Come trasferire o sequestrare i ruoli FSMO di Active Directory con PowerShell

Esistono diversi modi per spostare i ruoli FSMO tra i controller di dominio Active Directory, le console grafiche AD, le console ntdsutil e PowerShell. Quando si trasferiscono o acquisiscono più ruoli contemporaneamente, PowerShell è probabilmente il metodo più veloce e semplice.

Il cmdlet Move-ADDirectoryServerMstrOperationRole viene utilizzato per trasferire o sequestrare i ruoli FSMO. Può essere eseguito direttamente su un controller di dominio oppure su un server o una workstation aggiunti a un dominio in cui è installato il modulo ActiveDirectory PowerShell. Esistono due parametri critici che devono essere forniti a questo comando, Identity e OperationMasterRole.

Il parametro Identity specifica il controller di dominio di destinazione, ovvero il controller di dominio in cui vengono spostati il ruolo o i ruoli. Non è necessario specificare il controller di dominio di origine, poiché le informazioni sul titolare del ruolo vengono archiviate all'interno di Active Directory. Si tratta in genere del nome host del controller di dominio di destinazione, ma può anche essere un nome di dominio completo, un nome distinto o un GUID.

Il parametro OperationMasterRole consente di specificare il ruolo o i ruoli da spostare. I valori possibili di questo parametro sono PDCEmulator, RIDMaster, InfrastructureMaster, SchemaMaster e DomainNamingMaster, ma esistono anche collegamenti numerici per ciascuno di questi:
 
È qui che la velocità e l'efficienza di PowerShell diventano evidenti. Per trasferire tutti e cinque i ruoli FSMO in un controller di dominio denominato NewDC, eseguire questo cmdlet:

Move-ADDirectoryServerOperationMasterRole -Identity NewDC -OperationMasterRole 0,1,2,3,4

PowerShell richiede la conferma di ogni ruolo per impostazione predefinita, ma è disponibile un'opzione Sì a tutti .

Per controllare i ruoli FSMO, operazione da eseguire solo se il titolare del ruolo esistente è permanentemente offline, aggiungere il parametro -Force al cmdlet. Utilizzando l'esempio precedente, se tutti e cinque i ruoli erano ricoperti da un controller di dominio permanentemente offline, potevano essere tutti acquisiti in NewDC in questo modo:

Move-ADDirectoryServerOperationMasterRole -Identity NewDC -OperationMasterRole 0,1,2,3,4 -Force

Come si può notare, l'unica differenza tra questo comando e il comando precedente è il parametro -Force . Viene richiesto di specificare ogni ruolo, come descritto sopra. Il completamento dell'acquisizione dei ruoli richiede più tempo rispetto al trasferimento dei ruoli, perché viene tentato un normale trasferimento di qualsiasi ruolo prima che i ruoli vengano sequestrati. Supponendo che il titolare del ruolo non risponda, un periodo di timeout deve scadere prima che si verifichi il sequestro. Per questo motivo, l'acquisizione di tutti e cinque i ruoli in questo modo richiede diversi minuti.

Questo video illustra il processo:

trasferimento e acquisizione dei ruoli FSMO in PowerShell