FSMO
FSMO (англ. Flexible single-master operations «операции с одним исполнителем») — типы выполняемых контроллерами домена Active Directory операций, требующие обязательной уникальности сервера, выполняющего данные операции.
В зависимости от типа операции уникальность FSMO подразумевается в пределах или леса доменов, или домена.
Различные типы FSMO выполняются одним или несколькими контроллерами домена. Выполнение FSMO сервером называют ролью сервера. (Например, сервер выполняет роли владельца доменных имён и владельца схемы).
Типы FSMO (ролей)
| Название | Оригинальное название | Пределы уникальности | Возможность появления в сети старого владельца после захвата роли новым | Описание |
|---|---|---|---|---|
| Владелец схемы | Schema Master | Лес доменов | Недопустимо | Отвечает за внесение изменений в схему Active Directory. Эта роль необходима для предотвращения противоречивых изменений с двух серверов. |
| Владелец доменных имён | Domain Naming Master | Лес доменов | Недопустимо | Отвечает за состав леса, принимает и удаляет домены. |
| Владелец относительных идентификаторов | Relative ID Master | Домен | Недопустимо | Выдает пулы RID контроллерам домена. В случае, когда контроллер домена исчерпывает свой пул RID при очередном создании объекта, он запрашивает новый пул у RID-мастера. |
| Эмулятор первичного (основного) контроллера домена | Primary Domain Controller Emulator
(PDC Emulator) | Домен | Возможно | Эмулирует основной контроллер домена для приложений, работающих с возможностями домена Windows NT. |
| Владелец инфраструктуры домена | Infrastructure Master | Домен | Невозможно[1] | Поддерживает идентификаторы удаляемых или перемещаемых объектов на время репликации изменений (с удалением или перемещением) между контроллерами домена. |
Захват и передача роли
Все роли могут быть переданы от одного контроллера домена другому при условии работоспособности обоих серверов. В случае, когда один из серверов не может продолжать работу, используется процедура захвата (англ. seize) роли другим сервером, выполняемая системным администратором вручную. В этом случае не производится обращений к прежнему владельцу роли. Новый контроллер домена просто «приступает к исполнению обязанностей». Необходимо помнить, что появление в сети прежнего владельца роли после её захвата новым не допустимо для трёх из пяти ролей (владелец схемы, владелец доменных имен, владелец относительных идентификаторов).
Каждый контроллер домена содержит в себе достаточно информации для выполнения любой роли в домене, любой домен в лесу содержит достаточно информации для выполнения любой роли в пределах леса.
Те роли, которые связаны с внесением изменений в структуру каталога, должны в обязательном порядке сохранять уникальность. Например, если два различных владельца относительных идентификаторов выдадут одному и тому же объекту разные идентификаторы, это вызовет противоречивость и нарушение целостности каталога. Роли, использующиеся для обеспечения атомарности операций (владелец инфраструктуры домена) или для совместимости со старыми приложениями (эмулятор основного контроллера домена), не требуют обязательной уникальности. Каждый из серверов сможет успешно выполнить свою задачу. Тем не менее, структура каталога предписывает для каждой FSMO-роли единственный сервер.
В случае захвата роли, контроллер, исполняющий эту роль, теряет эту возможность до вывода его из домена и смены SID. Такой порядок предусмотрен для сохранения целостности каталога в случае сбоя.
Назначение ролей
По умолчанию, при создании домена все роли назначаются первому созданному контроллеру домена, в случае создания леса доменов, все роли (уровня леса) исполняет начальный (корневой) домен.
Источники
- Алексей Выгодский Microsoft Exchange 2003 Server, Питер, 2006, ISBN 5-469-00386-8
- Просмотр и передача ролей FSMO в Windows Server 2003