额外域控升级为主域控怎么操作，FSMO五个角色怎么转移
公司里两台域控制器用了好几年，一直被叫"主域控"的那台老机器要退役，计划把另一台额外域控扶正。可老机器一关，改密码、新建用户、客户端加域这些操作就开始零零散散报错——把额外域控"升级为主域控"，并不是把称呼改一改就能完事。
原因分析
平时嘴上说的"主域控"，技术上指的是持有 FSMO（弹性单主机操作）五个角色的那台机器：林级别的架构主机、域命名主机，域级别的 PDC 仿真器、RID 主机、结构主机。这五个角色不会因为一台机器"资历老"就自动漂走，必须手工转移到新机器上。转移（transfer）和夺取（seize）是两条路：老机器还能开机时走转移，过程干净；老机器已经停机报废、再无开机可能时才走夺取，等于强行把角色抢过来，事后要尽快处理原持有者。退役后各种怪报错的根源，往往是角色还挂在已经下线的机器上。
分步解决
- 转移前先体检：在保留的域控上跑
repadmin /replsummary，确认两台机器的 AD 复制没有报错；DNS 互为指向；新域控的 SYSVOL、NETLOGON 两个共享状态正常。复制不健康就动手转移，等于带着病搬家。 - 转移域级三个角色：打开"Active Directory 用户和计算机"，右键域名进"操作主机"，在 RID、PDC、结构三个页签里逐一把角色更改到新域控。这一步管住建账号、改密码这些日常高频操作。
- 转移域命名主机：打开"Active Directory 域和信任关系"，同样在"操作主机"里更改。少了它，以后加域、删域、建信任都会被卡住。
- 转移架构主机：这个管理单元默认不露面，先在"运行"里执行
regsvr32 schmmgmt.dll注册，再往 mmc 里添加"Active Directory 架构"，进"操作主机"更改。五个角色里它存在感低、忘得快，退役清单上要单列一行。 - 验证后再降级老机：命令行执行
netdom query fsmo，五行输出全部指向新域控才算转移完毕；然后老机器走正常降级（PowerShell 的 Uninstall-ADDSDomainController，老系统的 dcpromo 同理）。真遇到原主控已死的情况，才用 Move-ADDirectoryServerOperationMasterRole 加 -Force 参数走夺取，并尽快重装原机器防止身份残留。
预防
让两台域控长期保持"一主一备、随时可换"的状态，别等退役那天才想起角色在谁身上；每次动角色前做一次系统状态备份，备份文件落到机房里独立于域控的网络存储上（比如 RS2423RP+ 这类机架机型划一个专用共享），降级出了岔子还能整体还原。域控迁移这种"只有一次机会"的活，诚鑫致达科技做企业 IT 代维时会先在测试环境完整走一遍再动生产，只有单机房的小网络，也建议照这个顺序来。
企业存储选型参考｜贵州诚鑫致达
做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。