Active Directory FSMO-rollen overdragen of overnemen met PowerShell

Er zijn verschillende manieren om FSMO-rollen te verplaatsen tussen Active Directory-domeincontrollers, de grafische AD-consoles, de ntdsutil en PowerShell. Bij het overdragen of overnemen van meerdere rollen tegelijk is PowerShell waarschijnlijk de snelste en eenvoudigste methode.

De cmdlet Move-ADDirectoryServerMstrOperationRole wordt gebruikt om FSMO-rollen over te dragen of in te nemen. Het kan rechtstreeks worden uitgevoerd op een DC of op een server of werkstation die lid is van een domein waarop de ActiveDirectory PowerShell-module is geïnstalleerd. Er zijn twee kritieke parameters die aan deze opdracht moeten worden opgegeven, Identity en OperationMasterRole.

De parameter Identiteit specificeert de doel-DC, dat wil zeggen, de DC waarnaar de rol of rollen worden verplaatst. (Het is niet nodig om de bron-DC op te geven, aangezien de informatie van de rolhouder in AD wordt opgeslagen.) Dit is meestal de hostnaam van de doel-DC, maar kan ook een volledig gekwalificeerde domeinnaam, DNED-naam of GUID zijn.

De parameter OperationMasterRole geeft aan welke rol of rollen worden verplaatst. Mogelijke waarden van deze parameter zijn PDCEmulator, RIDMaster, InfrastructureMaster, SchemaMaster en DomainNamingMaster, maar er zijn ook numerieke sneltoetsen voor elk van deze:
 
Dit is waar de snelheid en efficiëntie van PowerShell duidelijk wordt. Als u alle vijf FSMO-rollen wilt overbrengen naar een DC met de naam NewDC, voert u deze cmdlet uit:

Move-ADDirectoryServerOperationMasterRole -Identity NewDC -OperationMasterRole 0,1,2,3,4

PowerShell vraagt standaard om bevestiging van elke rol, maar er is een Ja voor alle opties.

Als u FSMO-rollen wilt overnemen, wat alleen moet worden gedaan als de bestaande rolhouder permanent offline is, voegt u de parameter -Force toe aan de cmdlet. Met behulp van het bovenstaande voorbeeld, als alle vijf rollen werden vervuld door een DC die permanent offline was, konden ze allemaal op NewDC als volgt worden overgenomen:

Move-ADDirectoryServerOperationMasterRole -Identity NewDC -OperationMasterRole 0,1,2,3,4 -Force

Zoals u kunt zien, is het enige verschil tussen deze en de vorige opdracht de parameter -Force . U wordt gevraagd voor elke rol, zoals hierboven. Roloverdracht duurt langer dan roloverdracht, omdat een normale overdracht van rollen wordt geprobeerd voordat de rollen worden overgenomen. Ervan uitgaande dat de rolhouder niet reageert, moet een time-outperiode verstrijken voordat de aanval plaatsvindt. Om deze reden duurt het enkele minuten om alle vijf de rollen op deze manier te grijpen.

Deze video demonstreert het proces:

FSMO-rollen overdragen en grijpen in PowerShell