los Maestro de RID (Identificador relativo) es uno de tres Roles de nivel de dominio FSMO, es decir, cada dominio debe tener un controlador de dominio que posea esta función. Un controlador de dominio con la función de maestro de RID es responsable de asignar una secuencia RID única a cada controlador de dominio en su dominio, así como de la corrección de los objetos en movimiento de un dominio a otro. En otras palabras, esta función es responsable de proporcionar a todos los usuarios, equipos y grupos de Active Directory un SID (Identificador de seguridad) único que identifica a un usuario, grupo, dominio o cuenta de equipo.
Cuando el administrador crea un nuevo objeto en Active Directory (nuevo principio de seguridad), se le asigna un identificador seguro (SID) único. El SID del nuevo objeto está compuesto por el SID de dominio y el ID relativo (RID), que se asigna desde el grupo RID del controlador de dominio actual.
El maestro de RID es responsable de emitir estos identificadores de dominio únicos. Los identificadores relativos se emiten a cada controlador en el dominio por grupos de 500 piezas a la vez (por defecto). Si es necesario, se puede cambiar el número de RID emitidos y el umbral de solicitud. Si queda menos del 50% de los identificadores en el grupo, el controlador de dominio con el propietario del rol de maestro de RID lo repone.
Por ejemplo, muestre una lista que contenga el SID de todos los usuarios del dominio:
get-aduser –filter *|fl sid
Con el comando Dcdiag, puede ver el estado del maestro RID:
Dcdiag.exe /TEST:RidManager /v
También puede ver el rango actual de identificadores para CC actual. Por cierto, en los otros controladores de dominio, el grupo será diferente (porque a cada controlador del dominio se le asigna un grupo único).
Prueba de inicio: RidManager
* El grupo de RID disponible para el dominio es 3101 a 1073741823
* dc01.domain.loc es el maestro de RID
* DsBind con RID Master fue exitoso
* rIDAllocationPool es de 2601 a 3100
* rIDPreviousAllocationPool es 1101 a 1600
* rIDNextRID: 1436
Otra zona de responsabilidad para RID Master: mover objetos entre dominios. RID Master garantiza que no pueda mover simultáneamente un objeto a dos dominios diferentes. De lo contrario, existe una situación en la que dos dominios con dos objetos idénticos con el mismo GUID, que está plagado de las consecuencias más inesperadas.
Cuando un objeto de seguridad se mueve de un dominio a otro, asigna un nuevo SID en el dominio de destino, y el antiguo permanece para el historial y se escribe en el atributo especialmente creado SIDHistory. Este atributo almacena el historial completo del cambio de identificadores de seguridad, puede contener más de un valor.
Según las mejores prácticas de Microsoft, se recomienda:
- Mantenga las funciones FSMO de emulador de PDC y maestro de RID juntas en un controlador de dominio.
- Si por alguna razón ha perdido el servidor maestro de RID, puede forzarlo tomar este papel en cualquier otro controlador de dominio, pero recuerde que después de eso, el maestro RID original no debería aparecer en la red
- En los eventos de monitor de registro de controladores de dominio con EventID 16653-16658. Señalan sobre los problemas en el trabajo del maestro RID.
- Si RID no está disponible, no será posible (después de un tiempo) crear nuevos objetos en AD. El tiempo depende del número restante de SID gratuitos que se emiten en paquetes de 500 piezas.
Puede cambiar el propietario de la función RID mediante el Complemento de equipos y usuarios de Active Directory.
- Abra la consola ADUC y conéctese al DC al que desea transferir el rol (Cambiar controlador de dominio).
- Haga clic derecho en la raíz del dominio y seleccione Maestros de operaciones.
- En la pestaña RID presione Cambio botón.
- Después de eso, debe confirmar la transferencia y recibir una notificación de la transferencia exitosa de la función RID.
