核心前提：DC01 必须正常开机、在线、能和 DC02 通信，绝对不能用 seize（抢夺），必须用 transfer（转移），否则会导致 AD 元数据损坏。
一、先确认当前角色归属（必做）
在 DC01 或 DC02 上，以管理员身份打开 CMD / PowerShell，执行： netdom query fsmo
正常输出会显示 5 个角色全部在
DC01.tgz.com，确认 DC01 是当前主域控。
二、方案 1：PowerShell 一键转移（推荐，零语法错误）
在 DC02 上，以管理员身份打开 PowerShell，直接执行这条命令：不带-force
Move-ADDirectoryServerOperationMasterRole -Identity DC02 -OperationMasterRole SchemaMaster,DomainNamingMaster,RIDMaster,PDCEmulator,InfrastructureMaster
netdom query fsmo检查已变成DC02
- 执行时会弹出 5 次确认，每次输入
Y回车即可 - 命令会自动安全转移所有 5 个 FSMO 角色，无需分步操作，彻底绕开 ntdsutil 的语法坑
三、方案 2：ntdsutil 命令行转移（传统方式，适合习惯 CMD 的场景）
1. 在 DC02 上，以管理员身份打开 CMD，严格按顺序输入：
ntdsutil
roles
connections
connect to server DC02
quit
2. 依次执行 5 个转移命令（注意是 transfer，不是 seize！）
transfer schema master
transfer domain naming master
transfer rid master
transfer pdc emulator
transfer infrastructure master
quit
quit
netdom query fsmo