Oamc

搭建第一台域控（AD DS）

修改记录 原文
#域控 #AD #Windows Server
本页目录

场景

小公司要从工作组切到域，统一账号、组策略、共享权限。

前置条件

  • Windows Server，静态 IP
  • DNS 指向自己（127.0.0.1 或本机 IP），不能指向外部 DNS
  • 想好域名，别用 .local（和 mDNS 冲突）
  • 有本机管理员密码

配置

# 1. 装角色
Install-WindowsFeature -Name AD-Domain-Security, DNS -IncludeManagementTools

# 2. 提升为域控（会重启）
Install-ADDSForest `
  -DomainName "corp.example.com" `
  -DomainNetbiosName "CORP" `
  -InstallDns `
  -ForestMode Win2016 `
  -DomainMode Win2016 `
  -Force

重启后登录名变成 CORP\Administrator。

验证

Get-ADDomain
Get-ADForest
dcdiag /test:dns /v
dcdiag /test:netlogons
Get-Service NTDS, DNS, KDC, Netlogon | Format-Table Name, Status

dcdiag 全绿、\\corp.example.com\SYSVOL 能访问，才算健康。

回滚

域控没有「卸载角色」这种回滚，只能：

  • 虚拟机：直接回快照
  • 物理机：dcpromo 已移除，只能重装系统

所以先在虚拟机上练一遍。

坑

  • DNS 指向外网，域控会把自己注册到错误的地方，客户端加域直接失败。
  • 域名用 .local 会和 mDNS 打架，Linux / macOS 客户端解析异常。
  • 时间不同步会导致 Kerberos 票据失败，登录报「信任关系失败」。
  • 域控装完再改计算机名/IP，需要额外处理，尽量一次到位。
  • 只部署一台域控没有冗余，第二台要额外配 DNS 和 repadmin 检查复制。
  • 加入域的机器要重启才能用域账号登录。