在Windows域环境中，域角色是控制网络资源访问和权限分配的核心组件，常见的域角色包括域控制器（Domain Controller）、域成员服务器（Member Server）、工作站（Workstation）以及特定功能角色如DNS服务器、DHCP服务器等，准确查看域角色对于网络管理、故障排查和安全审计至关重要，以下是查看域角色的常用命令及详细操作方法,涵盖不同场景和工具的使用。
使用命令行工具查看域角色
Dsquery和Dsget命令
Dsquery和Dsget是Windows Server内置的目录服务查询工具，可通过命令行快速获取域对象信息，包括域控制器角色。
- 查看所有域控制器：
打开命令提示符（CMD）或PowerShell，输入以下命令：dsquery server -scope subtree -has fsmooperations
该命令会返回域中所有拥有FSMO（Flexible Single Master Operations）操作主机角色的域控制器，若需查看所有域控制器（无论是否持有FSMO角色），可使用：
dsquery server -scope subtree
结合Dsget命令可获取更详细的信息，如域控制器的名称、操作系统版本等：
dsquery server | dsget server -dn -operatingserver -site
Netdom命令
Netdom是用于管理域和信任关系的工具，可通过以下命令查看域控制器的状态和角色：
- 查看当前域控制器信息：
netdom query /domain:域名 dc
域名”需替换为实际的域名（如
contoso.com），若不指定/domain参数，则默认查询当前域。 - 查看域控制器的FSMO角色：
netdom query fsmo
该命令会列出当前域中持有五种FSMO角色（架构主机、域命名主机、PDC模拟器、RID主机、基础结构主机）的域控制器。
PowerShell命令
PowerShell提供了更强大的对象操作能力，是现代Windows管理的首选工具。
- 使用Get-ADDomainController cmdlet：
需先安装Active Directory模块（适用于Windows Server或RSAT客户端），执行：Get-ADDomainController -Filter * | Format-List Name, OperatingSystem, Site, IsGlobalCatalog, IsReadOnly
该命令会返回所有域控制器的名称、操作系统、站点信息、是否为全局编录服务器以及是否为只域控制器。
（图片来源网络，侵删） - 使用Get-ADForest和Get-ADDomain查看FSMO角色：
# 查看森林级别的FSMO角色 (Get-ADForest).DomainNamingMaster (Get-ADForest).SchemaMaster # 查看域级别的FSMO角色 (Get-ADDomain).PDCEmulator (Get-ADDomain).RIDMaster (Get-ADDomain).InfrastructureMaster
Nltest命令
Nltest主要用于诊断域和信任关系，也可查看域控制器信息：
- 查看域控制器站点信息：
nltest /dsgetsite /server:域控制器名称
- 验证域控制器是否为全局编录服务器：
nltest /dsgetgc /domain:域名
使用图形界面工具辅助查看
虽然命令行是主要方式，但图形界面工具可提供更直观的视图：
- Active Directory用户和计算机（ADUC）：
在域控制器上运行dsa.msc，展开“域”节点，右键点击“域控制器”容器，选择“所有任务”→“操作主机”，可查看当前PDC模拟器、RID主机等角色的持有者。 - Active Directory站点和服务（ADSS）：
运行dssite.msc，展开“站点”节点，查看“服务器”容器，可了解域控制器所属站点及全局编录角色状态。
域角色信息汇总表
| 角色类型 | 查看命令 | 关键输出信息 |
|---|---|---|
| 域控制器 | dsquery server |
域控制器DN、名称、操作系统 |
| FSMO角色持有者 | netdom query fsmo |
五种FSMO角色的当前分配域控制器 |
| 全局编录服务器 | nltest /dsgetgc |
全局编录服务器的NetBIOS名称和DNS名称 |
| 域控制器站点信息 | nltest /dsgetsite |
域控制器所属的活动目录站点 |
| 域控制器详细属性 | Get-ADDomainController -Filter * |
名称、操作系统、站点、全局编录状态、只读状态 |
相关问答FAQs
问题1：如何确认某台服务器是否为域控制器？
解答：可通过以下方法确认：
- 命令行方式：在目标服务器上运行
systeminfo | findstr /B /C:"Domain"，若输出显示“域”，则表示该服务器已加入域；若需进一步验证是否为域控制器，运行nltest /dbflag:2080FF，查看日志中是否包含“PDC”或“GC”标识，或使用Get-ADDomainController -Identity <服务器名>查看详细属性。 - 图形界面方式：打开“服务器管理器”，点击“添加角色和功能”，在“服务器角色”中查看是否已安装“Active Directory域服务”角色，若已安装且服务器是域控制器，则该角色会显示为“已安装”。
问题2：如何转移或 seize FSMO角色？
解答：FSMO角色转移（Transfer）是正常情况下的主动操作，而 seize（夺取）是在域控制器不可用时的紧急操作，以转移PDC模拟器角色为例：
- 使用PowerShell：
Move-ADDirectoryServerOperationMasterRole -Identity <新PDC名称> -OperationMasterRole PDCEmulator
- 使用Ntdsutil：
- 在命令提示符中运行
ntdsutil，依次输入roles、connections、connect to server <新PDC名称>、transfer roles，根据提示完成操作。
- 在命令提示符中运行
- Seize角色的注意事项：
仅在原角色持有者永久不可用时使用，需先在目标服务器上运行ntdsutil，进入roles状态后执行seize roles，操作不可逆，可能导致数据不一致,建议提前备份AD。
