• Gérer les rôles FSMO
• Créer une délégation de contrôle

Lorsque vous souhaitez désigner un nouveau maitre pour un rôle FSMO, il est fortement recommandé de transférer le rôle FSMO souhaité lorsque le contrôleur de domaine source et celui de destination sont accessibles.
Néanmoins, en cas de panne du serveur qui était maitre pour un ou plusieurs rôles FSMO, vous devrez obtenir les rôles FSMO concernés de force.

IMPORTANT : lorsque vous désignez un nouveau maitre pour un ou plusieurs rôles FSMO, vous devez vous assurer que l'ancien serveur qui était maitre de ces rôles ne sera jamais réintégré à votre réseau au risque de corrompre votre infrastructure Active Directory.

1. Impossible de forcer le transfert d'un rôle FSMO via l'interface graphique
2. Forcer le transfert d'un rôle FSMO via la ligne de commandes (ntdsutil)
   1. Forcer le transfert du rôle FSMO "Maître d’opérations RID" en ligne de commandes (ntdsutil)
   2. Forcer le transfert du rôle FSMO "Emulateur PDC" en ligne de commandes (ntdsutil)
   3. Transférer le rôle FSMO "Maitre d'infrastructure" en ligne de commandes (ntdsutil)
   4. Transférer le rôle FSMO "Maître d'attribution des noms de domaines" en ligne de commandes (ntdsutil)
   5. Transférer le rôle FSMO "Maître de schéma" en ligne de commandes (ntdsutil)
   6. Quitter ntdsutil
   7. Vérifier que les rôles FSMO ont été obtenus

1. Impossible de forcer le transfert d'un rôle FSMO via l'interface graphique

Lorsqu'un contrôleur de domaine qui était désigné comme maitre pour un ou plusieurs rôles FSMO tombe en panne, il est impossible de transférer le rôle concerné depuis l'interface graphique de Windows Server.

Si vous tentez d'afficher le maitre actuel du rôle FSMO souhaité :

• le nom du maitre sera : Erreur
• et ce message s'affichera : Le maître d'opérations actuel est hors connexion. Le rôle ne peut pas être transféré.

Si vous tentez de cliquer sur le bouton "Modifier", l'avertissement normal s'affichera.

Mais quand vous confirmerez le transfert du rôle en cliquant sur Oui, cet avertissement s'affichera :

Plain Text

Le transfert du rôle de maître d'opérations ne peut pas être effectué car :
L'opération FSMO demandée a échouée. Le propriétaire FSMO actuel n'a pas pu être contacté.

2. Forcer le transfert d'un rôle FSMO via la ligne de commandes (ntdsutil)

Pour commencer, lancez un invite de commandes en tant qu'administrateur et tapez :

Batch

ntdsutil

Ensuite, rentrez dans le mode de maintenance FSMO en tapant :

Batch

roles

Pour afficher la liste des commandes disponibles dans ce mode, tapez :

Batch

?

Parmi la liste des commandes affichées par ntdsutil, vous en trouverez plusieurs qui commencent par "Seize".
Ces commandes permettent d'obtenir un rôle FSMO même lorsque le contrôleur de domaine source est en panne.

Attention : encore une fois, assurez-vous de ne jamais reconnecter l'ancien contrôleur de domaine à votre réseau après avoir utilisé une des ces commandes, sinon vous risquer de planter définitivement votre infrastructure Active Directory.

