS-ReplicationEpoch replica version on DC-B: dsquery * "CN=B,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=jiajie,DC=com" -attr msDS-ReplicationEpoch

正常情况：两台 DC 的msDS-ReplicationEpoch值应完全相同（如均为1）。若 DC-B 值为0，说明复制未启动。

3.3.3 用户级验证：从客户端发起真实登录测试

在一台 Windows XP 或 Windows 7 客户端（加入域前）执行：

• 网络配置：IP 与 DC 同网段（如1.1.1.10），DNS 指向1.1.1.1
• 右键“我的电脑” → “属性” → “计算机名” → “更改” → “域” → 输入jiajie.com→ 确定
• 提示输入凭据时，输入JIAJIE\Administrator和密码adchina
• 成功后重启，登录界面应出现jiajie.com域选项

若加域失败，错误代码0x00002113表示 DNS 解析失败；0x0000232B表示找不到域控制器——请立即回溯 DC-B 的 DNS 配置和nslookup结果。

4. FSMO 角色迁移与全局编录切换：图形化操作易错，命令行才是稳态保障

4.1 迁移前必做：系统状态完整备份（ntbackup 的实操要点）

在 DC-A（原主控）上运行ntbackup，执行系统状态备份（System State Backup），这是 FSMO 迁移的后悔药：

• 打开ntbackup.exe→ “备份向导” → 下一步 → 勾选“系统状态” → 下一步
• 备份目标必须是本地磁盘或网络共享路径（如\\A\backup\dc-a-systemstate.bkf），严禁选“我的文档”或桌面（路径含空格或中文会导致备份失败）
• “高级”选项 → 确保“备份系统状态”和“备份注册表”均勾选 → “备份类型”选“正常”（非增量）
• 点击“完成”，等待备份结束（约 15-30 分钟）

验证备份有效性：备份完成后，打开ntbackup→ “还原向导” → 选择刚生成的.bkf文件 → 勾选“系统状态” → 点击“高级” → 勾选“还原系统状态和启动文件” → 下一步 → 完成。此操作不实际还原，仅验证文件可读。若报错“无法读取备份集”，说明备份损坏，需重做。

4.2 五大 FSMO 角色迁移：图形化操作详解与致命陷阱

FSMO（Flexible Single Master Operations）角色共五类，其中三类（RID、PDC、Infrastructure）可在“Active Directory 用户和计算机”中迁移，两类（Domain Naming、Schema）需在对应管理单元操作。以下是精确到鼠标点击路径的操作：

4.2.1 RID、PDC、Infrastructure 主机迁移（在 DC-B 上操作）

• 打开dsa.msc（Active Directory 用户和计算机）
• 右键左侧树状图顶部的jiajie.com→ “连接到域控制器” → 输入B.jiajie.com→ 确定
• 再次右键jiajie.com→ “操作主机” → 弹出窗口：
  • RID 主机：切换到“RID”选项卡 → “更改” → 选择B.jiajie.com→ 确定
  • PDC 主机：切换到“PDC”选项卡 → “更改” → 选择B.jiajie.com→ 确定
  • Infrastructure 主机：切换到“基础结构”选项卡 → “更改” → 选择B.jiajie.com→ 确定

致命陷阱：若“操作主机”窗口中三个选项卡均灰显，说明你未成功连接到 DC-B（右键连接时未输入正确 FQDN 或连接失败）。此时需先确认netdom query fsmo在 DC-B 上是否显示B.jiajie.com为当前持有者。

4.2.2 Domain Naming 主机迁移（在 DC-B 上操作）

• 打开domain.msc（Active Directory 域和信任关系）
• 右键左侧顶部的“Active Directory 域和信任关系” → “连接到域控制器” → 输入B.jiajie.com→ 确定
• 右键同一项 → “操作主机” → “更改” → 选择B.jiajie.com→ 确定

