一、介绍

1.1 什么是域控服务器

域控制器（Domain Controller）是在Windows Server操作系统上运行的一个服务角色，它用于管理和控制一个或多个计算机的安全策略、用户身份验证和授权等任务。域控制器通常是用于企业网络中的主要身份验证和授权服务器，它可以集中管理组织内所有计算机、用户和其他网络资源。在一个Windows域环境中，域控制器是一个专门的服务器，它通过使用Active Directory（AD）服务来存储和管理组织内所有计算机、用户和其他网络资源的信息。域控制器负责维护Active Directory数据库通过将所有的计算机和用户添加到域中，管理员可以集中管理和控制整个组织内的网络资源和安全策略，同时也可以方便地实现单点登录和资源访问控制等功能。域控制器是一个非常重要的网络组件，它需要专业的管理和维护，以确保组织内的网络安全和稳定性。在一个Windows域环境中，通常会有一个或多个域控制器来管理和控制整个网络环境。域控制器之间可以相互通信和同步信息，以确保整个网络环境的一致性和稳定性。当一个域控制器发生故障或需要进行维护时，其他域控制器可以接管其任务，以确保整个网络环境的可用性。

微软管理计算机可以使用域和工作组两个模型，默认情况下计算机安装完操作系统后是隶属于工作组的

工作组：只能将数量不多的电脑连成一个可互相共享资源的网络，在这种工作方式下，信息的安全保护只能靠给共享信息设置密码或将使用权限设置给特殊用户来实现。域：采用域控制器来进行信息管理，每个用户都有自己的账号和密码，并且可根据不同的情况赋予不同的使用权限，这种方式不但使网络信息安全得到了非常好的保障，同时也满足了大中型网络的要求。

1.2 为什么需要域

如果资源分布在N台服务器上，那么用户需要资源时就要分别登陆这N台服务器，也就需要N个账号。一个用户如此，那M个呢，管理员也就需要给他们创建N*M个账户，这样不仅负责而且难管理。

有了域，管理员只需要给每个用户创建一个域用户，用户只需在域中登陆一次就可以访问域中的资源，实现了单一登陆。

域就是共享用户账号，计算机账号和安全策略的计算机集合。

1.3 域控制器的作用

用户管理：域控制器可以存储和管理所有用户的信息，包括用户名、密码、电子邮件地址、电话号码等等，管理员可以通过域控制器来创建、修改和删除用户帐户，设置密码策略和访问权限等。计算机管理：域控制器可以管理组织内所有计算机的信息，包括计算机名、IP地址、操作系统版本、安装软件等等，管理员可以通过域控制器来添加、删除和管理计算机帐户，设置计算机策略和访问权限等。安全管理：域控制器可以提供安全验证和授权服务，确保只有经过授权的用户和计算机可以访问网络资源，同时还可以监控和记录用户和计算机的活动，以便管理员进行安全审计和漏洞修补。网络资源共享：域控制器可以管理和控制组织内所有网络资源的访问权限，包括文件夹、打印机、数据库策略管理：域控制器可以集中化地管理和控制组织内所有计算机和用户的策略，包括安全策略、网络策略、软件策略等等，以确保整个组织内的网络环境和资源的一致性和安全性。集中化身份管理：域控制器可以实现单点登录和集中化身份管理，使用户可以使用同一个帐户和密码登录到组织内的所有计算机和应用程序，同时也可以方便地进行身份验证和访问控制。

总之，域控制器是一个非常重要的网络组件，它可以在组织内提供安全、可管理、可控制的网络环境，使管理员可以更加方便地管理和控制组织内的网络资源和安全策略。

部署域服务器需要考虑几个方面

网络拓扑：管理员需要确定组织内的网络拓扑，包括所有计算机和网络设备的位置和连接方式，以便决定要部署多少个域控制器和它们的位置。带宽和延迟：管理员需要考虑组织内不同地区之间的带宽和延迟情况，以便确定域控制器之间的同步方式和间隔时间。安全性：管理员需要采取一系列措施来保护域控制器和Active Directory数据库可用性：管理员需要确保域控制器和Active Directory数据库

总之，部署域控制器是组织内部署Windows域环境的重要步骤之一，需要管理员根据实际情况进行合理的规划和部署，以便实现组织内的计算机和网络资源的高效管理和控制。

1.5 什么是活动目录

活动目录（Active Directory）是Windows 2003Server平台提供的目录服务。在中央数据库中存放信息，使用户在网络上只拥有一个用户账号。

目录是存储各种对象的一个物理上的容器，目录服务是使目录中所有信息和资源发挥作用的服务。

信息的安全性大大增强，引入基于策略的管理，使系统的管理更加明朗，具有很强的可扩展性、可伸缩性、智能的信息复制能力，与DNS集成紧密、与其他目录服务具有互操作性、具有灵活的查询。

活动目录逻辑结构：域、组织单元、树、林。域控制器（DC,Domain Controller）上存放着域中所有用户、组、计算机等信息，域控制器把这些信息存放在活动目录中。

