26/08/2021 Les rôles FSMO - RDR-IT

Les rôles FSMO

  Windows Server 2012R2   Windows Server 2016   Windows Server 2019

Sommaire
Présentation des rôles FSMO
Maître d’attribution de noms de domaines
Maître de schéma
Maître RID
Émulateur de contrôleur principal de domaine (PDC)
Maître infrastructure
Afficher les rôles FSMO
Transfert les rôles FSMO
NTDSUTIL
Normal
Forcer
PowerShell : Move-ADDirectoryServerOperationMasterRole

Présentation des rôles FSMO

Dans un environnement Active Directory, il existe 5 rôles FSMO (Flexible Single Master Opération), deux rôles sont uniques dans la forêt et les trois autres sont
uniques dans un domaine.

Un contrôleur de domaine peut avoir aucun ou plusieurs rôles FSMO.

https://rdr-it.com/les-roles-fsmo/ 1/11
26/08/2021 Les rôles FSMO - RDR-IT

Maître d’attribution de noms de domaines

Il est unique dans la forêt, il est chargé de l’ajout et de la suppression de domaine dans la forêt.

Maître de schéma
Il est unique dans la forêt, il gère le schéma Active Directory qui contient l’ensemble des objets qui peuvent être créés et les attributs. Il est le seul à pouvoir modifier
le schéma.

de l’ajout du service Exchange au seins de votre organisation, c’est ce rôle qui modifie les attribues lors de la préparation de l’AD.
Exemple : lors

Maître RID
Il est unique au sein du domaine, il distribue un pool RID à chaque contrôleur de domaine pour s’assurer que chaque SID délivré par un DC sera unique

Émulateur de contrôleur principal de domaine (PDC)

Il est unique au sein du domaine, il se charge de la synchronisation de l’heure entre les différents serveurs et ordinateurs et de la modification des mots de passe
ainsi que des verrouillages des comptes.

Maître infrastructure
Il est unique au sein du domaine, son rôle est de gérer les références inter-domaine.

Afficher les rôles FSMO

Pour afficher les rôles FSMO, plusieurs commandes sont disponibles :

netdom query fsmo

https://rdr-it.com/les-roles-fsmo/ 2/11
26/08/2021 Les rôles FSMO - RDR-IT

En PowerShell, il faut utiliser les cmdlet Get-ADForest et Get-ADDomain.

Get-ADDomain Get-ADForest

Depuis les consoles :

Ouvrir la console Utilisateurs et ordinateur Active Directory pour accéder au rôle FSMO du domaine, faire un clic droit sur le domaine et cliquer sur Maitres
d’opération.

https://rdr-it.com/les-roles-fsmo/ 3/11
26/08/2021 Les rôles FSMO - RDR-IT

RID PDC Infrastructure master

https://rdr-it.com/les-roles-fsmo/ 4/11
26/08/2021 Les rôles FSMO - RDR-IT

La console Domaine et approbation Active Directory permet d’accéder au rôle FSMO Maitre d’opération d’attribution des noms. Faire un clic droit sur le nom de la
console et cliquer sur Maître d’opération.

La console Schéma Active Directory permet d’accéder au rôle FSMO Contrôleur de schéma. Faire un clic droit sur le nom de la console et cliquer sur Maitre
d’opération.

https://rdr-it.com/les-roles-fsmo/ 5/11
26/08/2021 Les rôles FSMO - RDR-IT

La console MMC Schéma Active Directory n’est pas disponible nativement, il est nécessaire de la déclarer

Transfert les rôles FSMO

Pour plusieurs raisons, vous pouvez être amené à transférer les rôles d’un contrôleur à un autre. Il existe deux méthodes :

Normal : utiliser cette méthode de préférence si vous le pouvez, cela nécessite que l’ensemble des contrôleurs soient disponibles.

Forcer : à utiliser si vous souhaitez transférer un rôle depuis un contrôleur hors ligne.

Le transfert peut être effectuer à l’aide de l’outil ntdsutil, en powershell avec Move-ADDirectoryServerOperationMasterRole ou l’aide des différentes consoles
d’administration.

Pour un transfert forcé, il n’est pas possible de le faire par les consoles graphiques.

NTDSUTIL
Normal
Ouvrir une fenêtre de commande en mode « Administrateur » et entrer la commande suivante :

ntdsutil

Entrer en mode maintenance des rôles FSMO :

roles

Entrer les commandes suivantes pour se connecter au serveur qui va recevoir le(s) rôle(s) :
https://rdr-it.com/les-roles-fsmo/ 6/11
26/08/2021 Les rôles FSMO - RDR-IT

connections

connect to server nom_du_dc

Les commandes pour faire le(s) transfert(s) :

# Maitre d'attribution

transfer naming master

# Contrôleur de schéma

transfer schema master

# Maitre RID

transfer RID master

# Emulateur PDC

transfer pdc

# Maitre infrastructure

transfer infrastructure master

A chaque demande de transfert, vous devez confirmer votre action par le biais d’une boite de dialogue.

Quitter ntdsutil en entrant q.

Exemple de transfert :

Forcer
https://rdr-it.com/les-roles-fsmo/ 7/11
26/08/2021 Les rôles FSMO - RDR-IT

Ouvrir une fenêtre de commande en mode « Administrateur » et entrer la commande suivante :

ntdsutil

Entrer en mode maintenance des rôles FSMO :

roles

Entrer les commandes suivantes pour seconnecter au serveur qui va recevoir le(s) rôle(s) :

connections

connect to server nom_du_dc

Les commandes pour faire le(s) transfert(s) :

# Maitre d'attribution

seize naming master

# Contrôleur de schéma

seize schema master

# Maitre RID

seize RID master

# Emulateur PDC

seize pdc

# Maitre infrastructure

seize infrastructure master

A chaque demande de transfert, vous devez confirmer votre action par le biais d’une boite de dialogue.

Quitter ntdsutil en entrant q.

Exemple de saisie (seize) :

https://rdr-it.com/les-roles-fsmo/ 8/11
26/08/2021 Les rôles FSMO - RDR-IT

PowerShell : Move-ADDirectoryServerOperationMasterRole
Le transfert en PowerShell est plus simple, la même commande permet de faire les deux types de transfert. Il est aussi possible de transferer plusieurs rôles en une
même commande.

Exemple de transfert normal :

Move-ADDirectoryServerOperationMasterRole -Identity "LAB-DC2" -OperationMasterRole PDCEmulator

Exemple de transfert forcé (seize) :

Move-ADDirectoryServerOperationMasterRole -Identity "LAB-DC2" -OperationMasterRole InfrastructureMaster -Force

https://rdr-it.com/les-roles-fsmo/ 9/11
26/08/2021 Les rôles FSMO - RDR-IT

Exemple de transfert de plusieurs rôles FSMO

Move-ADDirectoryServerOperationMasterRole -Identity "LAB-DC1" -OperationMasterRole PDCEmulator, InfrastructureMaster

En valeur pour le paramètre -OperationMasterRole, il est possible d’indiquer un numéro qui correspond au rôle.

Identifiant Rôle FSMO

0 PDC Emulator

1 RID master

2 Infrastructure master

3 Schema master

4 Domain naming master

Exemple de transfert en utilisant l’identifiant :

https://rdr-it.com/les-roles-fsmo/ 10/11
26/08/2021 Les rôles FSMO - RDR-IT

Move-ADDirectoryServerOperationMasterRole -Identity "LAB-DC2" -OperationMasterRole 0,2

Active directory
Active Directory, FSMO, Seize FSMO Role, Transfert FSMO Role

 70-742

https://rdr-it.com/les-roles-fsmo/ 11/11