4.2.3 Schema 主机迁移（在 DC-B 上操作，需提前注册）

• 注册 Schema MMC 插件（仅需一次）：
  regsvr32 schmmgmt.dll（运行后提示“DllRegisterServer 成功”）
• 打开 MMC（mmc.exe）→ “文件” → “添加/删除管理单元” → “添加” → 选中“Active Directory 架构” → “添加” → “关闭” → “确定”
• 右键“Active Directory 架构” → “更改域控制器” → “指定名称” → 输入B.jiajie.com→ 确定
• 右键“Active Directory 架构” → “操作主机” → “更改” → 选择B.jiajie.com→ 确定

注意：若“Active Directory 架构”管理单元未出现在添加列表中，说明schmmgmt.dll未正确注册，需重试regsvr32。

4.3 全局编录（GC）切换：站点服务中的精准定位

全局编录是域林范围的只读副本，存储常用属性。迁移 GC 需在“Active Directory 站点和服务”中操作：

• 打开dssite.msc
• 展开Sites→Default-First-Site-Name→Servers→A→ 右键NTDS Settings→ “属性”
• 取消勾选“全局编录”→ 确定
• 展开Servers→B→ 右键NTDS Settings→ “属性”
• 勾选“全局编录”→ 确定

验证：在 DC-B 上运行nltest /dsgetdc:jiajie.com /gc，应返回B.jiajie.com；在客户端执行set logonserver，应显示\\B。

4.4 常见问题排查：迁移后服务异常的四大现象与解法

本节基于真实翻车场景整理，每一条都对应一次凌晨三点的紧急电话。

• 现象 1：迁移后用户无法登录，错误代码 0x00000775（找不到域控制器）
  原因：DNS 中jiajie.com的_gc._tcpSRV 记录未更新，客户端仍尝试连接 DC-A 的 GC。
  解决：在 DC-B 上打开 DNS 控制台 →jiajie.com区域 → 查找_gc._tcp子域 → 删除所有指向A.jiajie.com的记录 → 右键_gc._tcp→ “刷新” → 等待 5 分钟，nslookup -type=srv _gc._tcp.jiajie.com应返回B.jiajie.com。

• 现象 2：netdom query fsmo显示部分角色仍在 DC-A，但图形化界面显示已迁移
  原因：AD 复制延迟，或netdom查询了缓存的 DNS 记录。
  解决：在 DC-B 上执行ipconfig /flushdns→netdom query fsmo /domain:jiajie.com（强制指定域）→ 若仍错误，重启netlogon服务。

• 现象 3：迁移 Schema 主机后，adprep /forestprep报错“访问被拒绝”
  原因：执行adprep的账户未被加入“Schema Admins”组。
  解决：在 DC-B 上打开dsa.msc→ 查看“内置”容器 → 双击“Schema Admins” → “成员”选项卡 → 添加执行adprep的账户 → 等待 15 分钟复制生效。

• 现象 4：全局编录勾选后，DC-B 事件日志报错 Event ID 1108（GC 初始化失败）
  原因：DC-B 的硬盘空间不足（GC 需额外 ~20% 空间存储索引），或C:\Windows\NTDS\权限异常。
  解决：清理磁盘空间至 ≥ 3GB → 运行icacls "C:\Windows\NTDS" /grant "NT AUTHORITY\SYSTEM:(OI)(CI)F" /t重置权限。

5. 迁移后验证与稳定性加固：从“能跑”到“敢用”的七项实测

5.1 FSMO 角色最终确认：五条命令，一条都不能少

在 DC-B（新主控）上以管理员身份打开命令提示符，逐行执行并确认输出：

# 1. 综合查询（最权威） netdom query fsmo # 2. 单独验证 PDC（登录认证核心） echo %LOGONSERVER% # 3. 验证 RID（SID 分配） dsquery server -hasfsmo rid # 4. 验证 Infrastructure（跨域对象引用） dsquery server -hasfsmo infrastructure # 5. 验证 Domain Naming（域林结构） dsquery server -hasfsmo naming # 6. 验证 Schema（架构修改权限） dsquery server -hasfsmo schema # 7. 验证 GC（全局搜索能力） nltest /dsgetdc:jiajie.com /gc