Connectez ntdsutil au contrôleur de domaine de destination qui devra être désigné pour les rôles que vous souhaitez transférer en tapant :

Batch

connections
connect to server dc2

Ce qui donne :

Plain Text

Liaison à dc2...
Connecté à dc2 en utilisant les informations d'identification d'un utilisateur connecté localement.
server connections:

Une fois connecté au contrôleur de domaine souhaité, retournez dans le mode de maintenance FSMO en tapant :

Batch

q

Ce qui donne :

Batch

fsmo maintenance:

2.1. Forcer le transfert du rôle FSMO "Maître d’opérations RID" en ligne de commandes (ntdsutil)

Pour obtenir le rôle "Maître d’opérations RID" lorsque le contrôleur de domaine source est en panne, utilisez la commande :

Batch

seize RID master

Répondez "Oui" pour la confirmation de cessation de rôle et ceci s'affiche dans la console :

Plain Text

Tentative de transfert sûr de RID FSMO avant la cessation.
...
Le transfert de RID FSMO a échoué, cessation en cours...
Recherche en cours du pool RID le plus élevé dans le domaine
Le serveur « dc2 » est informé de 5 rôles
Schéma - CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=informatiweb,DC=lan
Maître d'attribution de noms - CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=informatiweb,DC=lan
PDC - CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=informatiweb,DC=lan
RID - CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=informatiweb,DC=lan
Infrastructure - CN=NTDS Settings,CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=informatiweb,DC=lan

2.2. Forcer le transfert du rôle FSMO "Emulateur PDC" en ligne de commandes (ntdsutil)

Pour obtenir le rôle "Emulateur PDC" lorsque le contrôleur de domaine source est en panne, utilisez la commande :

Batch

seize PDC

Répondez "Oui" pour la confirmation de cessation de rôle et ceci s'affiche dans la console :

Plain Text

Tentative de transfert sûr de PDC FSMO avant la cessation.
...
Le transfert de PDC FSMO a échoué, cessation en cours...

2.3. Transférer le rôle FSMO "Maitre d'infrastructure" en ligne de commandes (ntdsutil)

Pour obtenir le rôle "Maitre d'infrastructure" lorsque le contrôleur de domaine source est en panne, utilisez la commande :

Batch

seize infrastructure master

Répondez "Oui" pour la confirmation de cessation de rôle et ceci s'affiche dans la console :

Plain Text

Tentative de transfert sûr de infrastructure FSMO avant la cessation.
...
Le transfert de infrastructure FSMO a échoué, cessation en cours...

2.4. Transférer le rôle FSMO "Maître d'attribution des noms de domaines" en ligne de commandes (ntdsutil)

Pour obtenir le rôle "Maître d'attribution des noms de domaines" lorsque le contrôleur de domaine source est en panne, utilisez la commande :

Batch

seize naming master

Répondez "Oui" pour la confirmation de cessation de rôle.

Puis, ceci s'affiche dans la console :

Plain Text

Le transfert de domain naming FSMO a échoué, cessation en cours...

2.5. Transférer le rôle FSMO "Maître de schéma" en ligne de commandes (ntdsutil)

Pour obtenir le rôle "Maître de schéma" lorsque le contrôleur de domaine source est en panne, utilisez la commande :

Batch

seize schema master

Répondez "Oui" pour la confirmation de cessation de rôle et ceci s'affiche dans la console :

Plain Text

Tentative de transfert sûr de schema FSMO avant la cessation.
...
Le transfert de schema FSMO a échoué, cessation en cours...

2.6. Quitter ntdsutil

Pour finir, pour quitter proprement ntdsutil, tapez 2 fois "q" :

Batch

fsmo maintenance: q
ntdsutil: q

2.7. Vérifier que les rôles FSMO ont été obtenus

Pour vérifier que vous avez bien récupéré les rôles FSMO souhaités, utilisez la commande :

Batch

NETDOM QUERY /Domain:informatiweb.lan FSMO

Dans notre cas, nous avons récupéré tous les rôles FSMO sur notre 2ème contrôleur de domaine :

Plain Text

Contrôleur de schéma        dc2.informatiweb.lan
Maître des noms de domaine  dc2.informatiweb.lan
Contrôleur domaine princip. dc2.informatiweb.lan
Gestionnaire du pool RID    dc2.informatiweb.lan
Maître d’infrastructure     dc2.informatiweb.lan
L’opération s’est bien déroulée.