Les rôles FSMO (Flexible Single Master Operations) sont des rôles spécialisés dans Active Directory qui doivent être gérés par un seul contrôleur de domaine à la fois pour éviter les conflits.
📑 Sommaire
📋 Les 5 rôles FSMO
Rôles au niveau forêt (1 par forêt) :
- Schema Master
- Contrôle les modifications du schéma AD
- Peu critique - Panne acceptable pendant longtemps
- Nécessaire uniquement pour modifier le schéma
- Domain Naming Master
- Gère l'ajout/suppression de domaines dans la forêt
- Critique pendant l'ajout de domaines uniquement
- Contrôle les noms de domaine uniques
Rôles au niveau domaine (1 par domaine) :
- PDC Emulator
- Émulation pour clients NT4
- Maître du temps du domaine
- Gestion des verrouillages de compte
- Point d'entrée principal pour les changements de mot de passe
- RID Master
- Distribue les blocs de RID (Relative ID)
- Critique pour la création de nouveaux objets
- Empêche les SID dupliqués
- Infrastructure Master
- Met à jour les références aux objets d'autres domaines
- Ne doit pas être sur un catalogue global
- Sauf si tous les DC sont des GC
🌐 Étendue des rôles
| Rôle | Étendue | Criticité | Impact si indisponible |
|---|---|---|---|
| Schema Master | Forêt | Faible | Modification schéma impossible |
| Domain Naming Master | Forêt | Moyenne | Ajout/suppression domaine impossible |
| PDC Emulator | Domaine | Haute | Authentification dégradée, désynchronisation temps |
| RID Master | Domaine | Haute | Création d'objets limitée |
| Infrastructure Master | Domaine | Faible | Références inter-domaines obsolètes |
👁️ Consulter les détenteurs
Via commandes :
# netdom - méthode rapide
netdom query fsmo
# PowerShell - détails complets
Get-ADForest | select-object SchemaMaster,DomainNamingMaster
Get-ADDomain | select-object PDCEmulator,RIDMaster,InfrastructureMaster
# GUI - Outils graphiques
# Schema Master : regedit → Schema Console
# Domain Naming Master : Active Directory Domains and Trusts
# PDC, RID, Infrastructure : Active Directory Users and Computers🔄 Transférer un rôle
Transfert planifié (normal) :
# Via PowerShell
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole SchemaMaster
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole DomainNamingMaster
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole PDCEmulator
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole RIDMaster
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole InfrastructureMaster
# Tous les rôles en une fois
Move-ADDirectoryServerOperationMasterRole -Identity "NewDC" -OperationMasterRole SchemaMaster,DomainNamingMaster,PDCEmulator,RIDMaster,InfrastructureMasterVia ntdsutil :
ntdsutil
roles
connections
connect to server NewDC
quit
transfer schema master
transfer naming master
transfer PDC
transfer RID master
transfer infrastructure master
quit
quit⚠️ Saisir un rôle
La saisie de rôle est une opération d'urgence qui force le transfert sans coordination avec l'ancien détenteur :
# Saisie via ntdsutil
ntdsutil
roles
connections
connect to server NewDC
quit
seize schema master
seize naming master
seize PDC
seize RID master
seize infrastructure master
quit
quit
# Cleanup après saisie
# Supprimer les métadonnées de l'ancien DC
ntdsutil
metadata cleanup
remove selected server⚠️ Ne saisir un rôle qu'en dernier recours. L'ancien détenteur ne doit jamais revenir en ligne après une saisie.
✅ Bonnes pratiques
Distribution des rôles :
- Petite forêt (1-2 domaines) : Tous les rôles sur un seul DC
- Forêt moyenne : Séparer Schema Master et Domain Naming Master du reste
- Grande forêt : Distribution selon les besoins et la charge
Recommandations de placement :
| Rôle | Placement recommandé |
|---|---|
| Schema Master | DC dédié, peu utilisé |
| Domain Naming Master | Même DC que Schema Master |
| PDC Emulator | DC performant, central |
| RID Master | DC fiable, souvent avec PDC |
| Infrastructure Master | DC non-GC (sauf si tous sont GC) |
Surveillance :
# Vérification régulière
dcdiag /test:knowsofroleholders
repadmin /showrepl
netdom query fsmo
# Monitoring automatisé
Get-ADForest | select SchemaMaster,DomainNamingMaster
Get-ADDomain | select PDCEmulator,RIDMaster,InfrastructureMaster