正常输出：所有命令均应返回B.jiajie.com或\\B。若任一命令返回A.jiajie.com，说明该角色未真正迁移，需回溯 4.2 节操作。

5.2 复制健康度深度扫描：repadmin 的进阶用法（需 Resource Kit）

若已安装repadmin（从 Server 2003 Resource Kit），执行以下命令获取黄金指标：

# 检查所有复制连接状态 repadmin /showrepl * # 查看最近一次复制时间（重点关注 "Last attempt" 和 "Last success"） repadmin /showrepl B.jiajie.com /verbose # 强制触发一次全量复制（针对特定命名上下文） repadmin /syncall B.jiajie.com dc=jiajie,dc=com /AdeP # 检查复制元数据冲突（高危信号） repadmin /showobjmeta "CN=Administrator,CN=Users,DC=jiajie,DC=com" B.jiajie.com

关键解读：repadmin /showrepl输出中，Last success时间应 ≤ 1 小时；若出现ERROR_OUT_OF_SCOPE或ERROR_DS_DRA_BAD_DN，说明对象 DN 损坏，需用ntdsutil清理。

5.3 用户与组策略实测：模拟真实业务场景

• 场景 1：新用户创建与登录
  在 DC-B 上打开dsa.msc→ 右键Users→ “新建” → “用户” → 创建testuser→ 设置密码 → 勾选“密码永不过期” → 确定。
  在客户端加域后，用testuser登录，验证：

  • 桌面背景是否应用了域策略（如公司 Logo）
  • gpresult /h report.html生成的报告中，“已应用的组策略对象”应包含Default Domain Policy

• 场景 2：组策略更新时效性
  修改Default Domain Policy→ “计算机配置” → “管理模板” → “系统” → “登录” → 启用“始终等待网络” → 确定。
  在客户端运行gpupdate /force→gpresult /r，确认新策略已加载。

  注意：Server 2003 组策略刷新默认 90 分钟，gpupdate /force可强制立即应用。

• 场景 3：跨域资源访问（若未来扩展）
  创建一个共享文件夹\\B\share→ 右键属性 → “共享”选项卡 → “共享此文件夹” → “权限” → 添加JIAJIE\Domain Users→ 读取。
  用testuser登录另一台机器，访问\\B\share，应能正常浏览。

5.4 稳定性加固：三处 Windows Server 2003 特有的“续命”配置

Server 2003 的 AD 服务在长期运行后易出现内存泄漏或句柄耗尽，以下配置可显著提升稳定性：

• 调整 Netlogon 服务恢复策略：
  services.msc→ 右键Netlogon→ “属性” → “恢复”选项卡 →

  • 第一次失败：重新启动服务
  • 第二次失败：重新启动服务
  • 后续失败：重新启动服务
  • 重置失败计数：1 天

  作用：当 Netlogon 因内存问题崩溃时，自动重启而非挂起。

• 禁用不必要的 DNS 记录动态更新：
  DNS 控制台 → 右键jiajie.com区域 → “属性” → “常规”选项卡 → 取消勾选“允许动态更新” → 确定。

  原因：Server 2003 DNS 动态更新存在竞争条件，可能导致_msdcs子域记录混乱。域控记录由 AD 自动维护，无需客户端更新。

• 设置事件日志最大大小与覆盖策略：
  eventvwr.msc→ 右键“系统”日志 → “属性” →

  • “最大日志大小”：10240 KB（10MB）
  • “当日志达到最大值时”：按需要覆盖事件

  避免日志满导致netlogon服务停止写入，引发复制中断。

从那以后我每次做完 FSMO 迁移，都会强制走一遍netdom query fsmo+repadmin /showrepl+ 客户端登录三连测，哪怕甲方说“看着没问题了”。因为 Server 2003 的 AD 就像一台老式机械表，表面走时准确，但发条松动、游丝偏移的隐患，往往在你关掉远程桌面后的第三个小时才爆发。希望帮到你。

本文还有配套的精品资源，点击获取