[AD/Infra求救] Upgrade Schema 嗰陣發現 Schema Master DC 死咗/Offline 咗，邊個 Safe Step 可以 Seize 走個 Role？

Question

[AD/Infra求救] Upgrade Schema 嗰陣發現 Schema Master DC 死咗/Offline 咗，邊個 Safe Step 可以 Seize 走個 Role？

Ping Wang 60

係咁嘅，公司要 deploy 新 App，準備要 extend 個 AD Schema。點知一 Check 先知 Hold 住 Schema Master 嗰部 FSMO DC 做緊 maintenance 離線 offline 緊……

想問下各位 Infra 巴打，如果依家要急住 Extend Schema，有咩 Safe Process 可以暫時 Transfer 或者 Force Seize 呢個 Role？

同埋想確定下：

如果直接 Seize Role，係咪等同要將舊嗰部 Offline DC 做 Metadata Cleanup 並且永不翻生（Hard decommission）？定係有方法可以暫時 Seize，完事之後等佢修復好再 Transfer 返過去？

驚做錯一步搞到全公司 AD Replication Breakdown 或者 USN Rollback……

有冇做開 AD 嘅 Ching 可以 Share 下 best practice 或者 Standard SOP？萬分感謝！

0 則留言

1 個回答

您的回答

Answer 1

您好 Ping Wang,

關於貴公司即將部署新應用程式並需擴充 Active Directory Schema 一事，我們了解到目前持有 Schema Master FSMO 角色的 Domain Controller (DC) 正處於停機維護狀態 (Offline)。

為確保貴公司 Active Directory 架構的完整與安全，請參閱以下 Microsoft 官方支援指引及我們的技術建議：

1. 標準轉移 Standard Transfer（最安全選項）

FSMO 角色在 Domain Controller 關機時不會自動容錯移轉 (Failover)。最安全的做法是將目前的 Schema Master 重新連線，並將角色正常轉移 (Graceful transfer) 到一台運作正常的 Domain Controller 上。在該角色上線並可在網路上存取之前，將無法進行 Schema 擴充。

2. 緊急奪取 Emergency Seizure（緊急情況）

若無法將目前的 Schema Master 重新連線，且擴充 Schema 的需求極度緊迫，官方支援的緊急操作方案是使用 PowerShell 或 Ntdsutil 將角色強制奪取 (Seize) 到健康的 Domain Controller 上。

重大警告：絕對不能將角色奪取 (Seize) 視為暫時性的轉移。Microsoft 嚴格規定，只有在先前的角色持有者將「永久」從網域中移除時，才應執行 FSMO 角色的奪取操作。

3. 奪取角色後的必要處置 (Post-Seizure Requirements)

如果您決定繼續執行角色奪取，則必須將先前離線的 Domain Controller 從網路中永久隔離。若您未來打算重新使用該伺服器，您必須：

將其格式化並從頭開始重新建置（或在離線狀態下強制降級 / Forcibly demote）。

在 Active Directory 中執行徹底的中繼資料清除 (Metadata Cleanup) 以移除殘留物件。

將其作為一台全新的 Domain Controller 重新升級 (Promote)。

待其運作正常後，如仍有需要，才可將角色正常轉移 (Graceful transfer) 回去。

我們的最終建議：

請評估此次部署的緊急程度，並選擇以下其中一個方案：

選項 A（建議）：暫緩 Schema 擴充，等待目前的 Schema Master 完成維護並重新上線後，再執行正常的角色轉移。
選項 B（緊急）：將 Schema Master 角色奪取 (Seize) 到健康的 DC 上，確認 AD 複寫 (Replication) 狀態正常，繼續進行 Schema 擴充，並且永久停用 (Permanently decommission) 舊的 Domain Controller。

==========

如果此回覆有助於解決您的問題，請考慮點擊『接受解答』，以便讓其他遇到相同問題的使用者也能輕鬆找到解決方案！