1.6 活动目录与DNS的关系

在TCP/IP网络中，DNS（Domain Name System） 是用来解决计算机名字和IP地址的映射关系的。

活动目录使用DNS服务器来登记域控制器的IP、各种资源的定位等，在一个域林中至少要有一个DNS服务器存在，所以安装活动目录时需要同时安装DNS。

操作场景

活动目录 AD（Active Directory）是微软服务的核心组件。AD 能实现高效管理，例如批量管理用户、部署应用和更新补丁等。许多微软组件（例如 Exchange）和故障转移群集也需要 AD 域环境。本文以 Windows Server 2022 标准版64位操作系统为例，介绍如何搭建 AD 域。

前提条件

已创建三台 Windows 云服务器 实例，分别作为主域控制器（DC）、备域控制器（DC）和客户端（Client）。

创建的实例需满足以下条件：

分区为 NTFS 分区。

实例支持 DNS 服务。

实例支持 TCP/IP 协议。

主备域控有相同的盘符

实例网络环境

组网信息：网络类型采用私有网络 VBC，交换机的私有网段为172.31.10.0/16。

域名信息：示例域名为 adsrvtest01.com。作为 主DC 的 云服务器实例 IP 地址为172.31.10.201，作为备DC的云服务器实例IP 172.31.10.200作为客户端的 实例 IP 地址为172.31.10.202。2台主备域控之间的心跳网络为172.

注意

搭建 AD 域后，请确保 云服务器实例始终使用相同的 IP 地址，否则 IP 地址变化会导致访问异常。

相关概念

活动目录 AD（Active Directory）是微软服务的核心组件，相关名词概念如下：

DC：Domain Controllers，域控制器。

DN：Distinguished Name，识别名。

OU：Organizational Unit，组织单位。

CN：Canonical Name，正式名称。

SID：Security Identifier，安全标识符。

操作步骤

说明

不推荐使用已有的域控制器通过创建自定义镜像部署新的域控。如必须使用，请确保新建实例的主机名（hostname）和创建自定义镜像之前实例的主机名必须保持一致，否则可能会报错“服务器上的安全数据库没有此工作站信任关系”。您也可以在创建实例后修改成相同的主机名，解决此问题。

二、部署 主AD 域控制器

2.1 登录作为 DC 的实例，

2.2. 在操作系统界面，单击 ，打开服务器管理器。

2.3 单击添加角色和功能，弹出 “添加角色和功能向导” 窗口。

2.4 在选择安装类型界面，选择基于角色或基于功能的安装，并连续单击2次下一步。如下图所示：

2.5.在选择服务器角色界面，勾选如下图所示的 Active Directory 域服务及 DNS 服务器，并在弹出窗口中单击添加功能及继续。

该步骤以将 AD 域服务和 DNS 服务部署在同一台实例上为例。

2.6.保持默认配置，连续单击4次下一步。

2.7. 在确认信息页面中，单击安装。 安装完成后，关闭“添加角色和功能”对话框。

2.8. 在操作系统界面，单击 ，打开服务器管理器。

2.9. 在服务器管理器窗口中，单击 ，选择将此服务器提升为域控制器。如下图所示：

 2.10.在打开的 Active Directory 域服务配置向导窗口中，将选择部署操作设置为添加新林，输入根域名，本文以adsrvtest01.com 为例，单击下一步。如下图所示：

2.11.设置目录服务还原模式（DSRM）密码，单击下一步。如下图所示：

选择林功能级别，域功能级别。

此处我们选择的为win 2016 ，此时域功能级别只能是win 2016，如果选择其他林功能级别，还可以选择其他域功能级别

默认会直接在此服务器上安装DNS服务器

第一台域控制器必须是全局编录服务器的角色

第一台域控制器不可以是只读域控制器（RODC）这个角色是win 2008时新出来的功能

设置目录还原密码。

目录还原模式是一个安全模式，可以开机进入安全模式时修复AD数据库，但是必须使用此密码

此密码建议要牢记，是作为登录域的密码。冗余域控制器的密码也需要跟它保持一致。

出现此警告无需理会，会自动安装DNS服务器。另外需关注目录服务器的名称是否修改。

系统会自动创建一个netbios名称，可以更改。

不支持DNS域名的旧系统，如win98 winnt需要通过netbios名来进行通信,如下图

数据库文件夹：用了存储AD数据库日志文件文件夹：用了存储AD的更改记录，此记录可以用来修复AD数据库SYSVOL文件夹：用了存储域共享文件（例如组策略）如果计算机内有多个硬盘，生产环境建议将数据库与日志文件夹分别设置到不同的硬盘内，分两个硬盘可以提供运行效率，而且分开存储可以避免两份数据同时出现问题，以提高修复AD的能力。（不过我认为现在都是RAID模式了没必要分开，和操作系统分区分开就可以了）

2.13. 在先决条件检查中，如果没有问题，直接选择下一步，有问题则返回修改

 单击安装开始安装 AD 域服务器。

安装完成后将自动重启，安装完成后服务起管理器会多很多AD的常用管理命令，点击"工具",如图：

2.14 关闭防火墙三个全关闭

2.15 检查主机记录,打开服务器管理器，右上角工具 → DNS → AD-master →正向查找区域→adsrvtest01.com

三、部署 备AD域控制器

如果一个域内有多个域控制器，可以有如下好处.

