搭建第一台域控（AD DS） · 修改记录

 new file mode 100644
 @@ -0,0 +1,65 @@
+---
+tags: [域控, AD, Windows Server]
+order: 50
+---
+
+# 搭建第一台域控（AD DS）
+
+## 场景
+
+小公司要从工作组切到域，统一账号、组策略、共享权限。
+
+## 前置条件
+
+- Windows Server，**静态 IP**
+- DNS 指向自己（`127.0.0.1` 或本机 IP），不能指向外部 DNS
+- 想好域名，别用 `.local`（和 mDNS 冲突）
+- 有本机管理员密码
+
+## 配置
+
+```powershell
+# 1. 装角色
+Install-WindowsFeature -Name AD-Domain-Security, DNS -IncludeManagementTools
+
+# 2. 提升为域控（会重启）
+Install-ADDSForest `
+  -DomainName "corp.example.com" `
+  -DomainNetbiosName "CORP" `
+  -InstallDns `
+  -ForestMode Win2016 `
+  -DomainMode Win2016 `
+  -Force
+```
+
+重启后登录名变成 `CORP\Administrator`。
+
+## 验证
+
+```powershell
+Get-ADDomain
+Get-ADForest
+dcdiag /test:dns /v
+dcdiag /test:netlogons
+Get-Service NTDS, DNS, KDC, Netlogon | Format-Table Name, Status
+```
+
+`dcdiag` 全绿、`\\corp.example.com\SYSVOL` 能访问，才算健康。
+
+## 回滚
+
+域控没有「卸载角色」这种回滚，只能：
+
+- 虚拟机：直接回快照
+- 物理机：`dcpromo` 已移除，只能重装系统
+
+所以**先在虚拟机上练一遍**。
+
+## 坑
+
+- **DNS 指向外网**，域控会把自己注册到错误的地方，客户端加域直接失败。
+- 域名用 `.local` 会和 mDNS 打架，Linux / macOS 客户端解析异常。
+- 时间不同步会导致 Kerberos 票据失败，登录报「信任关系失败」。
+- 域控装完再改计算机名/IP，需要额外处理，尽量一次到位。
+- 只部署一台域控没有冗余，第二台要额外配 DNS 和 `repadmin` 检查复制。
+- 加入域的机器要重启才能用域账号登录。