部署AD域控服务器

一、部署前准备（必做）

• 1.系统：Windows Server 2019/2022 标准版 / 数据中心版（推荐 2022）
• 2.硬件：2 核 CPU+、内存≥4GB、系统盘≥50GB，数据盘建议单独分区
• 3.网络：

  
  
  静态 IP（例如：192.168.1.10/24，网关 192.168.1.1）
  DNS 先指向自己（127.0.0.1 或本机 IP）
  主机名建议改成 DC01（不要用localhost）
• 1.规划信息

  
  
  1）根域名：corp.local 或 company.com（不要用纯数字）
  2）NetBIOS 名：CORP（≤15 字符）
  3）DSRM 密码：目录还原模式密码（强密码）
  二、安装 AD DS + DNS 角色（图形化
  1.打开服务器管理器 → 管理 → 添加角色和功能
  
  2.安装类型：基于角色或功能的安装 → 下一步
  3.服务器选择：默认本机 → 下一步
  4.服务器角色：
  
  
  勾选 Active Directory 域服务（AD DS） → 弹出 “添加功能” → 添加功能
  勾选 DNS 服务器（AD 强依赖 DNS）→ 下一步
  
  5.功能：默认 → 下一步
  6.AD DS：直接下一步
  7.确认：勾选 “如果需要，自动重启目标服务器” → 安装（约 5–10 分钟）
  
  三、提升为域控制器（创建新林）
  1.安装完成后，服务器管理器右上角黄色感叹号 → 将此服务器提升为域控制器
  
  2.部署配置：选 添加新林 → 输入根域名（如 corp.local）→ 下一步
  
  3.域控制器选项：
  
  
  1）林功能级别：Windows Server 2016/2019/2022（选最高）
  2）域功能级别：同上
  3）DSRM 密码：设置强密码（记住，恢复用）→ 下一步
  
  4.DNS 选项：直接下一步（提示 DNS 委派可忽略）
  
  5.其他选项：NetBIOS 默认（如 CORP）→ 下一步
  
  6.路径：
  
  
  1）AD 数据库、日志、SYSVOL：生产建议改到非系统盘（如 D:\NTDS）→ 下一步
  
  7.先决条件检查：全部通过（静态 IP、权限、DNS 正常）→ 安装
  
  8.安装结束自动重启（2–3 分钟）
  四、PowerShell 快速安装（懒人 / 脚本用）
  # 1. 安装AD DS与管理工具
  Install-WindowsFeature AD-Domain-Services -IncludeManagementTools# 2. 提升为域控（新建林，corp.local，自动装DNS）Install-ADDSForest -DomainName "corp.local" -DomainNetbiosName "CORP" -InstallDNS -Force
  执行后自动重启，全程无需点鼠标。
  
  

五、验证域控是否正常

• 
  
  
  
  重启后用域管理员登录：CORP\Administrator
  
  
  1.检查服务（services.msc）
  
  
  Active Directory Domain Services（NTDS）：正在运行
  DNS Server：正在运行
  2.命令行验证
  cmd
  dcdiag /c                   # 域控诊断，无报错即可nslookup corp.local         # DNS解析正常
  netdom query fsmo           # 查看5大角色（都在本机）
  1.打开管理工具
  
  
  1）Active Directory 用户和计算机（创建 OU、用户、组）
  2）DNS 管理器（查看正向区域 corp.local）
  
  

六、常见坑与最佳实践）1）必须静态 IP：动态 IP 会导致域控崩溃、客户端加域失败

• 
  
  
  
  
  
  2）DNS 首选指向自己：域控 DNS 只留自己，网关 DNS 做转发
  3）不要用 .com 公网域名做内部域：建议用 .local 或 .corp
  4）生产环境至少 2 台域控：做冗余，防止单点故障
  5）防火墙放行：TCP 53（DNS）、88（Kerberos）、389（LDAP）、445（SMB）等

  ---

  
  

七、客户端加域（测试）

• 
  
  
  
  
  
  
  
  客户端 Windows 10/11：
  
  
  1）网卡 DNS 指向域控 IP（192.168.1.10）
  2）此电脑 → 属性 → 更改设置 → 更改 → 选 “域” → 输入 corp.local
  3）输入域管理员账号密码 → 重启 → 用域账号登录