# Active Directory - Gestion des rôles FSMO
| [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/bsnintermediaire-png.png)
| Difficulté : Intermédiaire
Notions : Active Directory, LDAP, Rôle FSMO
|
---
### **I. Introduction**
Cette procédure vise à expliquer le transfert des rôles FSMO. En effet, l'un des principes clé d'Active Directory réside dans la gestion de ces rôles.
Ces rôles sont par défaut tous portés par le contrôleur de domaine principal mais peuvent être répartis pour plus de souplesse. Il peut également être nécessaire de les transférer dans le cadre de l'arrêt définitif d'un serveur qui les portait auparavant.
Il est également possible de forcer leur réattribution à un nouveau DC si celui qui les portait avant n'est plus disponible suite à un incident ayant entrainé sa perte ou sa destruction.
**Info** : Plus d'informations sur [les rôles FSMO](https://learn.microsoft.com/fr-fr/windows-server/identity/ad-ds/manage/understand-fsmo-roles)
---
### **II. Transférer les rôles FSMO**
**Conseil** : Bien qu'une méthode pour transférer ces rôles existe en GUI, elle est relativement fastidieuse car il faut en effet aller chercher à plusieurs endroits dans les outils d'administration. Aussi le plus rapide et pratique est de procéder en CLI.
En batch (méthode legacy)
Ouvrir une CMD sur le serveur Active Directory qui va reprendre les rôles.
Vérifier qui porte les rôles actuellement avec la commande :
```
netdom query FSMO
```
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/QyMimage-png.png)
Ici c'est le DC principal qui porte tous les rôles.
Ouvrir la console NTDS Utils.
```
ntdsutil
```
Entrer en mode de maintenance du shema.
```
role
```
Se connecter au serveur de destination des rôles
```
connection
connect to server
q
```
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/n30image-png.png)
Pour transférer les rôles, utiliser la commande suivante
```
transfer
```
**Attention** : En cas de transfert forcé, la commande est `seize`. Mais cela ne doit être utilisé que si l'ancien DC n'est plus disponible. La procédure par défaut est celle donnée ci-dessus.
Il y à 5 rôles à transférer, dans cet ordre là :
- RID master
- schema master
- infrastructure master
- naming master
- pdc
**Info** : à chaque transfert, NTDSUTIL affiche le résumé des rôles, il est ainsi possible de vérifier au fur et à mesure leur bon transfert.
Pour chaque commande transfer, la fenêtre suivante apparaît, il faut cliquer sur '***Yes***' pour valider le transfert :
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/NGximage-png.png)
Après validation :
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/JTMimage-png.png)
Répéter la procédure sur chaque rôle. A la fin du processus, quitter les outils avec '***q***'.
Une nouvelle requête indique maintenant :
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/bydimage-png.png)
En Powershell
Avec l'arrivée de Powershell, il est désormais nativement possible d'effectuer la procédure en Powershell. Cette méthode à l'avantage d'être plus rapide et de pouvoir s'exécuter depuis n'importe quel serveur AD ou du serveur d'administration.
Se connecter à la console Powershell. Vérifier qui porte les rôles :
```
netdom query FSMO
```
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/bydimage-png.png)
Il est également possible de savoir qui porte quel rôle avec le script powershell suivant :
```powershell
$domainControllers = Get-ADDomainController -Filter *
foreach ($dc in $domainControllers) {
Write-Output "Name: $($dc.Name)"
Write-Output "OperationMasterRoles:"
foreach ($role in $dc.OperationMasterRoles) {
Write-Output "- $role"
}
}
```
La commande pour transférer un rôle est la suivante :
```powershell
Move-ADDirectoryServerOperationMasterRole -Identity -OperationMasterRole
```
**Attention** : En cas de transfert forcé, il faut ajouter l'opérande `-Force`. Mais cela ne doit être utilisé que si l'ancien DC n'est plus disponible. La procédure par défaut est celle donnée ci-dessus.
Il y à 5 rôles à transférer, dans cet ordre là :
- RIDMaster
- SchemaMaster
- InfrastructureMaster
- DomainNamingMaster
- PDCEmulator
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/nfrimage-png.png)
A la fin du transfert, il est possible d'afficher si le serveur de destination à bien hérité des rôles :
```
Get-ADDomainController -Identity | Select-Object OperationMasterRoles -ExpandProperty OperationMasterRoles
```
[](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/ZyQimage-png.png)