我们在日常的Windows域管理工作中不知道有没有发现，在AD管理工具中，只能看到3个操作主机的角色。
不是说有5大角色吗？怎么才显示3个？是微软故意为之，还是忘了加上去？
就这个问题找了一位大佬探讨
你们要思考微软不让你轻易操作另外两个角色
甚至都不想让你看到
这么设计是有背后原因的
另外两个角色是森林级别，是基础，哪怕你域规模几百上千台，也只有两个，误操作影响巨大
而这三个是域角色 每个子域都会有
虽然也很重要，但域管理员日常排错会检查到
所以让你们能够找到
域管理员与森林管理员是有界限的
========================
我在微软培训文档中找到了图
林（森林）和域的操作角色分隔开的
另外两个角色这样操作
域名操作主机在域和信任关系里面
架构主机在MMC控制台中添加AD架构就可以看到了
（要注册架构管理单元，请使用管理凭据启动命令提示符并键入以下命令：regsvr32.exe schmmgmt.dll）
留个作业：
既然微软的设定只有1台是有2个森林角色的主机，这样不是没有高可用了吗？万一挂了怎么办（除了备份之外）？
下期揭晓