Windows Server

Rôles FSMO — Gestion et transfert

Comprendre les 5 rôles FSMO d'Active Directory et savoir les identifier, transférer et saisir en cas de panne.

← Retour aux tutoriels Windows
📚 C'est quoi les rôles FSMO ? FSMO (Flexible Single Master Operations) désigne 5 rôles spéciaux dans Active Directory. Bien que la réplication AD soit multi-maître (tous les DC peuvent écrire), certaines opérations critiques ne peuvent être effectuées que par un seul DC à la fois pour éviter les conflits. Chaque rôle FSMO est détenu par un DC. Si ce DC tombe, il faut transférer (ou saisir) le rôle vers un autre DC.
ⓘ Prérequis Un domaine Active Directory avec au minimum 2 contrôleurs de domaine (DC01 et DC02).

Les 5 rôles FSMO expliqués

Rôle Portée Description
Schema Master Forêt Gère les modifications du schéma AD (ajout d'attributs, classes d'objets)
Domain Naming Master Forêt Contrôle l'ajout/suppression de domaines dans la forêt
RID Master Domaine Distribue les pools de RID (identifiants uniques) aux DC pour la création d'objets
PDC Emulator Domaine Référence pour les mots de passe, l'heure et les GPO — le rôle le plus sollicité
Infrastructure Master Domaine Maintient les références entre objets de domaines différents
ⓘ Bon à savoir Par défaut, le premier DC installé détient les 5 rôles. C'est normal mais pas idéal — en cas de panne, tout est perdu. L'objectif est de répartir les rôles.

Identifier qui détient les rôles

Méthode graphique

  1. Pour les rôles de domaine : ouvrez Active Directory Users and Computers, clic droit sur le domaine → Operations Masters.
  2. Vérifiez les onglets RID, PDC et Infrastructure.
  3. Pour les rôles de forêt : ouvrez Active Directory Domains and Trusts et Active Directory Schema (snap-in à enregistrer avec regsvr32 schmmgmt.dll).

Transférer un rôle (DC source disponible)

Le transfert est l'opération normale quand le DC source est en ligne. C'est propre et sans risque :

Transférer via l'interface graphique

  1. Ouvrez Active Directory Users and Computers.
  2. Clic droit sur le domaine → Operations Masters.
  3. Sélectionnez l'onglet du rôle à transférer (RID, PDC ou Infrastructure).
  4. Cliquez Change pour transférer le rôle vers le DC connecté.

Pour les rôles de forêt (Schema, DomainNaming), utilisez les consoles correspondantes.

Valeurs possibles pour -OperationMasterRole

Valeur Rôle
SchemaMaster Schema Master
DomainNamingMaster Domain Naming Master
RIDMaster RID Master
PDCEmulator PDC Emulator
InfrastructureMaster Infrastructure Master

Saisir un rôle (DC source en panne)

La saisie (seize) est l'opération d'urgence quand le DC qui détenait le rôle est définitivement hors ligne :

⚠ Opération irréversible La saisie d'un rôle est une opération forcée. L'ancien DC ne doit jamais être remis en ligne après une saisie — il faut le réinstaller. Utilisez la saisie uniquement si le DC source est définitivement perdu.

La saisie est uniquement possible via PowerShell ou ntdsutil. Consultez la section Version PowerShell en bas de page.

Bonnes pratiques de répartition

Rôle Recommandation
Schema Master DC principal (rarement modifié)
Domain Naming Master DC principal (sur le même DC que Schema)
RID Master DC principal
PDC Emulator DC le plus performant (le plus sollicité)
Infrastructure Master DC qui n'est PAS Catalogue Global (en multi-domaines)

Vérification finale

Ouvrez Active Directory Users and Computers → Operations Masters pour vérifier la répartition des rôles.

⌨️ Version PowerShell

Voici les commandes PowerShell équivalentes pour chaque étape du tutoriel.

Étape 2 — Identifier qui détient les rôles

netdom query fsmo

# Ou en PowerShell
Get-ADDomain | Select-Object RIDMaster, PDCEmulator, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

Étape 3 — Transférer un rôle

# Transférer le PDC Emulator vers DC02
Move-ADDirectoryServerOperationMasterRole -Identity "DC02" -OperationMasterRole PDCEmulator

# Transférer tous les rôles vers DC02
Move-ADDirectoryServerOperationMasterRole -Identity "DC02" -OperationMasterRole SchemaMaster, DomainNamingMaster, RIDMaster, PDCEmulator, InfrastructureMaster

Étape 4 — Saisir un rôle (urgence)

# Saisir le PDC Emulator en force (-Force)
Move-ADDirectoryServerOperationMasterRole -Identity "DC02" -OperationMasterRole PDCEmulator -Force

Vérification finale

netdom query fsmo
✔ Résultat Vous savez identifier, transférer et saisir les rôles FSMO. En cas de panne du DC principal, vous pouvez réagir rapidement pour maintenir le fonctionnement d'Active Directory.