提高用户登录的效率：如果同时有多台域控制器对客户提供服务，可以分担审核用户登录身份（账户与密码）的负担，让用户登录效率更佳。

排错功能：如果有域控制器发生故障，此时依然能有其他正常的域控制器继续提供域服务器。

可以配置成为冗余，其中一台故障，不需要切换仍然可保持正常服务。

3.1、首先改名，修改IP，配置DNS指向第一台域控制器：172.31.10.200完成后确认能ping通。

3.2.修改备AD域控服务器的SID

修改方法详见 《windows修改SID》

3.3、在备AD域服务器系统中，打开设置→系统→关于→系统保护，修改计算机名为AD-standby，加入域为adsrvtest01.com，DNS后缀为adsrvtest01.com，如图；然后再弹出的加入域授权凭据对话框中输入域控制器的账号和密码并确定，然后重启，完成域的加入。参考下图：

3.4、按照第一台域控制器的方法，安装Active Directory 域服务和DNS服务器角色。

3.5、在Active Directory 域服务配置向导的部署配置标签中，选择将域控制器增加到现有域，填写域名adsrvtest01.com，提供此操作的凭据adsrvtest01\administrator（域管理员账户密码作为凭据）选择下一步，参考如图。

3.6、在Active Directory 域服务配置向导的域控制器选项标签中，勾选全局编录GC，选择站点名称adsrvtest01（域内站点多的话会要求选择），输入DSRM还原密码（密码是新设置的哦），然后选择下一步，参考如图。

后续没有提到的步骤保持默认即可

3.7、在Active Directory 域服务配置向导的DNS选项标签到查看选项标签，默认下一步即可，在先决条件检查，查看检查通过，就可以选择安装了，如图；完成后重启AD-standby节点。

 3.8、然后切换到AD-master节点，打开DNS服务器，在adsrvtest01.com区域上点击右键属性，在常规标签，更改域控制器与DNS集成，并应用，参考如图

3.9.在常规标签中，更改如何复制区域数据为，至此域中的所有DNS服务器，动态更新设置为安全，参考下图。

3.10.在主AD-master域控上的DNS服务器中的adsrvtest01.com区域属性上，在名称服务器标签中，增加备域控AD-standby为名称服务器，在弹出框中输入 AD-standby的IP和完全限定的域名 AD-standby.adsrvtest01.com，参考下图。

3.11.切换至备AD-standby，重复以上8-10步骤（名称服务器地址和完全限定域名是主AD-master的），完成后刷新，会看到和主AD-master上的DNS服务器一样的adsrvtest01.com区域内容。

3.12、验证

在备AD-standby上打开Active Directory 用户和计算机，会发现内容和主AD-master上的完全一致，在Domain Controller中可以看到，AD-master、AD-standby、类型都是全局编录GC，表示两个域控制器是平等互为冗余的（记得在把域中的计算机对象DNS同时指向172.31.10.200和172.31.10.201，这样在当某台域控制器宕机时，不会影响域的正常使用哦）。

 附录：

 域控常用命令

操作步骤

# 获取当前域控制器机器基本情况：(PowerShell下运行)

Get-ADDomainController -filter * | select hostname,IPv4Address,IsGlobalCatalog,IsReadOnly,OperatingSystem | format-table -auto

repadmin /showrepl #查看域控制器之间复制状态

dcdiag #在主域控中进行目录服务诊断，确定诊断无问题，进行操作

netdom query fsmo #查看5种操作主机角色的位置 默认都是在主域控中

Dsquery Server –Hasfsmo Schema #查看架构主机

Dsquery Server –Hasfsmo Name #查看域命名主机

Dsquery Server –Hasfsmo PDC #查看PDC模拟器主机

Dsquery Server –Hasfsmo RID #查看RID主机

Dsquery Server –Hasfsmo Infr #查看基础结构主机

# 主域控关机，主域控FQDN：win-2022-dc01.xxx.com 主域控关机后 进行基本的测试(关闭域控制器进行模拟测试)

ping win-2022-dc01.xxx.com #网络上ping主域控

nslookup win-2022-dc01.xxx.com #DNS解析主域控

# 辅域控进行测试，辅域控FQDN：win-2022-dc02.xxx.com

ping win-2022-dc02.xxx.com

ping www.baidu.com

nslookup win-2022-dc02.xxx.com #测试辅助域控DNS是否能正常解析

nslookup www.baidu.com

浏览器测试上网，打开网页(清除浏览器本地缓存)。

到客户端测试Wifi连接状态、计算机登录状态(无缓存 特指新加入域的计算机测试连接认证状态)